performing-ransomware-tabletop-exercise

ランサムウェア対応机上演習の実施

使用するタイミング

• 組織のランサムウェア対応手順を毎年、または大規模なインフラ変更後にテストする場合
• 身代金の支払い、規制当局への通知、公開に関する意思決定プロセスを検証する場合
• ランサムウェアインシデント発生時の役割について、経営幹部、IT、法務、広報、運用チームをトレーニングする場合
• 文書化されたインシデント対応テストに関するサイバー保険の要件を満たす場合
• 復旧プレイブック、コミュニケーション計画、バックアップ手順の不備を特定する場合

技術的な管理策のテストの代わりとして使用しないでください。 机上演習で検証するのは手順と意思決定であり、技術的な検知能力や防止能力ではありません。

前提条件

• 文書化されたインシデント対応計画（IRP）があり、参加者は演習前に読んでおく必要があります
• 次のメンバーから演習参加者を選定します：経営幹部、IT／セキュリティ、法務、広報、HR、運用、外部弁護士
• IR チームとは独立した進行役（客観的な評価を行うため）
• 複数のラウンドにわたって段階的に状況が深刻化する情報提示を盛り込んだランサムウェアのシナリオ
• NIST CSF の対応／復旧機能に沿った評価基準
• 2～4 時間、中断なく実施できる会議室またはオンライン会議

ワークフロー

ステップ 1：演習シナリオを設計する

現在の脅威アクターの TTP に基づいて、現実的なシナリオを構築します。

シナリオの構成：

Phase 1: Initial Detection (30 min)
  - SOC receives alert for suspicious process execution on file server
  - EDR detects Cobalt Strike beacon on 3 workstations
  - Inject: External threat intel report links C2 IP to LockBit affiliate

Phase 2: Escalation (30 min)
  - Ransomware executes on 40% of servers during overnight hours
  - Ransom note demands $2M in Bitcoin with 72-hour deadline
  - Inject: Attackers contact media claiming data theft of customer PII

Phase 3: Decision Points (45 min)
  - Backup assessment reveals immutable copies are intact but primary backups encrypted
  - Legal advises on breach notification timeline (72 hours GDPR, varies by US state)
  - Inject: Threat actor publishes sample of stolen data on leak site

Phase 4: Recovery and Communication (45 min)
  - Recovery time estimate: 5-7 days from immutable backups
  - Insurance carrier engages negotiation firm
  - Inject: Major customer threatens contract termination without update within 24 hours

カスタマイズするシナリオ変数：

• 脅威アクターのグループと既知の TTP
• 暗号化されたインフラの割合
• バックアップが無傷か、一部侵害されているか、完全に破壊されているか
• 外部に持ち出されたデータの種類（PII、PHI、財務情報、企業秘密）
• 適用される規制の枠組み（GDPR、HIPAA、PCI DSS、SEC の規則）
• 身代金の額と支払い期限

ステップ 2：演習資料を準備する

参加者向けに次の文書を作成します。

1. 演習概要ブリーフィング - 基本ルール、目的、範囲、参加者
2. 状況報告（SITREP） - フェーズごとに 1 つ作成し、演習の進行に合わせて配布
3. 情報提示カード - 意思決定を促すため、特定のタイミングで提示する新しい情報
4. 意思決定ワークシート - グループの決定を記録するための定型フォーム
5. 評価スコアカード - 対応の質を評価するための基準

盛り込むべき主な意思決定ポイント：

• インシデント対応チームをいつ招集するか
• システムをシャットダウンするか、選択的に封じ込めるか
• 法執行機関（FBI IC3、CISA）に連絡するか
• 身代金を支払うか、またどのような条件で支払うか
• 規制当局、顧客、一般への通知をいつ、どのように行うか
• システム復旧の優先順位をどのように決めるか

ステップ 3: 演習の進行

ファシリテーターの役割:

• 各フェーズのシナリオを提示し、SITREP を配布する
• 事前に決めた時刻にインジェクト（追加情報）を投入し、プレッシャーを高める
• 意思決定の根拠を検証するために、掘り下げた質問を投げかける
• すべての参加者グループが発言できるようにする（IT 担当だけが議論を主導しないようにする）
• すべての決定事項、その根拠、アクションアイテムを記録する
• 時間管理を行う（多くのチームは初期フェーズで時間を失いがちです）

フェーズ別の掘り下げ質問:

フェーズ 1 - 検知:

• 誰がインシデントの宣言を判断するのか？どのような基準で宣言するのか？
• 初期アラートから侵害の範囲をどのように判断するのか？
• 調査を行うための フォレンジック能力は社内にあるのか、それとも外部の支援が必要か？

フェーズ 2 - エスカレーション:

• 従業員向けのコミュニケーション計画はどうなっているか？影響を受けたマシンの電源を入れないよう、従業員は把握しているか？
• 暗号化のさらなる拡大を防ぐために、ネットワークを隔離したか？
• 業務に影響を与えるシステム停止を誰が承認するのか？

フェーズ 3 - 意思決定:

• どのような条件であれば身代金の支払いを検討するのか？
• この時点で、通知に関する法的義務は何か？
• 顧客データの公開漏えいにどのように対応するのか？

フェーズ 4 - 復旧:

• 復旧の優先順位はどうなっているか？文書化されているのか、それとも場当たり的に決めるのか？
• 重要な業務が再開するまでにどのくらいかかるか？
• 法執行機関や保険会社に対して、どのような証拠保全が必要か？

ステップ 4: 対応の評価とスコアリング

各機能領域を、定義された基準に照らしてスコアリングします:

