performing-ransomware-response

ランサムウェアへの対応

使用する状況

• ランサムウェアの実行が検知された、またはファイルの暗号化が進行中です
• 見慣れない拡張子が追加され、ファイルを開けないという報告がユーザーから寄せられています
• 1 台以上のシステムで身代金要求のメモが見つかりました
• EDR が、暗号化動作と一致する大量のファイル変更パターンを検知しました
• 脅威インテリジェンスにより、組織を標的とするランサムウェアキャンペーンが差し迫っているとの警告がありました

ファイル暗号化や恐喝を伴わない一般的なマルウェアインシデントには使用しないでください。代わりに、マルウェアインシデント対応手順を使用してください。

前提条件

• ランサムウェア専用のインシデント対応プレイブックがレビューされ、経営幹部の承認を得ていること
• エアギャップ化またはイミュータブルなコピーを含む、テスト済みで検証済みのオフラインバックアップ戦略
• ランサムウェア対応を専門とする企業（例：Mandiant、CrowdStrike Services、Kroll）とのインシデント対応契約
• OFAC 制裁対象のスクリーニングおよび規制当局への通知について、事前に法務顧問と協議していること
• サイバー保険の保険会社の連絡先情報と、保険契約の補償内容の詳細
• ビットコイン／暗号通貨の分析能力、または支払い追跡を行う第三者との契約

ワークフロー

ステップ 1：ランサムウェアの検知と確認

インシデントがランサムウェアであることを確認し、亜種を特定します。

• 身代金要求メモのファイル名、暗号化されたファイルに追加された拡張子、メモの内容を分析して、ランサムウェアを特定します
• 身代金要求メモと暗号化されたファイルのサンプルを ID Ransomware（id-ransomware.malwarehunterteam.com）にアップロードします
• 無料の復号ツールが公開されているか、NoMoreRansom.org で確認します
• EDR／SIEM ログからランサムウェアの展開方法を特定します
• ランサムウェアグループを特定します（例：LockBit、BlackCat/ALPHV、Royal、Akira、Play）

Ransomware Identification:
━━━━━━━━━━━━━━━━━━━━━━━━━
Variant:          LockBit 3.0 (Black)
Extension:        .lockbit3
Ransom Note:      README-LOCKBIT.txt
Tor Site:         lockbit[redacted].onion
Deployment:       Group Policy Object pushing ransomware.exe to all domain-joined systems
Initial Access:   VPN credential compromise (no MFA)
Dwell Time:       12 days
Data Exfiltration: Yes - 47GB uploaded to MEGA via rclone prior to encryption

ステップ 2：直ちに封じ込める

被害を評価する前に、ランサムウェアの拡散を止めます。

• 優先度 1：影響を受けたネットワークセグメントをコアインフラストラクチャから切り離します（シャットダウンせず、ネットワークケーブルを抜きます）
• 優先度 2：GPO ベースの展開が疑われる場合は、すべてのドメインコントローラーを直ちに隔離します
• 優先度 3：展開に使用された侵害済みアカウントを無効にします
• 優先度 4：ラテラルムーブメントに使用されるプロトコル（SMB TCP/445、RDP TCP/3389、WinRM TCP/5985-5986）をブロックします
• 優先度 5：メモリフォレンジックのため、暗号化されたシステムを少なくとも 1 台、稼働状態のまま保全します（電源を切らないでください）
• 禁止事項：暗号化されたシステムをシャットダウンしないでください。メモリ内の暗号化キーを保全するため、電源を入れたままにしてください

ステップ 3：被害と範囲の評価

復旧と事業上の判断に役立てるため、影響を定量化します。

• 暗号化されたシステム（ワークステーション、サーバー、ドメインコントローラー）の台数を数えます
• 影響を受けた、事業上重要なシステムとデータを特定します
• バックアップの整合性を確認します。バックアップが暗号化、削除、破損されていないことを確認します
• データが持ち出されたかどうかを評価します（rclone、WinSCP、MEGA、クラウドストレージのアクティビティを確認します）
• 身代金の要求額と支払期限を確認します
• OFAC の制裁対象者リストを確認し、ランサムウェアグループが制裁対象ではないことを確かめます（支払いには法的リスクがあります）

