はじめに
こんにちは！
最近ランサムウェアによる被害のニュースを頻繁に見る気がしたので、そもそも Azure としてランサムウェア対策はどうなっているのか気になったので調べてみました。
対象者
- Azure のセキュリティに関わる方
- ランサムウェア関連に興味がある方
ランサムウェアとは
ランサムウェアは、マルウェア（悪意あるソフトウェア）の一種で、感染したシステムやデータを暗号化し、復号のために身代金を要求する攻撃手法です。さらに最近はデータの暗号化だけでなく情報漏洩も組み合わせて脅迫してくるという手法もございます。
感染の流れとして一般的なのは、フィッシングメール、悪意あるリンク、脆弱性攻撃を利用してマルウェアが端末に侵入し、より高い権限をパスワード・認証情報の窃取や Active Directory への攻撃をネットワーク内で実施することで取得します。
そこからファイルやシステムを暗号化し、ユーザーが元の状態に戻せないようにバックアップも含めて暗号化を実施いたします。
Azure のランサムウェアによる攻撃の可能性
Azure がクラウド環境であるからといって、ランサムウェア感染のリスクがないわけではございません。
一つの例となりますが、もし仮にユーザー端末がフィッシングメールなどから感染し、Entra ID 認証情報が窃取された場合 Azure Files などに暗号化の攻撃が可能と考えられますし、Azure VM も脆弱性や RDP 攻撃の対象になります。
なので、Azure でもランサムウェアに対してしっかりと対策をしておく必要がございます。
Azure でのランサムウェアの対策
Azure ではランサムウェアの対策として、公開情報にまとまっております。
ランサムウェアの攻撃に対してどのように備えるべきか。
ランサムウェアの攻撃に侵入されてしまった場合ににどのように検出し対応していくかという内容がまとめられています。
ランサムウェア攻撃に役立つ主な Azure の機能とリソース
- Microsoft Defender for Cloud
Extended Detection and Response（XDR） とも呼ばれる高品質な脅威検知と対応の機能を提供 - Microsoft Sentinel
内蔵のコネクタと業界標準を使用してあらゆるセキュリティソースに接続し、人工知能を活用して複数のソースにまたがる低忠実度の信号を相関させ、ランサムウェアキルチェーンの全体像と優先的なアラートを作成して、防御者が敵を撃退する時間を短縮できるようにすることが可能 - Microsoft Entra ID
パスワードレスおよび多要素認証を使用して、よく見られるパスワード攻撃 (Microsoft Entra ID で見られる ID 攻撃の 99.9% を占める) からアカウントを保護することができます。 完璧なセキュリティはありませんが、パスワードのみの攻撃ベクトルを排除することで、Azure リソースへのランサムウェア攻撃リスクを劇的に低減 - Azure Backup
Azure VM をバックアップするためのシンプルで安全、かつ費用効率の高いソリューションを提供 - Azure Firewall PremiumAzure Firewall Premium
ネットワーク侵入検出と防止システム (IDPS) を使用すると、ネットワークを監視して悪意のあるアクティビティがないか確認し、このアクティビティに関する情報をログに記録し、それを報告して、必要に応じてそのブロックを試みることが可能。C&C 接続を検出してブロックし、攻撃者によるデータの暗号化を阻止するよう設計された数百のシグネチャがある
上記の中でも今回は、ランサムウェアの攻撃による損失を防ぐために、組織ができる重要な方法の一つとなるバックアップに関して着目してみた。
ランサムウェア攻撃者はバックアップ アプリケーションやボリューム シャドウ コピーのようなオペレーティング システム機能の無力化に多大な投資を行っているため、悪意のある攻撃者からアクセスできないバックアップを作成することが極めて重要ですが、 Azure Backup はどうなっているのでしょうか。
Azure Backup のランサムウェア対策
まず、そもそも Azure Backup で実施したバックアップがランサムウェアによって攻撃される可能性に関しては 0 ではないと考えております。
Azure Backup で実施したバックアップは Recovery Services コンテナーに保存されることが一般的ですが、公開情報にも記載されている通り、攻撃者はバックアップ ストレージやそのコンテンツに直接アクセスできません。Azure Portal を介在して 基盤内のネットワークに配置された Recovery Services コンテナー上のバックアップ データへアクセスが可能ですが、ユーザー操作が可能な範囲としては、復旧ポイントを削除すること、復元操作を行うことに限られます。
つまり、バックアップデータに対して悪意の第 3 者が変更を行う仕組みはないということになります。
では、なぜランサムウェアによって攻撃されるか可能性に関しては 0 ではないと考えているかというと、攻撃者が十分な権限を何かしらの方法で得た場合やなりすましによる、設定の無断変更・削除などによる攻撃が可能になるからです。
ランサムウェア特有のデータを暗号化し、身代金を要求するというものからは少しずれるようにも思えますが、攻撃者としては他のデータを暗号化した場合にそのデータを戻す手段をなくすことを実施したいのでランサムウェアの延長線にある攻撃と認識ください。
Azure Backup の"セキュリティ態勢とセキュリティ レベル"の公開情報にもランサムウェア対策として、悪意の第 3 者が Recovery Services コンテナー自体の削除や復旧ポイントの削除を実施されたときの対策を実施することがセキュリティレベルとして "非常に良い" とされております。
具体的には、以下の機能による対策です
- 不変コンテナー
復旧ポイントを失う可能性のある操作をブロックすることで、バックアップ データを保護するのに役立ちます。 さらに、不変コンテナー設定をロックして元に戻さないようにし、WORM (Write Once, Read Many) ストレージをバックアップに使用して、悪意のあるアクターが不変性を無効にしてバックアップを削除できないようにすることができます。
Azure Backup の不変コンテナー
- 論理的な削除
悪意のあるアクターによってバックアップが削除 (またはバックアップ データが誤って削除) された場合でも、バックアップ データは追加で 14 日間保持されるので、データを失うことなくバックアップ項目を回復できます。 バックアップ データが "論理的な削除" 状態にあるこの追加の 14 日間のリテンション期間中は、お客様にコストは発生しません。
Azure Backup の論理的な削除 - マルチユーザー認可
Recovery Services コンテナーと Backup コンテナーに対する重要な操作に保護レイヤーを追加できます。 MUA の場合、Azure Backup Resource Guard と呼ばれる別の Azure リソースを使用して、重要な操作が適用可能な承認でのみ実行される必要があります。
リソース ガードを使用したマルチユーザー認可について
このような機能を有効化することで、Azure Backup へのランサムウェア対策を実施し、もしランサムウェアの攻撃を受けてしまった場合でもバックアップから戻せる環境を作成しておくことが重要になります。
Discussion