di_blog_post

Deep Instinct prevents more advanced threats than any EPP or EDR in the world.

Deep Instinct Blog: Breaking News and Updates

プラットフォームの概要

エンドポイント セキュリティ

エンドポイントの先にあるもの

製品

ランサムウェアの予防

ゼロデイ攻撃の防止

ファイルレス攻撃の阻止

EPPの有効性の向上

EDRでは不十分

ソリューション

サイバーセキュリティにおける深層学習

Deep Instinctのお客様

Deep Instinctが信頼される理由

Deep Instinctについて

採用

お問い合わせ

ニュース

会社概要

カタログ/資料

ブログ

デモ動画

トレーニング

リソース

資料請求/デモリクエスト

カスタマーポータル

インテグレーション/コンプライアンス

クイックリンク

アプリケーション向けの対策

+ Microsoft Defender

従来のAVを置き換える

カタログ・資料

オンラインセミナー

リーダーシップメンバー

ボードメンバー

国内販売代理店

パートナ

content_block

Perspective & Findings

ブログを読む

Emotetの休暇は終了：悪い奴は休まない

emotet-blog2.png

Listing preview

Perspective & Findings

Emotetの休暇は終了：悪い奴は休まない

image_media_card

新しいMuddy Waterの脅威：新しい泥水はさらに濁っている

死から蘇った、2022年のエモテット

The Re-Emergence of Emotet

EDR では不十分な８つの理由

マルウェアローダー「Bumblebee」の闇

Deep Instinct のトレンド

carousel_cards

listing_preview

Blog JP

ML-DL-blog.png

サイバー攻撃の種類、数、スピードは、人間が対応できる域を超え、組織はセキュリティーリスクを最小化するために、サイバー攻撃の検知と対応にAIベースのソリューションを利用するようになってきました。AIベースのサイバーセキュリティ・ソリューションの大半は、何らかの形で機械学習（ML）の技術をすでに搭載していますが、攻撃は減ることはなく、今も多くの侵害が続いています。そこで変革の機会として注目されているのが、AIの最も高度な技術であるディープラーニング（DL）による優れた脅威対策です。しかし、ディープラーニングとはどういう技術で、そしてなぜいま必要とされているのでしょうか。MLとDLの間には大きな違いがあり、サイバーセキュリティに適用する場合、それぞれが実現できる内容と主なメリットを理解することが極めて重要です。Deep Instinctの最新のeBookでは、これらの違いについて詳細に説明しています。DLとMLのソリューションの本当の比較と、高度な脅威防御のためにどちらが優れているのでしょうか？<h2>サイバーセキュリティにおける機械学習の進化</h2>サイバーセキュリティで使用されるAIは、基本的に3種類あります。「ベーシック」「リアクティブ」「プロアクティブ」です。従来のAVやNGAVでは、サイバー攻撃を防ぐことができませんでした。これらのソリューションは、予防を改善するために基本的なAIの技術は採用していましたが、防御はあくまで既知の攻撃を阻止するためのシグネチャとルールベースに依存していました。ルールが更新される頃には、攻撃者はとっくに攻撃をアップデートし、戦術を変えています。そのため、攻撃者とセキュリティ・ベンダーの間の競争において、ベンダーはしばらくの間、攻撃者の後塵を拝する形になっていました。2010年頃、「侵入されることを前提とする」という考え方が定着していきました。悪者を完全に排除することが不可能なので、侵入されたあとの対策が防衛手段として必要になりました。その結果、機械学習と呼ばれるAIを活用し、侵入の兆候や既知の攻撃手法を見つけるソリューションが開発されました。攻撃者を門前払いするのではなく、防御を突破されることを想定し、侵入後に対処することが最善の策であると判断されたのです。当初MLはサイバーセキュリティの進化における新しい一歩として注目されていましたが、現在ではそれだけでは不十分な段階に来ています。いまだに多くの攻撃が成功しており、それを阻止するはずだった<a href="/ja//blog/edr-bypass-techniques-and-how-to-stop-them" target="_self">EDRのようなセキュリティ制御も回避</a> されることが多くなってきています。侵害後の対応コストもそうですが、サイバー脅威を阻止することができないサイバーソリューションへ投資を続けることは、もはや耐え難い痛みとなっています。このことは、ベルリンに拠点を置くSRLabsのチーフサイエンティストであるKarsten Nohlが最近発表した記事「EDR evasion is well-documented, but more as a craft than a science（EDRの回避はもはや知れ渡っていて、科学というより技巧である）」からも知ることができます。Nohl氏は、「今回新たに発見されたのは、よく知られたいくつかの手法を組み合わせることで、私たちがテストしたすべてのEDRを回避するマルウェアが生成されるという洞察です。これにより、ハッカーはEDR回避をより効率的に行うことができるのです。」と述べています。<h2>ディープラーニングがサイバーセキュリティを変革する5つの優位性</h2>ディープラーニングは、攻撃者が内部に侵入して足場を築く前に、脅威をプロアクティブに防止することが最も期待されています。MLとDLベースのサイバーセキュリティ・プラットフォームのいくつかの側面は似ているように見えるかもしれませんが、大きな違いはその結果にあります。MLとDLのより詳細な説明については、<a href="https://info.deepinstinct.com/hubfs/Japan/019_eBook_DL%20vs%20ML%20Cybersecurity.pdf" target="_self">eBookをお読み</a>ください。<ol><li>実行前の予防 DLベースのソリューションは、ランサムウェア、ゼロデイ、およびその他の未知の攻撃を、ファイルが実行されてオペレーティングシステムにアクセスする前に、即座に防止することができます。ディープラーニングにより、脅威がディスクに書き込まれると20ミリ秒未満で防御することが可能になり、脅威が検知を回避する能力を事実上排除することができます。</li><li>誤検知率を0.1%未満に低減 DLベースのソリューションでは、誤検知率が非常に少なくなるため、全体としてアラートの数が大幅に減少し、SOCチームの負担が軽減され、ビジネスに影響を与える緊急の高い他の問題に集中できるようになります。</li><li>クラウドに依存しない自律的で正確な判断 DLの「脳」は、攻撃のDNAを理解するために、利用可能なすべての生データに基づいて訓練されます。これにより、DLベースのサイバーセキュリティソリューションは、インテリジェンスフィードのためにクラウドに問い合わせる必要はなく、悪意あるものと良性のものを自律的に即座に判断することができます。</li><li>リソース要件の低減とメンテナンスの軽減 DLベースのソリューションは、判定の速度が速いにもかかわらず、メモリとCPUの消費は従来技術よりも大幅に少なくなっています。この「Brain」は、頻繁なアップデートを行うことなく、年に2～3回の更新だけで、日々やってくる未知の脅威を止めることができます。</li><li>圧倒的なスケーラビリティ DLベースのソリューションは、その自律性、スピード、および軽量なフットプリントにより、ミリ秒単位で数千万ものファイルをスキャンする拡張性を備えながら、極めて低い誤検知率を維持することが可能です。</li></ol><h2>機械学習とディープラーニング、その違い</h2>機械学習とディープラーニングは、表面的には同じAIですが、<a href="https://info.deepinstinct.com/ja-jp/deep-learning-vs-machine-learning-in-cybersecurity" target="_self">実際にはどう違うのでしょうか</a>？その多くは、モデルが学習できるデータと、人間のバイアスをどれだけ排除できるかに関係しています。<img asset_uid="blt9fcfe911821cc271" height="auto" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt9fcfe911821cc271/633a587a6c4f644bc2fe6376/スクリーンショット_2022-10-03_12.35.08.png" width="679" max-width="679" style="width: 679px; height: auto;"/><h2> ディープラーニングによる徹底的な防御</h2>ML はかつて、最先端の AI 技術でした。しかし、私たちは、それがあまりにもリアクティブであることに気付くようになりました。EDRのようなMLベースのソリューションは、調査、相関分析、対処という作業には必要なものですが、それだけでは不十分です。セキュリティスタックに予防第一のアプローチを取り入れることで、SOCの成果と効率を大幅に向上させることができます。DLベースのソリューションは、顧客、サードパーティパートナー、エンドユーザーがアップロードした悪意のあるファイルや、インターネットからダウンロードしたファイルを、エンドポイント、サーバー、ストレージに到達する前にスキャンして防ぐことができ、業務への影響をゼロにすることができます。MLソリューションとDLソリューションの違いについて、また、Deep Instinctがどのように世界最先端の脅威から組織を保護するのに役立つかを理解するには<a href="https://info.deepinstinct.com/hubfs/Japan/019_eBook_DL%20vs%20ML%20Cybersecurity.pdf" target="_self">eBook「サイバーセキュリティにおけるディープ ラーニングと機械学習」</a>をお読みください。当社のディープラーニング技術の詳細については、ぜひ製品デモを<a href="/request-a-demo" target="_self">リクエストください。</a>

