ランサムウェア被害からの復旧とバックアップ設計

K社は、従業員280名の精密部品メーカーであり、本社工場と第2工場で自動車部品向けの加工品を生産している。情報システム課は L課長と M主任の2名で、サーバとネットワークの運用を担当している。サーバの保守は保守ベンダT社に委託している。K社は、セキュリティ対策の相談先としてセキュリティベンダS社と契約しており、S社の情報処理安全確保支援士(登録セキスペ)である P氏が支援を担当している。

〔K社のシステム構成〕 K社の主な機器を表1に、バックアップの設計を表2に示す。

表1 主な機器(抜粋)

注記 T社の作業用に、VPN-GW の利用者ID maint01 と、Domain Admins に所属するドメインアカウント maint01 を用意している。T社の担当者が覚えやすいよう、両者には同じパスワードを設定している。maint01 は T社の担当者3名が共用している。

表2 バックアップ設計表

注記 BK1 のバックアップソフトの管理画面には、svc-bk のパスワードでログインする。テープ装置は2年前に廃止した。

〔インシデントの発生と初動〕 10月3日(土)の6時頃、第2工場の夜勤の担当者から、ERP1 にアクセスできないと L課長に連絡があった。L課長がリモートで確認したところ、FS1 のファイルの拡張子が全て .lkx に変わっており、各フォルダに脅迫文のテキストファイルが置かれていた。脅迫文には、データを暗号化したこと、社内のデータを窃取したこと、72時間以内に暗号資産で支払わなければデータを公開することが書かれていた。

L課長は出社後、P氏に連絡したうえで、次の初動を行った。

• インターネット回線をファイアウォールで遮断し、VPN-GW を停止した。
• 工場セグメントとサーバセグメントの間の通信を遮断した。
• サーバの電源を切るべきだという意見が社内から出たが、①L課長は電源を入れたまま、スイッチのポートを無効にしてサーバをネットワークから切り離した。
• VPN-GW のログの保存期間が30日であったので、ログを全てエクスポートして保全した。

P氏の助言を受け、K社は警察に相談した。また、FS1 には従業員と取引先担当者の個人データが保存されていたので、個人情報保護委員会への報告の準備を始めた。

〔調査〕 P氏は、S社のチームと保全したログを調査した。VPN-GW のログの抜粋を図1に、AD1 と BK1 の Windows イベントログの抜粋を図2に示す。BK1 では、プロセス作成の監査とコマンドラインの記録を有効にしていた。

図1 VPN-GW のログ(抜粋)

日時            利用者ID  送信元IPアドレス  結果  割当アドレス
09-26 02:14:08  maint01  203.0.113.45     成功  10.8.0.21
09-26 02:39:51  maint01  203.0.113.45     切断  10.8.0.21
10-03 01:52:10  maint01  203.0.113.45     成功  10.8.0.21

図2 Windows イベントログ(抜粋)

日時            機器  イベントID  内容
09-26 02:20:33  AD1   4624  ログオン成功 TargetUserName=maint01 LogonType=10 IpAddress=10.8.0.21
10-03 02:05:12  BK1   4624  ログオン成功 TargetUserName=maint01 LogonType=10 IpAddress=10.8.0.21
10-03 02:41:02  BK1   4688  プロセス作成 vssadmin.exe delete shadows /all /quiet
10-03 02:42:30  BK1   4688  プロセス作成 bkcli.exe catalog delete --all
10-03 02:47:15  BK1   (バックアップソフト) クラウドストレージ上の全バージョンの削除要求: 拒否(オブジェクトロック)
10-03 02:55:40  BK1   4688  プロセス作成 C:\Users\Public\lk.exe \\NAS-BK\backup \\FS1\share \\ERP1\d$ \\AD1\c$

注記 bkcli.exe は、バックアップソフトのコマンドラインツールである。

T社に確認したところ、図1の日時に VPN 接続した担当者はいなかった。保全した30日分の VPN-GW のログには、maint01 の接続は図1の3件以外になく、他の利用者IDにも不審な接続は見当たらなかった。VPN-GW の製造元は、9月10日に、認証前の攻撃者が装置の設定ファイル(登録された利用者のパスワードを含む)を読み出せる脆弱性と、その修正版ファームウェアを公表していた。K社は、工場の稼働への影響を避けるため、修正版の適用を10月10日の定期保守で行う予定にしていた。

P氏は、次のように分析した。攻撃者は、脆弱性を悪用して maint01 のパスワードを入手し、VPN 接続した。その後、図2の LogonType の値から、AD1 に【 a 】でログオンしたと考えられる。約1週間後、攻撃者は BK1 にログオンし、Windows の【 b 】とバックアップのカタログを削除して復元を妨げたうえで、暗号化を実行した。

調査の結果、NAS-BK 上のバックアップファイルは全て暗号化されていた。一方、クラウドストレージ上の ERP1 の DB の複製は、削除要求が拒否されていたため、9月20日分から10月3日分までの14世代が残っていた。

〔復旧の計画〕 L課長は、P氏と復旧の計画を検討した。AD1 は侵害されており、AD1 のバックアップも残っていないので、新しいドメインコントローラ AD2 を構築し、ドメインを新規に作ることにした。検討した復旧順序の表を表3に示す。

表3 復旧順序検討表

L課長は、表3の依存先を踏まえ、【 c 】、ERP1、FS1 の順に復旧することにした。ERP1 の DB は、侵入開始より前に取得した9月26日分までは安全と判断できるが、それ以降のデータが失われる。そこで、10月3日分を隔離した検証環境に復元し、不審な変更がないことを確認してから利用する方針とした。

P氏は経営会議に先立ち、IPA の「ランサムウェア被害から学ぶ教訓集」のコラムで紹介されている警察庁の説明(身代金の支払いは犯罪グループ等の活動資金となることが懸念される、支払っても暗号化されたデータの復号が保証されるわけではない)を、経営層に資料として共有していた。経営会議では、社長から「身代金を支払えば早く復旧できるのではないか」という質問があり、P氏が説明を行った。K社は身代金を支払わないことを決めた。

〔再発防止策〕 P氏は、予算と人員の制約を踏まえ、次の再発防止策を提案した。

• VPN-GW の修正版ファームウェアを適用し、多要素認証を導入する。T社の担当者ごとに利用者IDを分け、作業時だけ有効にする。
• ドメインアカウント maint01 を廃止し、管理者権限は担当者ごとの専用アカウントに限定する。
• サーバに EDR を導入し、S社の監視サービスでアラートに休日・夜間も対応する。
• BK1 はドメインに参加させず、NAS-BK の共有フォルダの常時接続をやめる。②バックアップソフトの管理とバックアップの削除に用いるアカウントは、AD のアカウントと分離し、多要素認証を設定する。
• FS1 のバックアップも、オブジェクトロックを設定したクラウドストレージに複製する。さらに、月1回、オフラインの媒体にも保管する。
• ③オブジェクトロックの保持期間を見直す。
• 半年に1回、表3の手順で復元の訓練を行う。