VPNを制するものがランサムウェアを制す！ 認証強化で防御率はどこまで上げられるのか？ 防御率99％への対策優先順位とロードマップを作る 第１回 原因分析編

おきじー

はじめに

ランサムウェアの被害が止まりません。国内の医療機関・自治体・企業で被害が相次ぎ、社会インフラとしての信頼性が揺らいでいます。
現在主流となっている「侵入後の検知・対応」を中心とした対策は、ハッカー側の検知回避技術の進化により効果が低下しつつあります。特に、ランサムウェア攻撃の起点となる認証情報の窃取は、EDRでは防ぎきれない根本的な弱点です。

「侵入は100％止められない」という前提のもとで対策が組み立てられてきましたが、これは“認証が弱い時代”の常識です。FIDOの様な強力な認証を必須化すれば、認証を経由した侵入は100％止められます。そして、認証を経由しない侵入については、PAM（特権ID管理）によって権限昇格や横移動を抑止できます。攻撃チェーンを一つずつ潰していくことで、現実的に防御率99％を達成する道筋が見えてきます。
私はこれまで、以下の2つの記事で「侵入を防ぐ」という視点からランサムウェア対策の本質を整理してきました。

これらの記事でも述べた通り、ランサムウェア対策の最重要ポイントは認証の強化です。本記事ではその考え方をさらに発展させ、市販ツールだけで構築でき、現場の負担を最小限に抑えながら、防御率99％を実現するための優先順位とロードマップを提示します。

本記事が目指す「現実的な99％防御率」

ここで目指す99％は、標的型攻撃を完全に防ぐことを意味しません。標的型攻撃に100％対応しようとすれば、費用対効果を無視した莫大な人員・予算が必要になります。一般企業や医療機関・自治体にとって現実的ではありません。

本記事が目指すのは、

「一般的なランサムウェア攻撃をほぼ確実に防ぎ、社会インフラとして必要な安全性を確保する」

という現実的なラインです。

対策の基本方針（実行可能性を最優先）

本記事で示す対策は、次の原則に基づいています。

  • 市販されているツールのみを使うこと
    特殊な開発や高度な専門人材を前提にしない。

  • ツールの機能を最大限活用し、ヒューマンエラーを排除すること
    人間の注意力に依存する対策は必ず破られる。

  • 社内外の作業フローを大きく変えないこと
    現場が無理なく移行できることが、最も重要な成功要因。

  • VPNなど“完全排除が難しい機器”は残したまま安全性を確保すること
    理想論ではなく、現場の制約を踏まえた現実解を採用する。

  • 現場の体制（人員・予算・スキル）で実行できることだけを採用すること
    実行困難な対策は、むしろ“新たな穴”になる。

一見すると理想論に見えるかもしれませんが、現在入手可能なツールと設定だけで、99％の防御率は十分に目指せます。

本記事の目的

  • 個人や特定企業を批判するものではありません。

  • 責任追及ではなく、現行のランサムウェア対策の問題点を整理し、改善策を提示することが目的です。

  • 日本の医療機関・自治体・企業に共通する課題を明らかにし、現場で実行可能な対策を示します。

なお、本記事で示す対策は机上検討の段階であり、ツールの理解に誤りが含まれる可能性があります。今後、実証実験を通じて改善していくための“ベースモデル”として提示するものであり、効果を保証するものではありません。

最初の一歩：VPNは排するのではなく制するもの 真の原因はどこにあるのか？

ランサムウェア対策を考える上で最も重要で、最初に必ず行うべきことは原因の徹底分析です。

原因を正しく特定しないまま対策を積み増しても、予算を増額しても、人員を増やしても、セキュリティは強化されません。むしろ、誤った原因認識のまま対策を重ねるほど運用は複雑化し、攻撃者にとっての“抜け道”が増えていきます。

本章では、侵入ルートとして最も多いVPNを題材に、表面的な原因ではなく“構造的な原因”を掘り下げます。

VPN攻撃の「表面的な原因」

多くの組織が誤って理解している「表面的な原因」は次の通りです。

  • VPNはインターネットから簡単に見つかる

  • スキャンで自動的に探され、ログイン試行される

  • パスワードが弱いと簡単に突破される

  • VPNから入られると内部ネットワークにアクセスできてしまう

これらはすべて事実ですが、根本的な原因ではありません。
これは「VPNが攻撃されやすい理由」であって、「なぜ侵入されるのか」という本質的な問いには答えていません。