Impact Assessment:
Encrypted Systems:      187 of 340 endpoints (55%)
Encrypted Servers:      12 of 28 (43%) - includes 2 file servers, 1 database server
Domain Controllers:     2 of 3 encrypted
Backup Status:          Veeam repository intact (offline copy verified clean)
Data Exfiltration:      Confirmed - 47GB to MEGA (file listing under analysis)
Ransom Demand:          $2.5M in Bitcoin (72-hour deadline)
OFAC Screening:         LockBit - not currently sanctioned entity (verify with counsel)

ステップ 4：復旧の判断マトリックス

法務、経営幹部、サイバー保険会社と相談しながら、復旧の選択肢を評価します。

選択肢	利点	欠点	推奨される状況
バックアップから復元	支払い不要、法的リスクなし	復旧に数日かかる場合があります	クリーンなバックアップが利用可能
無料の復号ツール	支払い不要、迅速	利用できることはまれです	亜種向けの復号ツールが公開されている
交渉して支払う	復旧が早まる可能性があります	保証がなく、法的リスクがあり、脅威アクターに資金を渡すことになります	バックアップがなく、事業の存続が危ぶまれる
ゼロから再構築	クリーンな環境	最も時間がかかり、データが失われます	バックアップが侵害され、データ損失を受け入れる用意がある

ステップ 5：復旧を実行する

選択した復旧戦略を実施します。

バックアップから復元する場合：

1. 復旧作業用にクリーンな隔離ネットワークセグメントを構築します
2. まずドメインコントローラーをクリーンなメディアから再構築します（滞留時間より古いドメインコントローラーのバックアップは復元しないでください）
3. 新しいドメインにシステムを参加させる前に、すべてのユーザーアカウントとサービスアカウントのパスワードをリセットします
4. 優先順位に従ってサーバーを復元します。認証、DNS、DHCP、次にビジネスクリティカルなアプリケーションの順です
5. ワークステーションはファイル単位の復元ではなく、再イメージングによって復元します
6. 検証済みのクリーンなバックアップから、再構築したファイルサーバーにデータを復元します
7. 検証が完了してから本番ネットワークに再接続します

復号ツールを使用する場合：

1. まず、重要ではないシステムで復号ツールをテストします
2. ビジネス上の優先順位に従って復号します
3. 再接続する前に、復号したすべてのシステムをスキャンし、マルウェアが残っていないことを確認します

ステップ 6：ランサムウェア感染後のセキュリティ強化

再発を防ぐための対策を実施します。

• すべてのリモートアクセス（VPN、RDP、クラウドポータル）で MFA を必須にします
• 3-2-1-1-0 バックアップ戦略（3 つのコピー、2 種類のメディア、1 つのオフサイトコピー、1 つのイミュータブルコピー、エラー 0 件）を実施します
• サーバーにアプリケーションのホワイトリストを導入します
• ワークステーションとサーバーの VLAN 間にネットワークセグメンテーションを実施します
• 特権アカウントに Protected Users セキュリティグループを有効にします
• 可能な場合は NTLM 認証を無効にします
• ローカル管理者アカウント向けに LAPS（Local Administrator Password Solution）を導入します

重要な概念

用語	定義
二重脅迫	ファイルの暗号化に、データの窃取と盗んだデータの公開予告を組み合わせるランサムウェアの手口
イミュータブルバックアップ	定められた保持期間中は変更も削除もできないバックアップストレージです。バックアップを標的とするランサムウェアからデータを保護します
OFAC 制裁	制裁対象の組織や地域への身代金の支払いを禁止する場合がある、米国財務省外国資産管理局による規制
滞留時間	ランサムウェアを展開する前に攻撃者が侵入していた日数です。どのバックアップがクリーンかを判断するうえで重要です
Ransomware-as-a-Service（RaaS）	ランサムウェア開発者がマルウェアを貸し出し、アフィリエイトが攻撃を実行する犯罪ビジネスモデル
Rclone	正規のクラウド同期ツールですが、ランサムウェアの実行者が暗号化前のデータ窃取に悪用することがよくあります
3-2-1-1-0 バックアップルール	3 つのコピー、2 種類のメディア、1 つのオフサイトコピー、1 つのイミュータブルまたはエアギャップ化されたコピー、および復旧テストでエラー 0 件を求めるバックアップ戦略