サイバーセキュリティにおけるディープラーニングの5つの優位性

ransomware-macos-windows.png

macOSコンピュータがWindowsコンピュータよりも安全であることは事実かもしれませんが、その優位性は皆さんが思っているほどではありません。Appleは、既知の攻撃を阻止するためにmacOSにセキュリティを組み込むことに成功していますが、真の課題は、ランサムウェアやゼロデイ攻撃につながる、見たこともない新しいマルウェア（未知のもの）を阻止することです。この問題を真剣に受け止めるために、Ponemon社の「Third Annual Study of Endpoint Risk」では、侵害の80%が、認識されないままシステムに侵入され、また公表されていない脆弱性を突いたり、進化したマルウェアの亜種が関わっていると報告しています。macOSへのランサムウェア攻撃の増加2019年、脅威者はmacOSにも手を出しはじめ、その脅威は60%も跳ね上がりました。それ以降、macOSを狙ったランサムウェア攻撃が繰り返され、攻撃が数件発生していますが、幸いなことに、大規模な侵害はまだ発生していません。2020年、Forbesは、MacのマルウェアがWindowsを2対1で上回ったと報告しました。2021年には、ElectroRAT、Silver Sparrow、XLoaderなど、macOSを攻撃するために開発されたマルウェアが全体的に増加しました。これらの新種マルウェアは、macOSを狙った高度で収益性の高い攻撃、すなわちランサムウェア増加への道を開いています。 <blockquote class="ml-3 pl-3 border-l">「MacはWindowsよりも本質的に安全であるという誤解がまだ残っています。このような考え方は、Windowsが依然として優勢である現在の市場シェアを反映したものであると言えます。「Macにセキュリティ上の利点はありますが、マルウェアがOSではなくブラウザプラグインをターゲットにする傾向が強まっているため、その重要性は薄れつつあります。さらに、マルウェアの開発者は、OSに依存しないクロスプラットフォームのアプリケーションを作成することが多くなっていると言います。 -2022年1月 Dark Readingより</blockquote>DattoのState of the Channel：ランサムウェア レポートによると、MSPはmacOSとiOSデバイスの両方でランサムウェアが増加しており、前年比500%増に相当するとのことです。この問題は、2022年のMandiant M-Trendsレポートでも強調されており、ランサムウェア関連の侵入の滞留時間の中央値が5日であるのに対し、非ランサムウェアの侵入は36日であると報告されました。これは、守る側にとってどのような意味を持つのでしょうか。ネットワークを迅速に侵害し、データを流出させることを目的としたランサムウェアが高速化する中、macOSを無視することはできなくなりました。そして、macOSに特化したマルウェアが増加していることから、近い将来、ランサムウェアの攻撃が大成功することが予測されます。以下では、macOSへの攻撃が増加する将来に向けて、どのように計画を立てる必要があるのかを紹介します。企業におけるmacOS利用の増加macOS に対する攻撃が増加することを懸念する最大の理由は、企業における macOS 利用数が増加したことに関係します。パンデミックとリモートワークへの移行に刺激され、Appleはこの1年でエンタープライズ技術におけるビッグプレーヤーとなり、その足跡の大きさは攻撃対象領域の大きさに等しいと言えます。モバイルデバイス管理ベンダーのKandjiが2021年に行った調査では、アップル デバイスの使用率が過去2年間で76%増加したことが示されています。ガートナーは、2022年第1四半期にコンピュータの出荷台数全体が減少したのに対し、Macの出荷台数はわずかに増加したと報告しています。そして、2021年のIDCの数字では、企業での利用数も伸びています。<blockquote class="ml-3 pl-3 border-l">IDCのエンタープライズモビリティとクライアントエンドポイント管理のプログラムバイスプレジデントであるPhil Hochmuth氏は、「ビジネスユーザーの間でMacの利用が増加しており、特にリモートで働く従業員がコンピュータ デバイスを選択できるようになっているため、iOS/iPadOSやtvOSとともにmacOSに関する管理ツールや戦略を正式に導入する企業が増えています」と述べています。-IDC MarketScape：2021年アップル デバイス向け世界統一エンドポイント管理ソフトウェア ベンダーアセスメントより</blockquote><h2> macOSとランサムウェア：それは未知の脅威について</h2>既知の攻撃については、MacOSゲートキーパーは、すでに世間に露出している脅威を阻止するのに十分な働きをしてくれます。しかし、どのプラットフォームやOSでも問題となるのは、これまで目にしたことのない未知の攻撃です。攻撃者は、macOSを含む既存の制御を回避・迂回するために技術を進化させ、成功しているのです。2016年のKeRanger、2017年のPatcherに始まり、macOSでのランサムウェアの試みはいくつか注目されています。そして2020年、EvilQuestと名付けられた海賊版ソフトウェアで配布されるランサムウェアが、macOSシステムを積極的にターゲットにするようになりました。EvilQuestは被害者のファイルを暗号化しますが、これは単なる煙幕であるという見方もあり、キーロガーとコマンド＆コントロール（C2）サーバーへのリバースシェルをインストールし、暗号通貨ウォレットに関連するファイルを見つけるとそれを盗むことができます。ランサムウェアは、依然として大きな懸念材料となっている：<ul><li>ランサムウェアの加害者は、マルウェアのペイロードや関連する恐喝行為を徐々に洗練させていくため、2031年までにランサムウェアの被害者は年間約2650億ドル（米ドル）を負担することになると予想されている</li><li>ランサムウェアの平均要求額は144%増加し、平均支払額は78%増加している</li><li>2022年1月から3月にかけて、LockBit 2.0とContiが全インシデントの58%を占め、今年これまでで最も活発なランサムウェアのギャングとなった</li><li>ランサムウェアの中で最も高速なのはLockBitで、10万ファイルの暗号化にかかる時間の中央値はわずか5分50秒、あるテストではわずか4分9秒</li><li>2022年のMandiant M-Trendsレポートでは、ランサムウェア関連の侵入の滞留時間の中央値が5日であるのに対し、非ランサムウェアの侵入では36日であると述べている</li></ul>パッチが適用されていない脆弱性は、依然としてネットワークに侵入するための最も重要な侵入口の1つです。