ランサムウェア攻撃 ― 手遅れになる前にSIEMで検知する方法
ランサムウェアのキルチェーンに沿った7つの検知ルールを解説します。暗号化が完了する前にSIEMで検知して止める、具体的な方法をまとめました。
ランサムウェア攻撃 ― 手遅れになる前にSIEMで検知する方法
ランサムウェアは、いまタイで深刻なサイバー脅威の一つです。検知が間に合わず、数百万バーツ規模の身代金を支払うことになった組織は少なくありません。この記事では、手遅れになる前にSIEMでランサムウェアを検知する方法を解説します。
ランサムウェアはどのように攻撃してくるのか
攻撃者は明確な手順を踏むランサムウェア・キルチェーンに沿って動きます。正しく設定されていれば、SIEMはすべての段階を検知できます。
| 段階 | 活動内容 | 検知できるログ |
|---|
| 1. 初期侵入(Initial Access) | フィッシングメール、RDPブルートフォース | メールログ、Event ID 4625 |
| 2. 実行(Execution) | ペイロードの実行、PowerShell | Event ID 4688、Sysmon |
| 3. 永続化(Persistence) | サービスの作成、スケジュールタスクの追加 | Event ID 7045、4698 |
| 4. 権限昇格(Privilege Escalation) | 管理者権限の取得、DCSync | Event ID 4672、4662 |
| 5. 横展開(Lateral Movement) | PsExec、RDPによる他端末への移動 | Event ID 4624(Type 3) |
| 6. 情報窃取・外部送信(Exfiltration) | データの外部送信 | ファイアウォールログ、DNSログ |
| 7. 暗号化(Encryption) | 全ファイルの暗号化 | ファイル監査ログ、SIEMアラート |
ランサムウェア対策の7つの検知ルール
ルール1: RDPブルートフォース
条件: Event ID 4625(ログイン失敗)が5分間に20回以上
+ ログインタイプ = 10(リモートデスクトップ)
深刻度: HIGH
対応: IPをブロック + 即時アラート
ルール2: 不審なPowerShellの実行
条件: Event ID 4688(プロセス作成)
+ コマンドラインに次のいずれかを含む: "-enc"、"IEX"、"DownloadString"、"Invoke-"
深刻度: CRITICAL
対応: SOCへアラート + プロセスを強制終了
ルール3: 新規サービスの作成
条件: Event ID 7045(新規サービスのインストール)
+ サービス名がホワイトリストに存在しない
深刻度: HIGH
対応: アラート + 調査
ルール4: 大量のファイル暗号化
条件: ファイル監査ログで以下を検知:
+ ファイル名変更が1分間に100件以上
+ 拡張子が .encrypted、.locked、.crypto に変化
深刻度: CRITICAL
対応: アラート + 即時ホスト隔離
ルール5: シャドウコピーの削除
条件: Event ID 4688
+ コマンドラインに "vssadmin delete shadows" を含む
深刻度: CRITICAL
対応: 即時アラート ― ランサムウェアがバックアップを削除しようとしています
ルール6: 異常な送信トラフィック
条件: ファイアウォールログで以下を検知:
+ 送信データ量が1時間で1GB超
+ 送信先が過去に通信履歴のない国(ロシア、北朝鮮、イランなど)
深刻度: HIGH
対応: ブロック + アラート
ルール7: 異常なドメイン管理者ログイン
条件: Event ID 4624(ログイン成功)
+ ユーザー名 = ドメイン管理者
+ 送信元IPが通常の管理端末と異なる
深刻度: CRITICAL
対応: 即時アラート
インシデントレスポンス ― ランサムウェア検知後に行うべきこと
- 隔離(Isolate) ― 感染端末を直ちにネットワークから切り離す
- 封じ込め(Contain) ― RDPを無効化し、すべての管理者パスワードを変更する
- 調査(Investigate) ― SIEMを使って侵入経路を特定する
- 駆除(Eradicate) ― マルウェアを除去し、侵入の原因となった脆弱性を塞ぐ
- 復旧(Recover) ― バックアップからリストアする
- 報告(Report) ― タイのコンピュータ犯罪法(พ.ร.บ. คอมพิวเตอร์)に基づき当局へ報告する
⭐ zcrLogならランサムウェアを検知できます
zcrLog には、ランサムウェア対応の検知ルールがあらかじめ用意されています。
- ✅ Sigma Rules ― 既知のランサムウェアのパターンを検知
- ✅ AIによるルール自動生成 ― 新しい検知ルールを自動で作成
- ✅ MITRE ATT&CKマッピング ― 攻撃の進行段階を可視化
- ✅ LINE・Teamsでのアラート通知 ― 発生と同時に即時通知
- ✅ Attack Map ― 攻撃の発信元を可視化
📖 詳しく読む: MITRE ATT&CKとは?
🎯 zcrLogの詳細を見る →
📞 無料相談
関連記事
関連する比較と運用の詳細は、次の記事をご覧ください。
関連製品
導入範囲とパートナーに確認すべき前提条件は、zcrLogで確認できます。公開価格は料金ページにあります