ランサムウェア被害からの迅速な復旧、多くの企業が実現できず

Fenix24が評価した800社を超える顧客のうち、24〜48時間というランサムウェア復旧目標に近づけたのはわずか4社（0.5%）にとどまりました。しかも、それすら業務の一部復旧にすぎませんでした。完全な業務稼働に至るまでには、いずれのケースもインシデント発生から数週間を要しています。

この結果は、インシデント対応企業Fenix24が9月15日に公開した、同社初の「State of Recoverability」レポートによるものです。500件を超えるランサムウェア復旧事例をもとにまとめられています。

同レポートによれば、復旧計画は毎回同じように破綻していました。書面上は問題なく見えても、いざ攻撃者に侵入されるとその通りには機能しなかったといいます。

ID管理システムがランサムウェア復旧を遅らせる

Fenix24によると、顧客の99.2%はID復旧計画を文書化しておらず、たとえ計画が存在していたケースでも、脅威アクターとの実際のやり取りの中で機能したものは一つもありませんでした。

Sectigoのシニアフェロー、Jason Soroko氏は次のように述べています。「復旧作業が、攻撃者にすでに侵害されたのと同じログインシステムに依存してしまうケースがあります。この数字はFenix24が対応した案件に関するものであり、すべての企業に当てはまるわけではありませんが、各組織が自らテストすべき失敗パターンを示しています」

ほぼすべてのケースで、ディレクトリそのものが問題となっていました。Fenix24によれば、Active Directoryは大抵の場合、最初に陥落する主要システムであり、顧客の94%はバックアップシステムを、まさに攻撃者に乗っ取られたそのディレクトリに紐づけていました。

最初の2日間のうち、およそ20%の時間がID管理だけに費やされ、たった一つの認証基盤を信頼できる状態にまで清浄化する作業に充てられていました。最低限稼働可能なインフラに到達するまでには、さらに少なくとも72時間を要しています。

さらに、重要インフラのコンソールに実効性のある多要素認証を導入していた顧客は5%にとどまり、ネットワークの入口部分での導入率15%と比べても低い水準でした。

ランサムウェア復旧に関する関連記事: 実際のLockBit攻撃を受けたCISOが語る、ランサムウェア対応と復旧の教訓

無事だったバックアップでも事業復旧は果たせず

バックアップが攻撃を無傷、あるいはほぼ無傷でくぐり抜けた案件のうち、38%ではそれでも復旧を支えきれなかったとFenix24は指摘しています。使い物にならないほど古いバックアップセットもあれば、侵入が起きるずっと前から破損・不完全な状態だったものもあり、単に形式が合わなかったり、復元にゼロから再構築するより長い時間がかかったりするケースもありました。
ハードウェア上は「イミュータブル」というラベルが付いていながら、実際にはその機能を果たせないものもありました。

自社が抱えるアプリケーションと依存関係の全体像を把握していた顧客は一社もありませんでした。それに最も近い情報は構成管理データベースの中にありましたが、それもほかのシステムと共に失われてしまうか、事業として何を優先的に復旧させるかを迫られる中で、復旧作業の途中になって初めて作成される有様でした。

見落とされがちな、物理的な制約も2つありました。ストレージ容量が不足していた案件は82%に上り、復元したデータを、フォレンジック記録を上書きすることなく格納する場所がありませんでした。また38%の案件では、ネットワークが復旧作業に必要な規模のデータ転送に耐えられませんでした。

こうした不備に対処するため、Fenix24は各組織に対し、自社にとって収益面で最も重要な事業サービスを特定した上で、サードパーティも含めた完全な依存関係マップを整備し、現行の復旧目標に照らして復旧プロセス全体をエンドツーエンドで実際に試すべきだと提言しています。同社は、シミュレーションと未検証の計画は結局のところ同じものだと結論づけています。