攻撃が高度化し、頻度が増加し続ける中（2秒に1回は新たな攻撃が発生している）、Appleも無縁ではいられません。2022年3月、AppleはmacOS Montereyの2つの「積極的に悪用される」（つまり、野放し状態のゼロデイ）セキュリティ脆弱性にパッチを適用しましたが、同社は以前のバージョンに対するセキュリティアップデートをリリースしていませんでした。これにより、「CVE-2022-22674がmacOS Big SurとmacOS Catalinaの両方に影響する可能性が高い」「Intel Graphics Driverのほぼすべての脆弱性が、macOSのすべてのバージョンに影響を及ぼしている」ことが判明しました。ランサムウェアやその他のマルウェアに関して、「被害が出る前に止めろ」という言葉がよく使われます。この考え方の問題点は、マルウェアがすでにお客様の環境内で活動していることです。ランサムウェアの実行者は、攻撃の最終段階まで待つことで検知を回避するため、データの流出やシステムの暗号化のタイミングをより賢く判断するようになってきています。単純なバックドアやパスワード窃盗などのマルウェアが実行されると、脅威者は、感染したホストが組織のネットワークの一部であることを特定します。その後、脅威者はネットワーク上を横方向に移動し、最初の攻撃よりも強力な二次攻撃としてランサムウェアを展開します。<figure style = "margin: auto; text-align: center;width: auto;"><a href="/pdf/whitepaper-malware-classifiation-in-threat-prevention" target="_blank"><img asset_uid="bltaf83ad4ea35a7eb5" alt="Deep classification breakdown." src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltaf83ad4ea35a7eb5/627ad19d7198441d81b3f3c7/deep-classification-breakdown.png"/></a><figcaption style = "text-align: center;" style="text-align: center;">Deep Classificationの内訳の例</figcaption></figure> Macのランサムウェア対策：Deep InstinctのmacOS向けランサムウェアの高度な保護機能ランサムウェアとゼロデイ脅威に対するDeep Instinctの予防ファーストのアプローチは、エンドポイントで実行される前に攻撃を阻止します。つまり、攻撃者が成果物を落としたりデータを流出させたりする機会を決して与えないということです。Deep Instinct Prevention Platformは、多層防御により、エンドポイントだけでなく、カスタムアプリケーションも悪意のあるファイルアップロードから保護します。Deep Instinct Prevention Platformは、以下を提供します：<ul><li>ランサムウェアの暗号化速度よりも速い、20ミリ未満で攻撃防御を実現</li><li>誤検知率0.1%未満で、忠実度の高いアラートのみに対応</li><li>99%以上の精度で新しく未知の攻撃や亜種からシステムを保護</li></ul>Deep Instinctのユニークなディープラーニングフレームワークが、どのように未知の攻撃やランサムウェア攻撃に対する比類のない防御を提供するかについて、このビデオ（英語）をご覧いただくか、デモをリクエストしてください。<a href="https://www.deepinstinct.com/ja/request-a-demo" target="_self">https://www.deepinstinct.com/ja/request-a-demo</a>.ビデオ（英語）<a href="https://www.deepinstinct.com/videos?wchannelid=ysjgh8jbc8&wmediaid=vtilpp0rly"> https://www.deepinstinct.com/videos?wchannelid=ysjgh8jbc8&wmediaid=vtilpp0rly</a>その他の記事<ul><li><a href="/blog/3-reasons-ransomware-rollback-is-not-an-effective-strategy" target="_self">https://www.deepinstinct.com/blog/3-reasons-ransomware-rollback-is-not-an-effective-strategy</a></li><li><a href="/blog/ransomware-unpatched-vulnerabilities" target="_self">https://www.deepinstinct.com/blog/ransomware-unpatched-vulnerabilities</a></li><li><a href="/blog/healthcare-vs-hive-ransomware-how-to-protect-yourself" target="_self">https://www.deepinstinct.com/blog/healthcare-vs-hive-ransomware-how-to-protect-yourself</a></li><li><a href="/blog/deconstructing-the-revil-ransomware-attack-on-kaseya-vsa" target="_self">https://www.deepinstinct.com/blog/deconstructing-the-revil-ransomware-attack-on-kaseya-vsa</a></li><li><a href="https://info.deepinstinct.com/tof/ransomware-prevention?_ga=2.105606282.808318644.1651786112-1559688305.1620183151" target="_self">https://info.deepinstinct.com/tof/ransomware-prevention?_ga=2.105606282.808318644.1651786112-1559688305.1620183151</a></li></ul>

