インシデント対応・フォレンジック重要度:★★★出題: AM2・PM1

ランサムウェア対策 (二重脅迫・イミュータブルバックアップ)

らんさむうぇあたいさく / いみゅーたぶるばっくあっぷ / Ransomware Defense / Double Extortion / Immutable (3-2-1-1-0) Backup

データを暗号化して身代金を要求するだけでなく、事前に窃取した機密情報の公開を脅す二重脅迫（ダブルエクストーション）型ランサムウェアへの予防・検知・復旧対策。

3行速習ポイント

侵入経路のトップは「VPN機器・リモートデスクトップ（RDP）の脆弱性や認証情報漏洩」であり、境界機器のパッチ適用と多要素認証が最優先
攻撃者はバックアップデータやVSS（ボリュームシャドウコピー）も破壊・暗号化するため、ネットワークから切り離したオフライン保管やWORM（書き換え不能）なイミュータブルバックアップが必須
二重脅迫（データ窃取＋暗号化）ではバックアップから業務復旧できても「情報漏洩」は防げないため、侵入検知（EDR）と大量データ外部送信の監視・遮断が不可欠

図二重脅迫型ランサムウェアに対する予防・検知・復旧の3層防衛線

侵入防止

第1層：侵入予防（境界機器保護・多要素認証）

VPN/RDPの脆弱性パッチ即時適用とフィッシング耐性MFA

ランサムウェアの最大侵入経路であるVPN装置やリモートデスクトップの脆弱性放置をなくし、クライアント証明書＋MFAで不正ログインを阻止

↕

漏洩・拡大阻止

第2層：二重脅迫（情報窃取）対策と横展開封じ込め

EDR振る舞い検知・AD特権保護・大量外部送信アラート

暗号化実行前の内部偵察・権限昇格をEDRで検知して端末隔離し、機密データの外部ストレージ等への大量送信をSWG/CASB/SIEMで遮断

↕

確実な事業復旧

第3層：イミュータブル（WORM）・オフラインバックアップ

本番NWから切り離された書き換え不能バックアップと復旧手順

攻撃者によるバックアップ道連れ暗号化（VSS削除等）を防ぐため、ネットワーク分離またはWORM（書き換え禁止）ストレージに保管しクリーン環境へ復旧

💡 バックアップからリストアする前には、再感染を防ぐため必ず「侵入経路（VPN脆弱性や漏洩ID）の根絶」と「バックアップ内のマルウェア残存スキャン」を実施する

現代のランサムウェア（RaaS：Ransomware as a Service）は、侵入後すぐにファイルを暗号化するのではなく、数週間かけてActive Directoryのドメイン管理者権限を奪取し、バックアップサーバを破壊し、機密データを外部へアップロードしてから一斉に暗号化を実行します。

3-2-1-1-0バックアップルール：3つのコピー、2種類の媒体、1つはオフサイト（遠隔地）、1つはオフライン（エアギャップ）またはイミュータブル（WORM：Write Once Read Many）、復旧テストでのエラー0件
リストア前のクリーンアップ検証：バックアップ自体に潜伏中のマルウェアやWebシェルが含まれていると、復旧直後に再感染するため、隔離環境でのスキャンと侵入原因（脆弱性・漏洩ID）の根絶を行ってから復旧する
個人情報保護委員会等への報告義務：二重脅迫や暗号化被害は個人の権利利益を害するおそれが大きいため、漏洩の確証がなくても「漏洩のおそれ」段階で速報（3〜5日以内）・確報（30日/60日以内）が必要