6月4日のセッション1では、サイバーリーズンの松原裕太氏が「国内事例から紐解くランサムウェア対策の最適解」と題して講演。実際のランサムウェア検体を用いたデモを交え、侵入から被害拡大に至る攻撃者のリアルな挙動と、侵入されることを前提としたセキュリティー対策の理想形を紹介した。


　松原氏はまず、国内のランサムウェア事例を紹介。現在の主流は「二重脅迫（二重恐喝）」で、データの暗号化に加え、窃取したデータを公開すると脅して身代金を要求するものだ。「RaaS（Ransomware as a Service）」という犯罪モデルの確立により、攻撃手法、実行者が分業化し、高度化している。国内では製造業や医療機関など規模や業種を問わず被害が多発し、国内企業の45.8％がランサムウェアの感染を経験（JIPDEC調査）している。松原氏は、身代金を支払っても復旧できなかった件数が62.6％というデータを挙げて、「やはり身代金は支払わないほうが良いというのが結論になると思う」と警鐘を鳴らした。

　次いで、攻撃の共通点から導き出される対策を解説した。攻撃者はVPN機器の脆弱性などを突いて初期侵入し、権限の昇格、セキュリティーソフトの停止、データ窃取を経て暗号化を実行する。被害企業の多くが従来型のアンチウイルスなどを導入していたにもかかわらず、被害を防げなかった。こうした点を踏まえ松原氏は「典型的な攻撃の技術、戦術、そして侵入後の動きをしっかりと識別し、暗号化されて実害が出る前に攻撃を止める」という早期検知と迅速な対応の重要性を強調した。

　この課題の最適解として紹介したのが「Cybereason NGAV／EDR」。講演ではランサムウェアグループ「Qilin」の検体を用いたデモで、フィッシングメールを起点としたファイルレス攻撃や権限昇格のプロセスを可視化して示した。Cybereasonは、企業のセキュリティー対策や防御能力の評価に活用されるナレッジベース「MITRE ATT＆CK」による検知力評価で最高評価を得ており、ダッシュボードで全体の戦術的な脅威を把握し、ブロックできる。

　詳細画面では、プロセスの流れを自動的に識別し、管理画面上でマッピングする機能により、プロセス実行単位の攻撃戦術の把握ができる。万が一、暗号化されても即座に自動復元することも可能だ。また、高度な運用体制を支えるアウトソーシングサービスの「MDR」を活用すれば、セキュリティー人材が不足する組織でも監視と迅速な対応が実現できる。

　最後に松原氏は、開発中の次世代プラットフォーム「Indigo」の管理コンソールについて紹介した。カスタマイズ可能なダッシュボードや、生成AIを活用した「AIアシスタント」による自然言語でのアラート解説機能を備え「攻撃の全貌を容易に確認できるようにしており、管理者負担をより軽減できる」とアピールした。