ランサムウェア：macOSはWindowsより安全？

3 Reasons Why Ransomware Rollback is Not An Effective Strategy blog featured image

blog-3-reasons-rollback.png

「バックアップは最後の手段だ」という言葉は、セキュリティ専門家やシステム管理者にとって、あまりにも馴染み深い言葉です。バックアップは、DR対策が存在する限り、その中核を成しています。ドライブのクラッシュであれ、ランサムウェアの攻撃であれ、目的は同じで、データを回復し、組織をできるだけ早く立ち直らせることです。しかし、このプロセスに携わる誰もが認識しているように、これは「言うは易く、行うは難し」です。ランサムウェア攻撃や他のマルウェアに感染した場合、「4つのファイルだけが暗号化された」後、すぐにそれを止めれば、最後に確認したクリーンなバックアップにロールバックできる、という誤解が広まっています。では、ビジネスに影響を与えることなくロールバックし、脅威を完全に排除することができるのでしょうか？ランサムウェアへのロールバック修復とは何か、何が問題なのか？「ロールバック修復」という概念は、古典的なバックアップ戦略を発展させたものです。この文脈では、組織はローカル・ドライブまたはリモート・ストアに保存された重要なファイルのコピーを使用して、不要な変更を迅速に回復、または「ロールバック」します。サイバーセキュリティでは、望ましくない変更は、多くの場合、ランサムウェア、既知または未知のマルウェア、ファイルレスまたはスクリプトベースの攻撃の結果として発生します。エンドポイント・セキュリティ・ソリューションは、シャドー・コピーを活用し、ボリューム・シャドー・コピー・サービス（VSS）を使用することがよくあります。VSS は Microsoft が Windows Server 2003 で導入したもので、実行中のアプリケーションのバックアップをより適切に管理するためのものですが、VSS とシャドー・コピーに依存することはサイバーセキュリティにおいて問題があります。その問題とは、バックアップが貴重なストレージ・スペースを占有するため、VSSのジャストインタイムの性質が、ランサムウェア（または他のマルウェア）がシステムの暗号化や侵害を始める前に正しいスナップショットを取得する時間との戦いになってしまうことです。また、シャドーコピーが削除された場合、マスターバックアップから復元することになります。一部のセキュリティ・ベンダーは、マイクロソフトに追随して独自のファイル復元ユーティリティを作成し、攻撃者が重要なファイルを暗号化したり破壊したりすることに対するヘッジとして、コピーを作成する同様のサービスを提供しています。しかし、これはどちらかというとヘッジであって、解決策ではありません。ランサムウェアへのロールバック修復の3つの欠点なぜランサムウェアに対するロールバック修復のアプローチは有効な解決策ではないのでしょうか？ロールバックを戦略として再考すべき理由トップ3をまとめました。ロールバック修復における事実その1：攻撃者も同様にそれを知っているランサムウェアであろうとなかろうと、ロールバックによる修復戦略の最初の課題は、攻撃者がロールバックの存在を知っており、ランサムウェア攻撃から回復するためにファイルを迅速に復元して身代金の支払いを回避するために、組織がこの戦略に依存していることを理解していることです。マルウェアの作者は、何年も前から「vssadmin」コマンドを利用して既存のシャドーコピーを削除しています。実際、この手法は頻繁に発生しているため、MITREはこの手法をATT&CKフレームワークに追加しました（以下の図1参照）。場合によっては、VSSを無効にしてから暗号化の実行を待ち、残っているシャドーコピーが役に立たないようにするランサムウェアが書かれていることもあります。セキュリティ リサーチャーのFlorian Roth氏は、「vssadmin delete shadows」を呼び出そうとするプロセスを探し、ツリー全体を殺す「Raccine（ランサムウェア・ワクチン）」というプログラムを公開しました。<figure style = "margin: auto; text-align: center;width: 705px;"><img asset_uid="blt8cfe9209c4f29074" alt="図1：シャドーコピーを除去するMITRE ATT&CKの技術" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt8cfe9209c4f29074/62686e2caacc645ccdba5b98/figure-1-mitre-attack-technique.png" height="auto" /><figcaption style = "text-align: center;" style="text-align: center;">図1：シャドーコピーを除去するMITRE ATT&CKの技術</figcaption></figure>このほかにも、攻撃者がシャドーコピーを削除する方法はいくつかあります。<ul><li>Wmic.exe でコマンドライン 「shadowcopy delete」 を実行</li><li>PowerShell でコマンドライン 「win32_shadowcopy」 を実行</li><li>Vssadmin.exe でコマンドライン 「resize shadowstorage」を実行</li></ul>WannaCry、Revil、Robbinhood、Contiなどの最も一般的なランサムウェアファミリーは、シャドーコピーを削除したり、ファイルリカバリ機能を無効にしたりします。Ivanti社の「Ransomware Spotlight Year End 2021 Report」（図2参照）によると、2021年だけで32の新しいランサムウェアファミリーが出現しています（前年比25％増）。