ツールとシステム

• ID Ransomware：身代金要求メモまたは暗号化されたファイルのサンプルから、ランサムウェアの亜種を特定するオンラインサービス
• NoMoreRansom.org：特定のランサムウェアファミリー向けに無料の復号ツールを提供する、Europol が支援するプロジェクト
• Veeam / Commvault：イミュータブルリポジトリと VM の即時復旧機能を備えたエンタープライズ向けバックアッププラットフォーム
• KAPE：暗号化されたシステムからフォレンジック調査用のトリアージデータを迅速に収集し、初期アクセスと滞留時間を特定します
• Cado Response：クラウドインフラに影響を及ぼすランサムウェアを調査するための、クラウドネイティブなフォレンジックプラットフォーム

よくあるシナリオ

シナリオ：侵害された VPN を介した LockBit 3.0

コンテキスト：攻撃者は VPN の認証情報（MFA なし）を侵害し、12 日間にわたって偵察を行い、GPO を介してウイルス対策ソフトを無効化し、47GB のデータを持ち出した後、日曜日の午前 2 時に GPO を介してドメイン全体に LockBit 3.0 を展開しました。

対応：

1. コアスイッチレベルですべてのネットワークセグメントを切断する
2. オフラインバックアップの整合性を確認する（不変ストレージ上の Veeam リポジトリ）
3. メモリフォレンジックのため、暗号化されたサーバー 2 台の電源を入れたまま保全する
4. インシデント対応リテイナーおよびサイバー保険会社に連絡する
5. 分離ネットワーク内で復旧を開始する：DC を再構築し、すべてのパスワードをリセットして、優先順位に従って復元する
6. 初期アクセスと攻撃者の活動全体を特定するため、フォレンジック調査を並行して実施する

落とし穴：

• 侵入から検知までの 12 日間に作成されたバックアップから復元する（バックドアが含まれている可能性があります）
• OFAC の審査と弁護士の確認なしに身代金を支払う
• すべてのパスワードを完全にリセットする前に、復旧したシステムを本番ネットワークに再接続する
• データ持ち出しを確認せず、組織を恐喝の脅威にさらしたままにする

出力形式

RANSOMWARE INCIDENT REPORT
===========================
Incident:           INC-2025-1892
Ransomware Family:  LockBit 3.0 (Black)
Date Detected:      2025-11-17T06:45:00Z
Initial Access:     VPN credential compromise (no MFA)
Dwell Time:         12 days

IMPACT SUMMARY
Encrypted Systems:  187 endpoints, 12 servers
Business Impact:    Full operations disruption
Data Exfiltrated:   47GB (finance, HR, legal documents)
Ransom Demand:      $2.5M BTC (72-hour deadline)
Backup Status:      Veeam immutable repository - CLEAN

RECOVERY APPROACH
Decision:           Restore from backup (no ransom payment)
Recovery Start:     2025-11-17T10:00:00Z
DC Rebuild:         Complete - 2025-11-17T18:00:00Z
Critical Systems:   Restored - 2025-11-18T12:00:00Z
Full Recovery:      Estimated 2025-11-21

CONTAINMENT TIMELINE
06:45 UTC - Ransomware detected by SOC analyst
07:00 UTC - Network segments disconnected
07:15 UTC - Incident commander activated IR plan
07:30 UTC - Backup integrity verification started
08:00 UTC - Memory forensics initiated on 2 live systems
10:00 UTC - Recovery operations commenced in clean room

POST-INCIDENT ACTIONS
1. MFA enforced on all VPN and remote access
2. 3-2-1-1-0 backup architecture implemented
3. Network segmentation between workstation/server VLANs
4. LAPS deployed for local administrator passwords
5. Regulatory notifications filed (GDPR 72-hour, state AG)