VPN侵入には2種類ある

原因を特定する際に重要なのは、まず状況を分類し、それぞれを個別に検証することです。分類しないまま議論すると、検証が複雑化し原因の特定が困難になります。

VPN経由の侵入は、大きく次の2つに分類できます。

① 認証を経由した侵入

  • パスワードが弱い

  • 多要素認証が形骸化している

  • 管理者アカウントが狙われる

  • 認証情報窃取により突破される

これは認証が弱いから侵入されているのであり、VPN特有の問題ではありません。RDPでもZTNでも、弱い認証を使っていれば同じように侵入されます。

② 認証を経由しない侵入（VPNの脆弱性）

  • VPN装置の脆弱性を突かれる

  • 侵入はできるが権限はない

  • 権限昇格 → 横移動を繰り返し権限を徐々に上げていく

  • ネットワークの掌握

  • データの暗号化・破壊・窃取

この場合も、権限昇格を止めれば攻撃は成立しません。

ここまで掘り下げると見えてくる「本当の原因」

多くの組織は次のように考えます。

  • パスワードが甘かった → 強化しよう

  • 多要素認証を入れていなかった → 導入しよう

しかし、これらの対策では次の問題が残ります。

  • インフォスティーラーやキーロガーで複雑なパスワードでも窃取される

  • リアルタイムフィッシングで多要素認証を突破される

つまり、原因を特定したとは言えません。

正しい原因分析はこうです。

突破される認証を使っていたから侵入された。
だから、突破できない強力な認証を必須化し、例外を作らない必要がある。

これが“原因の原因”であり、唯一の正しい出発点です。

認証を強化すると何が起きるか

結論は非常にシンプルです。

  • VPNの認証を突破できない強力な認証にする
    → 認証経由の侵入は100％止まる

  • 認証を経由しない侵入が起きても、PAMで権限昇格・横移動を止める　ただし、PAMそのものを乗っ取られないように、PAMの認証も突破できない強力な認証にする
    → 権限昇格が止まり、横移動がすべて止まる

つまり、
強力な認証を必須化すれば、VPNを排除する必要はなく、安全に使える
という結論になります。

まとめ

  • VPNが攻撃されるのは事実だが、VPNそのものが“原因”ではない

  • 真の原因は「突破される認証を使っていたこと」

  • 認証を強力にすれば、認証経由の侵入は100％止められる

  • 認証を経由しない侵入も、強力な認証を使ったPAMで権限昇格を完全に止められる

  • 結果として、VPNは排除するものではなく、強力な認証で制することで安全に使える

次回は・・・

本記事で紹介するランサムウェア対策は全体で十歩ありますが、内容が多いため三回に分けて解説します。

第2回は「認証選定・実装編」として、第二歩から第四歩を扱います。

攻撃チェーンの“入口”をどう塞ぐかを中心に、最も重要な三つのステップを深掘りします。

第二歩：強い認証はどれを選べばよいのか？　なぜFIDOカードなのか？
第三歩：IDaaSを使ったFIDOカード必須化──例外を作らない構造
第四歩：PAMによる権限昇格・横移動の防止

その後の第五歩以降では、クラウド権限管理、インフォスティーラー対策、クラウド同期アカウントの保護、脆弱性診断、バックアップ、そして最後の砦としてのEDRまで、攻撃チェーンを段階的に潰す方法を解説していきます。

第五歩：クラウドの攻撃チェーンを潰す（SaaS／IaaSの権限管理）
第六歩：パスワードマネージャによるインフォスティーラー対策とレガシー認証の実質FIDO化
第七歩：FIDOカードを使ったクラウド同期アカウントの保護
第八歩：脆弱性診断で設定ミスや未登録の穴を塞ぐ
第九歩：バックアップの導入
第十歩：EDRやウイルス対策ソフトによる最後の砦

いいなと思ったら応援しよう！