新しいランサムウェアファミリーが登場するたびに、バックアップやロールバック戦略に関係なく、組織のセキュリティに対するリスクが高まっています。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt2d5ebd3e33111edc" alt="図2：ランサムウェアは前年比増加を続けている" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt2d5ebd3e33111edc/62683ac40796ef5b6c345715/figure-2-ransomware-rises.png" /><figcaption style = "text-align: center;" style="text-align: center;">図2：ランサムウェアは前年比増加を続けている</figcaption></figure>最近、大きな影響を与えたREvilランサムウェアキャンペーンは、Kaseya社のソフトウェア配布プラットフォームを侵害した後に拡散し、この技術を実証しました。REvilがKaseya社に7000万ドルという途方もない身代金を要求したため、このキャンペーンによって1500もの組織が被害を受けました。そして、先に述べたように、REvilは、ほとんどのランサムウェアファミリーと同様に、シャドーコピーを削除するメカニズムを保持していました。ロールバック修復における事実その2：ファイルの復元により、ビジネスが再開できたとしても、脅威が残る実行中のランサムウェアやその他の脅威を殺して、直ちに被害ファイルを復元することは、ベストプラクティスとは言えません。ロールバックを使用すれば、最小限のダウンタイムでビジネスを再開することは可能かもしれませんが、バックドアがインストールされていたかどうかはわからないままです。また、脅威をすべて根絶したと確信できません。ランサムウェアのマルウェアは、必ずしも攻撃が実行される方法とは限りません。マルウェアには、バックドア、潜在的に望ましくないアプリケーション（PUA）、スパイウェアなど、ランサムウェア以外のさまざまな疑わしい脅威が含まれている可能性があります。これらの脅威のどれもがランサムウェアの入口となり得るため、攻撃者がインストールしようとしているものが何であるかを知るためには、マルウェアの分類が非常に重要となるのです。ファイルを暗号化する前に、恐喝のためにファイルを流出させるハイブリッド攻撃の普及は、この問題を浮き彫りにしています。攻撃者がいなくなったと思っても、彼らが再び戻ってこないという保証はありません。ランサムウェアの場合、ファイルの暗号化は、すでに環境内に潜伏している攻撃者にとって、当然ながら最終のステップに過ぎません。攻撃者がエンドポイントを制御することに成功したら、他にもさまざまな行動を取る可能性があります。組織のポリシーを見ると、ほぼすべてのインシデント対応は、「ファイルを復元する」ではなく、「侵害を食い止める」から始まっています。侵入を食い止めるとは、攻撃を素早く特定し、その爆発範囲を把握し、その拡大を食い止めることです。早すぎるロールバックは、脅威全体を取り除く機会を失い、他に影響を受ける可能性のあるものを把握することができません。侵入経路を特定することは、非常に重要なステップです。一般的な攻撃側の戦略は、攻撃者が環境にアクセスした後も、正常に機能しているように見せかけながら、バックアッププロセスを「破壊」することです。時には、攻撃者は攻撃を実行したり、ファイルを暗号化したりするまで7～21日間待つこともあります。つまり、脅威が検出された後、組織はシステムを感染前の状態に戻すために、数日、数週間、あるいは数カ月も遡らなければならない場合があるのです。サーバ、データベース、VMを再構築する必要があるため、復元にかかる時間は数日、数週間、数カ月という単位で計測されます。ランサムウェア攻撃に対するNISTのインシデント対応ガイダンスでは、明確に攻撃全体を封じ込めることが最初のステップと明記されています。バックアップを保護して破損を防ぐことも、初期の重要なステップです。バックアップからの復元は、環境が完全に感染していない状態で行う必要があります。現実には、攻撃者がまだ潜んでいる可能性があり、再び暗号化することを止めることができず、バックアップまで確実に破壊されます。ロールバック修復における事実その3：脅威はランサムウェアだけではないロールバックに依存した修復を行う場合、ランサムウェアによるシャドーコピーの削除だけが脅威ではありません。最近の攻撃では、バックアップを破壊したり、バックアップの暗号鍵を復元不可能なものに変更したりすることが行われています。そして組織は、バックアップの復元テストを行わない限り、このようなことが行われていることに気づかないのですが、これはまれなことです。最近の攻撃には、ファイルレスマルウェアやスクリプトベースの攻撃がありますが、これらはエンドポイントに悪意のあるコードを挿入するのではなく、システム自体の組み込みユーティリティに依存するため、特定と阻止がさらに困難になっています。具体的には、PowerShellとWindows Management Instrumentations（WMI）は、システム上で高い権限を持つため、この種の攻撃の主要なターゲットとなります。これらのツールキットを利用すれば、攻撃者はシャドーコピーの削除、重要なシステムサービスのシャットダウン、永続性の確立などを、標準的なアンチウイルスプログラムを作動させることなく簡単に行うことができます。前述したように、脅威者はバックアップがまだ稼働しているように見せかけることが知られており、バックアップの検出はさらに困難になっています。攻撃を防ぐことで、面倒なロールバックシナリオを回避ランサムウェアを含むマルウェアが実行され、システムに感染する前に阻止することで、攻撃の連鎖全体が開始される前に断ち切ることができます。マルウェアは起動しないので、将来の恐喝のためにファイルを流出させたり、ファイルを暗号化したり、その他の破壊的なアクションを起こすことはできません。