潜伏期間が短くなったサイバー攻撃に対応するには

いまや、攻撃を受けてしまった被害者個人だけでなく、その組織、さらには関係する行政やインフラにまで影響を及ぼすようになったランサムウェア。2021年に入って、米国の最大手ガスパイプラインのコロニアル社の攻撃やアイルランドの医療サービス運営機構の攻撃など、次々に報道されています。増加の前年比は400％を超えており、攻撃のプロ集団だけでなく、「攻撃サービス」を利用するケースも多くなっています。

出典: Deep Instinct「2020 Cyber Threat Landscape Report (英語)」
出典: Blackfog「The State of Ransomware in 2021 (英語)」

サイバー攻撃について内容を掘り下げるときに、よく引き合いに出されるものとして、被害組織によって攻撃が発覚した時刻と、実際に攻撃が行われた時刻の差、いわゆる潜伏期間があります。この潜伏期間は、ほんの数年前までは100日から長いものでは400日ともいわれることがありましたが、ランサムウェアの流行によってか、その期間は数十日に縮まりました。さらに、ディープインスティンクトのこのレポートでは、ランサムウェアが実行されてからエンドポイントが感染（危殆化）してしまうまで0.016秒であると指摘しています。これはともすると、攻撃者がいかに素早く報酬を稼ごうとしているかの現れと捉えることができるかもしれません。

一方で、攻撃から身を守る場合、この驚異的なスピードに対応する検知を実現するには、従来のEDRでは難しいとレポートは指摘しています。つまり、攻撃の検知だけではランサムウェア感染を防ぐことはできず、予防対策・事前対策に重点を置くことが大切だとしています。そして検知後には、どのように侵入されたかや、万が一の場合は対象のエンドポイントをネットワークから隔離する、ファイルを削除するなどの対策をセットで実現できるものが求められているとしています。