評価領域	スコア (1-5)	基準
検知とエスカレーション		インシデントの適時な宣言、適切な指揮系統
封じ込め		ネットワーク隔離、認証情報のリセット、影響範囲の評価
社内コミュニケーション		従業員への通知、経営層への報告、決定事項の文書化
社外コミュニケーション		規制当局への通知、顧客へのコミュニケーション、メディア対応
復旧計画		バックアップの検証、復旧の優先順位、RTO の追跡
法務とコンプライアンス		漏えい通知の期限、証拠保全、法執行機関との連携
事業継続		手作業による業務運用、顧客への影響の軽減、収益損失の見積もり
支払い判断		構造化された判断の枠組み、法務レビュー、OFAC 制裁リストの確認

ステップ 5: 所見と是正計画の文書化

演習終了後 5 営業日以内に、事後レビュー報告書（AAR）を作成します:

AAR の内容:

1. 演習の概要と目的
2. シナリオの概要とインジェクト
3. 行った主要な決定と、その根拠
4. 確認された強み
5. 特定されたギャップと、その重大度評価
6. 担当者と期限を定めた是正アクション
7. 前回の演習結果との比較（該当する場合）

主要な概念

用語	定義
机上演習（Tabletop Exercise, TTX）	参加者がシミュレートされたインシデントのシナリオを順に検討し、計画や手順を検証する、ディスカッション形式の演習
インジェクト（Inject）	演習中に投入される新たな情報で、シナリオを変化させ、追加の意思決定を促す
SITREP	各演習フェーズにおける、シミュレートされたインシデントの現状を伝える状況報告
事後レビュー報告書（After-Action Report, AAR）	演習後に作成され、所見、ギャップ、強み、是正アクションを記録する文書
二重恐喝（Double Extortion）	攻撃者がデータを暗号化するとともに、身代金を支払わなければ窃取したデータを公開すると脅迫するランサムウェアの手口
OFAC チェック	身代金の支払い先が米国財務省 OFAC の制裁リストに掲載されていないことを確認する作業。掲載されている場合、支払いは違法となる

ツールとシステム

• CISA Tabletop Exercise Packages (CTEPs)：重要インフラ部門向けにCISAが提供する無料のシナリオパッケージ
• FEMA Homeland Security Exercise and Evaluation Program (HSEEP)：演習の設計、実施、評価の方法論
• Immersive Labs：リアルタイムのスコアリングを備えた、対話型のサイバー危機シミュレーションを提供するプラットフォーム
• Tabletop Scenarios (from NCSC UK)：無料のガイド付き机上演習を提供するExercise in a Boxツール
• Ransomware Readiness Assessment (CISA)：ランサムウェアへの備えを評価するための自己評価ツール

よくあるシナリオ

シナリオ：医療システムを狙った二重恐喝演習

背景：5つの病院を運営する医療システムが、毎年ランサムウェア机上演習を実施しています。前回の演習では、HIPAAに基づく情報漏えい通知と、臨床システムの復旧優先順位に関する不備が明らかになりました。今年のシナリオでは、EMRシステムを標的とする二重恐喝攻撃をシミュレーションします。

アプローチ：

1. Cl0p MOO（Managed Operations Operator）のTTPに基づいてシナリオを設計します。MOVEitの脆弱性を悪用した初期アクセス、患者記録50万件のデータ窃取に続き、EMRデータベースサーバーを暗号化します。
2. 参加者：CISO、CIO、CMO（最高医療責任者）、法務顧問、コミュニケーション担当副社長、臨床業務部長、プライバシー責任者、外部IR企業の代表者
3. フェーズ1の状況提示：EMRシステムが停止し、救急部門が患者を近隣の病院へ搬送しています。
4. フェーズ2の状況提示：HHS OCR（公民権局）から、患者データがダークウェブに掲載されたとの報告について連絡が入ります。
5. フェーズ3の状況提示：攻撃者が350万ドルと引き換えに復号キーのサンプルを提示し、期限を48時間とします。
6. 主な発見事項：組織には身代金支払いの判断基準が文書化されておらず、OFACに準拠した支払い手段も事前に特定されていませんでした。
7. 是正措置：支払い判断の枠組みを確立し、ランサムウェア交渉企業と事前に契約し、具体的な期限を盛り込んでHIPAAに基づく情報漏えい通知手順を更新します。

落とし穴：

• 実際のランサムウェアのTTPを反映しない非現実的なシナリオを設計すると、演習の信頼性が低下します。
• 技術チームが演習を主導し、ビジネス部門や法務部門の参加者が受け身になってしまうことがあります。
• コミュニケーション計画をテストしないことがあります（実際のインシデントが発生して初めて、通知先リストが古くなっていると気づく組織は少なくありません）。
• AARで特定された是正措置のフォローアップを怠ると、演習の価値が損なわれます。

出力形式

## Ransomware Tabletop Exercise - After Action Report

**Exercise Date**: [Date]
**Facilitator**: [Name]
**Scenario**: [Brief description]
**Duration**: [Hours]
**Participants**: [Count by department]

### Exercise Objectives
1. [Objective] - Met / Partially Met / Not Met
2. [Objective] - Met / Partially Met / Not Met

### Key Decisions Log
| Time | Decision Point | Decision Made | Rationale | Assessment |
|------|---------------|--------------|-----------|------------|

### Strengths Observed
1. [Strength]

### Gaps Identified
| Gap | Severity | Affected Area | Current State | Desired State |
|-----|----------|--------------|---------------|---------------|

### Remediation Actions
| Action | Owner | Deadline | Priority | Status |
|--------|-------|----------|----------|--------|

### Comparison to Previous Exercise
| Area | Previous Score | Current Score | Trend |
|------|---------------|--------------|-------|