また、そもそもシステムが感染していないため、ロールバックやリストアも必要ありません。従来の EDR ソリューションは受け身型で、実行後の挙動を調べるため、攻撃者に対してお客様の環境を侵害し始めるのに必要な時間を与えてしまいます。脅威者は、検知を回避する新しい攻撃を常に開発しており、EDRだけでは攻撃を阻止することはできません。詳細については、eBook「EDRが十分でない8つの理由」をご覧ください。<a href="https://info.deepinstinct.com/ja-jp/8-reasons-why-edr-is-not-enough">https://info.deepinstinct.com/ja-jp/8-reasons-why-edr-is-not-enough</a>攻撃が実行される前に阻止されることで、組織は脅威によって引き起こされるそれ以降のコストを回避することができ、攻撃者が内部に侵入してバックアップを無効化することもありません。バックアップは依然としてセキュリティスタックの重要な要素ですが、ロールバック戦略に頼るよりも、組織のシステムとデータに被害が及ぶ前に攻撃を防ぐ方がはるかに優れています。Deep Instinctは、ランサムウェア、ゼロデイ脆弱性、その他の未知のマルウェアを実行前に阻止する予防第一のアプローチを採用しており、ロールバック戦略への過度な依存によるリスクを低減します。サイバーセキュリティのために世界初かつ唯一自社構築したディープラーニング フレームワークによる革新的な技術により、Deep Instinctは実行前の攻撃を99%以上防止し、誤検知率を0.1%未満に下げ、全体のリスクを低減することが可能です。<h2>Sources</h2><ul><li>docs.microsoft.com <a href="https://docs.microsoft.com/en-us/answers/questions/46408/volume-shadow-copy-service-deleted-after-ransomwar.html" target="_self">Volume Shadow Copy Service deleted after ransomware attack - Backup no longer working - Microsoft Q&A </a>「今週の始め、サーバーがランサムウェアの攻撃を受けました。翌日サーバーにログインしたところ、シャドーコピーがすべて消えており、またWindowsサーバーのバックアップも機能しなくなっていました。」 </li><li>csoonline.com <a href="https://www.csoonline.com/article/3331981/how-to-protect-backups-from-ransomware.amp.html" target="_self">How to protect backups from ransomware | CSO Online </a>ランサムウェアはより賢くなり、バックアップを攻撃して復旧を阻んでいます。いくつかの簡単な手順を踏むことで、このような事態を防ぎましょう </li><li>Born's Tech and Windows World <a href="https://borncity.com/win/2020/10/07/raccine-protect-volume-shadow-copies-from-ransomware/" target="_self">Raccine: Protect volume shadow copies from ransomware </a>興味深い話 - あるセキュリティ リサーチャーが、ランサムウェアに対する簡単な防御策として「Raccine」と呼ばれるツールを開発しました。これは、ランサムウェアやその他のマルウェアがWindowsのNTFSドライブ上のボリュームシャドーコピーを削除するのを防ぐものです。ランサムウェアは、Windowsシステムが感染すると、VSSコピーを削除します </li><li>redcanary.com <a href="https://redcanary.com/blog/its-all-fun-and-games-until-ransomware-deletes-the-shadow-copies/" target="_self">It’s all fun and games until ransomware deletes the shadow copies </a>悪意のあるバッチファイル（.bat）がPowerShellコマンドを実行し、リモートでホストされているPastebin上のペイロードをダウンロードして実行し、ランサムウェアを展開させます。さらに、ボリュームシャドーサービス管理ツール（vssadmin.exe）を起動し、ローカルのシャドーコピーを削除していました </li><li>pkware.com <a href="https://www.pkware.com/blog/ransomware-plus-exfiltration-encrypt-your-data-before-someone-else-does" target="_self">Ransomware Plus Exfiltration: Encrypt Your Data Before Someone Else Does </a>2019年後半から、従来のランサムウェアの手口とデータ流出を組み合わせたハイブリッドな各種サイバー攻撃が出現しています </li><li>EDR の回避 <a href="https://vanmieghem.io/blueprint-for-evading-edr-in-2022/" target="_self">https://vanmieghem.io/blueprint-for-evading-edr-in-2022/</a></li></ul>

