侵害前提評価とランサムウェア対応力

バックアップについての問いを、正しく立てる

多くの組織は、バックアップが存在するか、復元を試したことがあるかには答えられます。しかしランサムウェア事案の結末を決める問いに答えられる組織は、ずっと少なくなります。最終的にドメイン管理者になったアカウントは、バックアップを削除・暗号化・改変することもできるのか。バックアップサーバーがドメインに参加している、バックアップのサービスアカウントがドメイン管理者である、あるいは変更不可ストレージが到達可能な認証情報だけで守られている - そのいずれかなら、バックアップはそこから立ち直る手段ではなく、影響範囲の一部です。

私たちはその経路を具体的にテストし、答えが良くても悪くても、名前を付けた指摘事項として報告します。それこそ、貴社の経営層が必ず尋ねる問いだからです。

何も暗号化しません

模擬であれ何であれランサムウェアは展開せず、いかなるものも暗号化しません。対応力は、暗号化を可能にしてしまう「アクセス」を示すことで測ります。このアカウントがあの共有に書き込め、あのスナップショットを削除でき、あのバックアップカタログに到達できる - そこまでを示して、手を止めます。証跡はディレクトリ一覧と権限の裏づけであって、被害ではありません。

他の案件との位置づけ

環境全体で何が問題かを漏れなく洗い出したいのであれば、それはネットワークまたは Active Directory の案件です。動いている相手を防御チームが捕捉できるかを知りたいのであれば、それはパープルチームまたはレッドチーム評価です。この案件が答えるのは、もっと狭く、もっと手を打ちやすい問いです。侵害が一つ起きたとき、事業のどれだけがその下流にあるのか。