ランサムウェアをサーバー側から対策する

© SIOS Technology, Inc. All rights Reserved.
ランサムウェアをサーバー側から対策する
1
2016/06/15
OSS/Security Evangelist
面和毅

Agenda
2
1. ランサムウェアのおさらい
2. ランサムウェアへの対策
1. やられないようにする
2. やられても良いようにする
3. まとめ

自己紹介
3
 Linux/OSS歴18年
 OSSのセキュリティにフォーカス
 アクセス制御(SELinux, LIDS)
 AntiVirus
 SIEM
 SIer, ベンダ, 顧客（管理者）の立場を経験

1.ランサムウェアのおさらい
4

ランサムウェアとは
5
ランサムウェア
別名：身代金ウィルス，身代金ウイルス，身代金型ウィルス，身代金要求ウイルス
【英】ransomware ランサムウェアとは、マルウェア（悪意のあるソフトウェ
ア）の一種で、ユーザーのデータを「人質」にとり、データの回復のために「身
代金」（ransom）を要求するソフトウェアのことである。

結局ランサムウェアって何をやるの？
ローカルHDDを
暗号化orファイル消去
繋がったUSBメモリを
暗号化orファイル消去
ネットワークマウントしている
フォルダの暗号化orファイル消去
繋がっているありとあらゆるデバイス内のファイルを
・暗号化 -> 複合化でお金を取る
・ランダムに消していく -> 「今すぐお金を振り込みなさい！！」

じゃあ、対処方法は？？
まずは対処方法を整理してみましょう
動きだけ見ていると、やはり「ウィルス感染」->「暗号化」に置き換えた
だけで、今までのウィルス感染対策と基本姿勢は同じ。
ランサムウェアに
• やられないようにする
• やられても良いようにする
で考えてみましょう

2. ランサムウェアの対策
2-1. やられないようにする
8

まずはやられないようにする
1. AntiVirusソフトウェアを各端末にインストール
• 既存のランサムウェアは各社のAntiVirusソフトで検知可能
• 「AntiVirusじゃ防げない！」というショッキングなトークに
騙されない
2. USBなど外部デバイスの禁止。少なくとも常時挿しておかない
3. 外部アクセスのWebブラウザもプラグインは最小にする
4. メーラーも設定を確認して、添付ファイルを開くときに気を付ける

何か参考になるものは？
結局、標的型攻撃の対策と同じ
年金機構の再発防止策(一部)が参考になる
「プラグイン」などの
拡張機能の使用の制限
メールの
添付ファイル扱い
埋め込みコンテンツの
取り込み設定制限
年金機構事件の問題への対応

サーバ側で対策出来る？
• AntiVirusを統合して、防御に漏れがないようにする
• AntiVirus製品はヘテロな環境を（意図的に）作る
TrendMicro製品
Sophos製品
製品を選ぶときは対応OSで選びましょう
最近はどのAntiVirusも同じようなものです

2016年4月時点での各社の検知率
12

的確なスキャン設計・設定
13
スキャン対象・対象外を明確にする
• DBファイルとかISOファイルとかスキャン
してませんか？
• 圧縮ファイルのスキャンは注意が必要
• アーカイブファイルのスキャンは必要か？

とは言っても
• 結局、人間がやることには漏れはあり得る
• 最新のランサムウェアだとAntiVirus対応に時間がかかる
• 新しい攻撃方法が出てくるかもしれない
「やられても良いようにする」対策を考えておきましょう

2-2. やられても良いようにする
15

サーバ側で考えること
「やられても良いようにする」とは（以下、サーバ側視点）
ファイルサーバ側
• ランサムウェアが変な行動を出来ないようにする
• ファイルを改変(暗号化)されても元に戻せるようにする
バックアップサーバ側
• 最悪の場合、バックアップから戻せるようにする

17
ファイルサーバ編

ファイルサーバ側で考えること
「やられても良いようにする」ためには。。。。
まず、ランサムウェアがどう動くかを詳しく考察しよう！
ただし、「サーバ側で対応する」のが大前提。

ランサムウェアとファイルサーバの動き
ファイルの
暗号化
暗号化ファイル
書き込み
元ファイルの
削除
端末
ファイル
サーバ
• 対象ファイルの
選択
• ファイルの
暗号化
• 暗号化ファイルの
書き込み
• smbdなどから
共有ボリュームへの
何らかのファイルの
書き込み(位置は
どこでも良い)
対象ファイルへの
sys_open/sys_read
• 対象ファイルへの
sys_close (律儀なら)
削除要求
• smbdなどからの要求
により共有ボリュームの
何らかのファイルの削除
ファイルサーバとしては当たり前の動作

じゃあどうするか？
ファイルの
暗号化
書き込み
元ファイルの
削除
端末
ファイル
サーバ
選択
• ファイルの
暗号化
書き込み
どこでも良い)
sys_open/sys_read
削除要求
ここを何とかしてみよう

ファイルが消されても良いようにするには？
復活させる方法があればいい
ファイルサーバ側でゴミ箱（Recycle bin）を使う!!

