[KB3433] ランサムウェアから身を守るためのベストプラクティス

一般的なランサムウェア対策のベストプラクティス - 暗号化ベースのマルウェア（ランサムウェア）からのリスクを最小限に抑える

• システムのバックアップを取る

  定期的にシステムのバックアップを取ることを計画し、少なくとも1つのバックアップをオフライン・ストレージに保存して、最新の作業を攻撃から守りましょう。

• ユーザー権限と権利の制限

  アプリケーション・データへのアクセス制限や、グループ・ポリシー・オブジェクト（GPO）としてあらかじめ組み込まれているものなど、さまざまな種類の制限があります。

  • AppData および LocalAppData フォルダから実行されるファイルを無効にする。

  • Tempサブディレクトリ（デフォルトではAppDataツリーの一部）からの実行をブロックします。

  • さまざまな解凍ユーティリティ（WinZip や 7-Zip など）の作業ディレクトリから実行される実行可能ファイルをブロックする。

    さらに、ESET Endpoint Security/Antivirus、ESET Mail Security、ESET File Security では、HIPS ルールを作成して、特定のアプリケーションのみコンピュータ上で実行することを許可し、それ以外はデフォルトでブロックすることができます：#HIPS ルールを作成し、ESET PROTECT On-Prem を使用してクライアントのワークステーションに適用する' target='_self'#@#.

• ユーザーアカウント制御（UAC）を無効にしない

  FAX、請求書、領収書を名乗る添付ファイルは、不審な名前がついていたり、受信することを予期していなかったりする場合は、開かないでください。

  マルウェア攻撃のリスクを最小限に抑えるにはどうすればよいですか？

• 二要素認証（2FA）を使用する

  ESET Secure Authentication をお勧めします。

• 脅威防御

  ESET LiveGuard Advanced をお勧めします。

• グループポリシーでMicrosoft Officeのマクロを無効にする

  Office 2013/2016 (以下のリンクは 2013 用ですが、2016 でも同じ設定です)：OfficeのVBAマクロのセキュリティ設定を計画する

• システムを最新の状態に保つ

  利用可能な最善の保護を確保するために、オペレーティングシステムとアプリケーションを常に最新の状態に保ってください。Windows Updateツールで提供される優先度の高い最新の更新プログラムをインストールし、定期的に確認するか、自動更新機能を有効にします。新しいセキュリティ更新プログラムは、システムの脆弱性にパッチを適用し、マルウェア攻撃のリスクを低減します。

• 開いたままにすると悪用される可能性のあるポート/サービス

  未知のIPアドレスによるブルートフォース攻撃を防ぐため、SMB、SQL、RDPをロックすることを強くお勧めします。

  1. SMB

     ファイル共有ポート135-139と445を閉じる。SMBポートはインターネットに公開しないでください。

  2. SQL

     SQLへの接続を許可する信頼できるIPアドレスをホワイトリストに登録する。

  3. RDP

     • 外部接続のRDPを閉じて、外部からのRDPブルートフォース攻撃を阻止する。内部ネットワークへの接続には二要素認証付きVPNを使用する。

     • 一定回数の試行失敗後にアカウントを自動的にロックアウトするように設定する。アカウントがロックアウトされた後の自動ロック解除のための待機期間を含める。

     • 強固なパスワードの強制

     • 管理者、admin、rootなど、一般的な未使用のデフォルト・アカウントを無効にする。

     • 特定のユーザーとグループをホワイトリストに登録し、RDPを使用したログインを許可する。

     • 特定のIPアドレスをホワイトリストに登録し、RDP接続を許可する
       
       

• リモート・デスクトップ・プロトコルの攻撃に対するベスト・プラクティス

  暗号化ベースのマルウェアは、Windowsに統合されたリモート・デスクトップ・プロトコル（RDP）ツールを使用して標的のマシンにアクセスすることがよくあります。RDPを使用すると、他人がリモートでシステムに接続できるため、攻撃者はRDPを悪用して保護を解除し、マルウェアを展開することができます。

  リモート・デスクトップ・プロトコルを無効にするか、変更することをお勧めします。RDPを使用する必要がない場合は、デフォルトのポート（3389）を変更するか、RDPを無効にして、ランサムウェアやその他のRDPエクスプロイトからマシンを保護することができます。RDPを無効にする方法については、以下のMicrosoft Knowledge Baseの該当記事を参照してください：

  • Windows 11
  • Windows 10
  • Windows 8
  • Windows 7

  RDPの詳細については、以下のWeLiveSecurityの記事を参照してください：リモートデスクトップ（RDP）ハッキング101：ここからあなたのデスクトップを見ることができます！

• ESET製品の設定をパスワードで保護する

  ビジネスユーザであれば、パスワードを使用してESET製品を攻撃者による改ざんから保護することをお勧めします。これにより、認証されていない設定の変更、保護機能の無効化、ESET 製品のアンインストールを防ぐことができます。RDP を使用する場合は、RDP ログイン認証に使用するパスワードとは異なるパスワードを使用することをお勧めします。

  詳細については、ESET製品をパスワードで保護する方法を参照してください。

暗号化されたファイルは復元できますか？

最新のランサムウェアは、非対称的な手法と複数の種類の暗号化を使用してデータを暗号化します。つまり、ファイルは公開鍵で暗号化され、関連する秘密鍵がなければ復号化できません。現在のランサムウェアでは、秘密鍵が影響を受けるワークステーションや環境に存在することはありません。つまり、感染前に作成された適切なバックアップからデータを復元する必要がある。

バックアップがない場合は、シャドウ・コピーからファイルの復元を試みることができます。シャドウエクスプローラを使用することができます。シャドウエクスプローラは、次のWebページからダウンロードできます： http://www.shadowexplorer.com/downloads.html

ただし、ランサムウェアに感染するとシャドウコピーが削除され、ファイルの復元ができなくなることが少なくありません。

ランサムウェアに感染した場合、どのような手順を踏む必要がありますか？

1. コンピュータをネットワークから切断します。

2. 暗号化された共有フォルダ/ドライブの「復号化方法」など、支払い方法が記載された TXT または HTML ファイルを見つけます。これは当社のマルウェア研究者がさらに分析するために使用する可能性があります。

3. お近くのESETパートナーにお問い合わせください.