情報セキュリティ・暗号・認証 重要度:★★★出題: AM・PM
ランサムウェア対策とBCP
らんさむうぇあ / Ransomware & Business Continuity Plan
システム内のデータを暗号化して身代金を要求し、さらに情報暴露で二重脅迫を行う現代最凶マルウェアへの多層防御と復旧計画。
3行速習ポイント
- 二重脅迫（暗号化による業務停止＋盗んだ機密情報のダークウェブ暴露予告）が主流
- サプライチェーン・VPN脆弱性・フィッシング・リモートデスクトップ（RDP）が主要侵入経路
- オフライン（不変）バックアップ「3-2-1-1-0ルール」とEDRによる早期検知・ネットワーク隔離が復旧の生命線
図解
図二重脅迫型ランサムウェアに対する4大防御・BCPピラー構成要素・基本原則
水際侵入防止 × 内部横展開阻止 × イミュータブルバックアップ × BCP復旧訓練🏛 二重脅迫型ランサムウェアに対する4大防御・BCPピラー（中核を構成する 4 つの柱）
水際防御
1. 侵入経路の封鎖（境界防御）
VPN/RDP機器の脆弱性パッチ即時適用と多要素認証（MFA）強制
攻撃者の主要侵入口となるSSL-VPN装置や公開サーバの既知脆弱性（CVE）をASMで常時把握して即時パッチ適用し、クレデンシャル窃取に備えて証明書＋MFAを必須化する。
拡大・漏洩阻止
2. 内部横展開・情報窃取の阻止
マイクロセグメンテーションとEDR振る舞い検知による即時隔離
万一端末が侵害されても、AD特権奪取やファイルサーバへの横展開（ラテラルムーブメント）、および二重脅迫用の大量データ外部送信をEDR/SIEMで検知し端末をネットワークから自動隔離する。
データ保全
3. イミュータブル（不変）バックアップ
ネットワーク分離（エアギャップ）またはWORMストレージでの保護
攻撃者によるバックアップデータの道連れ暗号化・削除を防ぐため、本番NWから切り離したオフライン環境または書き換え禁止（WORM）設定のクラウドストレージに世代保管する。
事業継続・復旧
4. 事業継続計画（BCP）と復旧演習
RTO/RPOに基づくクリーン環境へのリストア手順と代替業務運用
システム停止中の手作業代替フローを整備するとともに、バックアップから目標復旧時間（RTO）内に実環境を再構築できるかを検証する実践的なリストア訓練を定期実施する。
💡 バックアップからリストアする際は、再感染を防ぐため「侵入経路となったVPN脆弱性や侵害アカウントの閉鎖」と「バックアップデータのマルウェアスキャン」を事前に完了させることが必須。
概要と本質
ランサムウェア攻撃は近年「サプライチェーン攻撃」と組み合わされ、中小の委託先や海外子会社を経由して本丸の基幹システムへ横展開（ラテラルムーブメント）するケースが激増しています。暗号化解除キーだけでなくデータ非公開を要求する多重脅迫が行われるため、身代金支払いは根本解決になりません。
重要ポイント・コア概念
- 初期侵入防止（VPNパッチ適用、公開資産の脆弱性管理、EDR導入）
- 横展開阻止（ネットワークマイクロセグメンテーション、特権アカウント保護）
- イミュータブル（不変・書換不可）バックアップのオフライン分離保管
- 事業継続計画（BCP）に基づく代替業務フローの策定とリストア訓練
応用情報（午前択一・午後長文記述）での出題・得点戦略
午後記述の超頻出テーマ。「バックアップデータのオフライン保管（改ざん防止）」「EDRによる感染端末の即時ネットワーク切り離し」「認証情報の使い回し防止」を問う問題が連続出題されています。