Linux+Sambaの場合
Samba3/4ならRecycle binの設定ができる
ファイ共有セクションで「vfs objects = recycle」を
指定することで、ごみ箱機能を有効に。
[Share]
comment = Public Stuff
path = /Share/
browseable = yes
writable = yes
printable = no
vfs objects = recycle
guest ok = yes
read only = no
recycle:repository = .recycle
recycle:keeptree = yes
実際の動きはデモで！！

Windows Serverの場合
Windowsだと商用で「Undelete」がある

Windows Serverの場合
その他、VSS(Volume Shadow-copy Service)
を有効にしておくのがおすすめ
定期的なスナップショット
- パフォーマンス劣化は小さい
- ランサムウェアにやられても、
「直前にスナップショット取ってた
時点のファイル」に戻せる

ゴミ箱のメリット・デメリット
メリット
• 暗号化ランサムウェアだけでなくファイル削除型にも効く
• オペミスで削除したファイルでも復活できる
• 直前の状態が入っているので、そこから復活すれば感染直前の
状態に復活できる
• ゴミ箱もバックアップ対象にすれば直近まで戻せる
デメリット
• 容量が増える
-> ストレージのコストとリスクの兼ね合い
-> メンテナンスが必要になる（定期的にパージ）
• 戻すときにサーバ側で対応が必要
-> ランサムウェア感染とか、どっちみち管理者に報告でしょ？
一昔前のNetWareの時は。。。。

でもちょっと待った
削除じゃなくて「改変」されるとどうなる？
ファイルの
暗号化
書き込み
元ファイルの
削除改変
端末
ファイル
サーバ
選択
• ファイルの
暗号化
書き込み
どこでも良い)
sys_open/sys_read
削除改変要求
改変(write)
こうなってくるとどうする？

サーバOS側から見ると
27
Kernel
PC/User
システムコール
fopen()
sys_open()
fread()
fwrite()
sys_read()
sys_write()
サーバ側から見ると全く区別がつかない

28
Kernel
PC/User
fopen()
sys_open()
fread()
fwrite()
sys_read()
sys_write()
Fanotify/inotifyを使って書き込み前に
バックアップを作成
FAN_MODIFY
FAN_CLOSE_WRITE
FAN_CLOSE_NOWRITE
書き込み完了時でしか
フック出来ない
->書き込み前のバックアップが
取れない

29
Kernel
PC/User
fopen()
sys_open()
fread()
fwrite()
sys_read()
sys_write()
Fanotify/inotifyを使って書き込み前に
バックアップを作成
FAN_OPEN
原理的に可能枯れていない
やはり「こまめにバックアップ」併用が今は確実

30
バックアップサーバ編

バックアップサーバ側で考えること
バックアップ側で対応するには
1. 複数のバックアップ
2. 日時ごとのバックアップの保管
3. バックアップ時以外は切り離す

バックアップサーバ側で考えること
例えば商用のストレージ(EMCなど)だと
ストレージ
Shadow
ボリューム
Mirroring
backup
Monday
backup
Tuesday
backup
Wednesday
D2D
D2D
D2D
普段はRead-Only

一般的な環境なら
ストレージ
Backup 1
Backup 2
Backup 3
D2D
D2D
D2D
時間が許容範囲ならバックアップを3回走らせる

取得時間が手短
ストレージ
Backup 1
Backup 2
Backup 3
D2D
D2D
取得したバックアップを他のボリュームにコピー
D2D

容量は少なく限定的だが
ストレージ
Backup 1
Backup 2
D2D
D2D
ISOファイル作って焼いてしまう
D2D
容量が限られるので
重要ファイルだけDVD

RISK
ストレージ
Backup 1
Backup 2
Backup 3
D2D
D2D
バックアップの一つにMalwareが混入すると
D2D
バックアップのコピーで
拡散してしまう

バックアップ時以外は切り離す
37
意外と忘れがち
通常は（サーバからは）マウント対象から外す
マウントしなくてもバックアップ取れる方法を
1. rsync + ssh (お手軽+定番）
2. Bacula（製品版）、NetBackupなどの商用

3. まとめ
38

3. まとめ
ランサムウェアをサーバ側で対策するには
1. 各端末は統合管理環境でAntiVirusソフトを運用
2. サーバはネットワークごみ箱などを使用
3. 3つ以上の物理的にわかれたメディアでバックアップ
4. 必要な時以外はバックアップは接続しない
が基本！！

ランサムウェアをサーバー側から対策する

Recommended

Recommended

More Related Content

What's hot

What's hot (11)

Viewers also liked

Viewers also liked (6)

Similar to ランサムウェアをサーバー側から対策する

Similar to ランサムウェアをサーバー側から対策する (20)

More from MKT International Inc.

More from MKT International Inc. (20)

ランサムウェアをサーバー側から対策する