ランサムウェアへのロールバックによる対処が有用ではない3つの理由

8-reasons-edr-is-not-enough.png

EDR（エンドポイント検知および応答）ツールは、組織が日々直面するサイバーセキュリティの脅威のほとんどを阻止し、修復することができるという考え方に基づいて、人気が高まっています。しかし、色々な事実に照らし合わせていくと、EDR の有効性と保護能力については人々の期待とはまったく違う姿が見えてきます。実際にEDR がセキュリティ対策の柱となっているのに合わせて、サイバー攻撃の頻度・深刻度・成功率はますます上昇しています。脅威の状況は、明らかに危険なものになってきています。2019 年から 2020 年にかけて、ランサムウェアの攻撃は 800% 増加し、Ponemon Research は、侵入が成功した攻撃の 80% は未知のマルウェアやゼロデイ攻撃によるものであると指摘しています。多くの組織が使用しているツールでは、巧妙化する攻撃から十分に保護できていません。もしEDR ツールだけでランサムウェアやゼロデイ攻撃を防ぐことができるのであれば、攻撃は減少傾向になっているはずです。しかし、何十億ドルもの資金が投入されているにもかかわらず、攻撃は増加しているのです。eBook「EDR だけでは不十分な8つの理由」から、なぜ EDR が高度な攻撃に対する防御の答えにならないのかを学ぶことができます。<ol><li>「侵入を前提とする」という考え方にはそもそも問題がある</li><li>EDR は受け身のアプローチ</li><li>EDR ではランサムウェアに絶対に勝てない</li><li>EDR は誤検知を多く発生させる</li><li>機械学習の弱点が EDR の効果を低下させ、悪用される可能性がある</li><li>EDR ができるのはエンドポイントの可視化だけ</li><li>EDR は実行後に対処するもので、実行前に防ぐことはできない</li><li>XDR は EDR の効果を低下させるだけ</li></ol>サイバーディフェンスを再考するEDR は、「侵入を前提とする」という考え方に基づいています。つまり、どのようなサイバー防御も、サイバー攻撃者の侵入を防ぐことはできないというのが、長年の考え方になっています。EDR、MDR、NDR、XDR などの検知・応答ソリューションには、実行後の修復を基本としているという共通点があります。EDR は、その名の通り、攻撃が行われた後にしか意味を持ちません。そして、これは結局のところ、攻撃者がネットワーク内にいることを意味し、攻撃の全てに対処して停止できたかどうかを確認することはできません。この点は、有名な 11 の EDR ツールの有効性をテストし、その本質的な欠点を浮き彫りにした最近の調査でも注目されています。現代の脅威はより巧妙になり、多くの侵入が成功している事実から、EDR だけでは今日の高度な脅威を阻止できないことが証明されています。今こそ、真の脅威対策とは何かを再定義し、マルウェアの検知・分類・防止を可能にしたディープラーニングに基づく新しいアプローチを探求する時です。事後対応をやめ、予防を始める。セキュリティチームは、自分たちのセキュリティ能力では今日の最先端の脅威から身を守れないことを認識しており、より高度な保護ツールに積極的に投資しています。ガートナー社は、世界における 2021 年のセキュリティおよびリスク管理への投資額が 1,500 億ドルを超えると予想し、実際、その額を上回る可能性が高い状況にあります。脅威を阻止するための予防ファーストのアプローチは、リスクを軽減するために既存のEDR ソリューションを補完するか、置き換えることになりますが、マルウェアが実行される前に予防し、誤検知を減らすことで、運用を改善、コストを削減し、ランサムウェアを含む既知、未知、ゼロデイ脅威を、環境に感染する前に食い止めることができます。最新の eBook「EDR が十分でない8つの理由」では、EDR に関する新たな考え方が必要である理由を説明しています。また、ディープラーニングベースのサイバーセキュリティが、99% 以上の脅威を阻止し、誤検知を 0.1% 未満に低下させ、真の予防を約束する理由についても解説しています。

EDR では不十分な８つの理由

Speed-Prevention.png

今までにないマルウェアを阻止することは、時間との戦いです。既知の最速のランサムウェアは、わずか15秒で暗号化を開始します。対照的に、最速のEDRソリューションでも、脅威の検出には少なくとも数分かかり、多くのソリューションでは数時間またはそれ以上かかります。実際、あなたがこの段落を読むのにかかった時間で、もう手遅れになってしまいます。

