ランサムウェアは「起きてからが本番」
ランサムウェアは、システムやデータを暗号化して復旧できない状態にし、その解除と引き換えに金銭を要求する攻撃です。国内外で被害が相次いでおり、業種を問わずサービス停止に追い込まれる企業が後を絶ちません。
この種の脅威は、もはや一部の大企業だけの話ではありません。サービスの提供に一定の規模が伴えば、その影響は利用者の日常にまで及びます。だからこそ企業は、いかに防ぐかだけでなく、実際に被害が発生したあとどう対応するかという、次のフェーズへの備えを求められています。
あえて「感染後」から始める実地訓練
今回の訓練の大きな特徴は、システムがすでに攻撃者に侵入され、ファイルの暗号化が進行しているという設定からスタートしたことです。「何かが起きているのかもしれない」と参加者自身が気づき、実際のログに近い情報をもとに状況を把握していかなければならない、実戦さながらの内容でした。
被害を防ぐための備えの見直しから、復旧・サービス再開の判断に至るまで、一連の流れを体験する設計です。こうした訓練を担うCSIRT（Computer Security Incident Response Team：インシデント対応専門チーム）には、技術を知っているだけでなく、それを実際に使いこなす力が求められます。
訓練は、LINEヤフーの実際の対応プロセスや社内プラットフォームを踏まえたシナリオをベースに、外部パートナーの知見を取り入れて設計されました。「誰がどのタイミングで異常に気づくか」という視点と、それを支えるチーム体制まで含めて体感的に確認することで、実際のインシデント対応に近い訓練を目指したといいます。
異常はどう「重大インシデント」になるのか
訓練シナリオでは、ECサービスのアプリケーションサーバーで異常が検知される場面から始まります。単なるシステム不調にも見えますが、SOC（Security Operation Center：システムのログを監視し、異常を検知するチーム）による調査で、不審な「ランサムノート（脅迫状）」と、Active Directoryの認証やアクセス権限を管理する仕組みへの不正アクセスの痕跡が見つかります。
断片的だった情報がつながった瞬間、そうと分かった時点で、事案は「重大インシデント」として扱われ、対応体制が一気に広がります。
これは単なるトラブルではない。ランサムウェア攻撃だ
――訓練会場での発言より
LINEヤフーでは、こうしたインシデント発生時にはCSIRTを中心に各部署が連携し、初動から復旧まで一気通貫で対応する体制をとっているといいます。
訓練を通じて明らかになった攻撃の入り口は、想定外のソフトウェアに存在した脆弱性でした。原因が分かったあとも、ネットワークからの遮断や、パスワードのリセットなど被害拡大を防ぐための対応が次々と実行されていきます。ここで重視されるのは、被害を広げないことを最優先にしつつ、どこまで影響が及んでいるかを見極めながら並行して手を打つ判断力です。
「復旧」と「再開」は別物――ユーザーの安心を支える最後の判断
被害の全容がつかめ、原因が特定されると、次はサービス復旧に向けた判断が待っています。いつの時点のデータに復元するのか、どのような方法でシステムを戻すのか。技術的な観点だけでなく、ユーザーへの影響も踏まえながら、最終的な判断が下されます。
訓練で強調されたのは、「復旧（データのリストア）」と「サービス再開（事業の再稼働）」は同じではないという点です。システムが復旧したとしても、それだけで直ちに再開できるとは限りません。再発するリスクはないか、ユーザーへの説明は十分か――幅広い観点から検証したうえで、最終判断が下されます。
この訓練では、すべてが計画どおりに進んだわけではなく、情報共有に時間がかかる場面や、判断の相違が生じる場面もあったといいます。しかし、そうした「揺らぎ」こそが、備えにおいて重要な学びになるとされました。バックアップが仮に想定どおりに使えなかった場合どう対応すべきか、といった議論も行われたそうです。
何も起きない日常を守るために
今回の訓練を担当したパートナー企業の担当者は、セキュリティインシデント対応で生じる緊張感やプレッシャー、そして正解のない判断を下す難しさは、実践を通じてしか学べないと振り返っています。だからこそ、生々しいリアルな設定・シナリオにこだわったといいます。
AIの発展がサイバー攻撃の脅威も同時に加速させつつある今、こうした訓練を通じて組織の対応力を継続的に磨き上げていくことが、これからの防御の前提になっていくといえそうです。セキュリティ対策は一度整えれば終わりではなく、こうした取り組みを繰り返し、更新し続けていくことが、レジリエンス（回復力）の向上につながっていきます。
KAROYAイージスからひとこと
「攻撃を防ぐ」ことと「攻撃を受けたあとにどう凌ぐか」は、どちらも欠かせない備えです。KAROYAイージスのTLPT演習は、実在するハッカーの手口をトレースし、予告なしで疑似攻撃を仕掛けることで、まさにこうした「侵入されたあとの対応力」を組織全体でテストするサービスです。訓練を通じて自社の初動対応を確認したい方は、お気軽にご相談ください。
出典
「『何も起きない日常』を守るために『感染後』から始まるランサムウェア対応訓練の現場」LINEヤフーストーリー 記事を見る