5-3-1. 最近のサイバー被害事例発生の傾向

サプライチェーンを通じて、被害が起きた原因の分析内容および効果的なセキュリティ対策ベストプラクティスを紹介します。

サプライチェーンを通じた被害

図17. 攻撃の概要図

5-3-2. 事例：某港のランサムウェア被害

港湾施設のターミナルシステムが大規模なランサムウェアによるサイバー攻撃を受けて停止し、3日間にわたり、コンテナの搬入、搬出が停止し物流に大きな影響を及ぼしました。

ランサムウェアの感染経路として考えられるのは、VPN機器からの侵入、USBメモリからのウイルスの持ち込み、事業者間のネットワーク連携で運用しているNAT変換による接続からの侵入があります。しかし、サーバー内のデータがすべて暗号化されているため、ログの解析が困難となり、感染経路を特定することができませんでした。物理サーバーがすべて暗号化されていることからVPN機器からの侵入が行われた可能性が高いと見られています。数か月前からVPN機器および物理サーバーの脆弱性が公表されていたにも関わらず、IPアドレスの制限をかけていなかったため、IDとパスワードが一致すればどこからでもアクセスできる状況になっていました。

図18. 攻撃の概要図

会社の規模、業種を問わず、ランサムウェアの被害に遭う可能性はあります。大事なことは、「自社が狙われている」という危機感を持つことです。ランサムウェアに限らず、他の事例も含めて、危機感を持ちセキュリティ対策を総合的に取り組むことが重要です。

5-3-3. 具体的な対応策

ランサムウェア被害のケースを見ると、VPN機器から不正侵入され、サーバーの特権IDを使用してサーバーのデスクトップ上から不正プログラムを実行されるケースが後を絶ちません。セキュリティ対策、運用については、まず、VPNで接続するためのインターネットとの接点を絞りこみ、接続してくる者の身元を確認し、本人であることを証明させる多要素認証の仕組みを講じることが必要となります。それ以外にも、特定のPCやサーバーからしか重要なサーバーのデスクトップに接続できないような仕組みや、ログの長期保管なども重要な要素となります。

図19. 対応策の概要図

実施するべきセキュリティ対策と運用

• VPN接続の認証に多要素認証を実装し、接続する個人の身元を証明します。
• ジャンプサーバーを構築し、社内のサーバーへのリモートデスクトップはジャンプサーバーからの接続のみ許可します。
• サーバーの特権アカウントのパスワードを、定期的に変更します。
• PCのAdministratorアカウントを無効化するか、LAPSなどのツールを用いて定期的に動的なパスワード変更を行います。
• サーバーやネットワーク機器のログを長期的に取得し、定期的に確認します。
• 社内で利用しているネットワーク機器やソフトウェアの脆弱性情報について、定期的に確認します。
• ネットワーク機器のファームウェアや、使用しているPCのOS、ソフトウェアのセキュリティパッチを適用します。