非常に破壊的なランサムウェアは、数分のうちに、最初の被害端末をロックダウンし、バックドアをインストールし、ネットワーク内を縦横無尽に動き回ることができます。そして、セキュリティチームが問題に気付いた時には、データが流出し、ネットワークの大部分に影響が及んでいる可能性が高いのです。

問題は、ほとんどのセキュリティツールが、マルウェアが実行を開始してから作業を開始することです。このアプローチは、攻撃者に十分な時間を与えるだけでなく、多くの誤検知アラートを引き起こすため、SOCチームは何が本当の脅威なのか、正しいアラートなのかを判断する必要があります。検知後は、何が起こったのかを理解し、さらなる調査、修復、クリーンアップを行うことになりますが、これは時間とコストのかかるプロセスです。
ディープラーニングをベースにしたアプローチは、脅威をより早い段階で防ぎ、環境に侵入する前に攻撃を阻止し、全体的なリスクを大幅に削減します。

20ミリ秒で動作、それが重要な理由
スピードは重要です。今日の攻撃は電光石火であり、リスクはかつてないほど高くなっています。

しかし、先週発表されたDeep Instinct社の「Voice of SecOps」レポートでは、サイバーインシデントへの対応には通常20時間以上かかっているという結果が出ています。しかし、もっと良い方法があります。

Deep Instinctは、特許取得済みのディープラーニング技術を使用して、悪意のあるものと良性のものを非常に迅速かつ正確に判定します。この判定にかかる時間は、ランサムウェアの暗号化速度の750倍に相当します。これにより、マルウェアを未然に防ぎ、ドロッパー、アーティファクト、バックドアがネットワークにインストールされるのを防ぎます。攻撃が実行される前に防ぐことで、Deep Instinctはお客様の組織が新聞の一面記事のニュースにならないようにします。


企業にとって、これはSOCの有効性の向上を意味するだけでなく、次のようなメリットがあります：
<ul>
<li>プロアクティブに脅威を調査するための時間を確保</li>
<li>防止されたイベントと関連性の高いイベントを相関させることで、EDRの効率を高め、ダウンストリームへの影響を低減</li>
<li>セキュリティ衛生状態が改善され、パッチ適用、廃止、システムのハードニングなどの戦略的タスクに集中できる</li>
</ul>

絶え間ないイノベーションへのコミットメント
Deep Instinct Prevention Platformの最新リリース（バージョン3.2）では、最も危険で急速に変化するマルウェアの脅威や高度な攻撃手口を検知·防止できる強力な新機能をいくつか導入し、お客様がゲームの先を行くことができるようにしました。

反射型DLLインジェクションの防止
メモリから直接、動的にロードするファイルレス·マルウェアは、ほとんどのセキュリティ·ソリューションを回避し、多段階の攻撃を仕掛けてくる深刻な脅威です。Emotetは、反射型DLLの代表的な例の1つです。悪名高いマルウェア·ボットネットは、TrickBot（静的インジェクションを使用する、非常に有害な偵察およびランサムウェアの組み合わせ）のような追加のマルウェアをダウンロードするローダーとして機能しています。Emotetやその他の類似したマルウェアは、可能な限り回避するように設計されており、検出を回避して滞留時間を最大化するために継続的に進化しています。

Deep Instinctは、悪意のあるDLLがディスクからだけでなく、メモリからもロードされないようにすることで、ネットワーク上での攻撃の実行を確実に阻止し、この重要な攻撃経路をシャットダウンします。

また、同じ原理で、Windowsデバイス用のもう一つの新しいヒューリスティックである反射型.NETインジェクションも防止します。Deep Instinctは、メモリ空間からプロセスにロードされる.NET実行ファイルを検出し、防止します。

AMSIバイパス防止
AMSI バイパス防止機能も追加されました。Windows Anti-Malware Scan Interface (AMSI)は、アプリケーションやサービスが、マシン上に存在するあらゆるアンチマルウェア製品と統合できるようにするための規格です。AMSIは、PowerShellを悪用した攻撃など、難読化や暗号化を用いて検知を回避する攻撃にセキュリティチームが対処できるように設計されています。しかし、マルウェアの開発者は、AMSIを回避できるファイルレス攻撃や、Windowsのネイティブアプリケーションを悪用するliving-of-the-land技術を開発しています。我々の新しいヒューリスティックは、Windowsデバイス上でマイクロソフトのAMSIをバイパスしようとする試みに対する保護を提供します。

Deep Instinctの防御までの時間は圧倒的に短く、0.1%未満の誤検知保証と組み合わせることで、お客様は既知および未知のマルウェアをシステムが感染する前に防ぐことができます。これにより、SOCチームは生産性向上のための作業に集中することができ、最も複雑で洗練された攻撃を阻止するための脅威ハンティングにより多くの時間を費やすことができます。

詳細なデモをご希望の方は、こちらからお申し込みください。
<a href="https://www.deepinstinct.com/ja/request-a-demo">https://www.deepinstinct.com/ja/request-a-demo</a>

なぜサイバーセキュリティでは時間が重要なのか

Karen Crowley

From Karen Crowley.

サイバーセキュリティにおけるディープラーニングの5つの優位性

ランサムウェア：macOSはWindowsより安全？

ランサムウェアへのロールバックによる対処が有用ではない3つの理由

EDR では不十分な８つの理由

なぜサイバーセキュリティでは時間が重要なのか

製品

ソリューション

Deep Instinctが信頼される理由

会社概要

リソース

クイックリンク