課題
ランサムウェアは、その存在を明かすことはありません。わずか数分のうちに、横方向への移動、権限の昇格、ファイルシステムのマッピング、データの抽出、そしてすべてのデータのロックといった一連の動作を完了させます。ほとんどのセキュリティツールは、被害が発生するまで検知すらできません。その時点で、攻撃者はすでにファイルを人質に取っているのです。
確認されたデータ漏洩事例のうち、44%がランサムウェアによるものです。
件の新規かつ独自のマルウェアの脅威が毎日検出されています。
ランサムウェア関連の損害額が740億ドルに達すると予測されている。
AIによって生成された誘引メッセージは、フィッシングメールのクリック率の上昇と関連していることが判明した。
解決策
NetWitnessがもたらす変化は次の通りです。シグネチャの一致を待つのではなく、暗号化が行われる前の挙動を監視します。これをネットワーク全体の可視性と組み合わせることで、ランサムウェアを事後ではなく、偵察や横方向の移動の段階で検知できるようになります。この段階であれば、まだ対策を講じることができるのです。
既知のシグネチャは依然として重要であり、NetWitnessはそれらを検知します。しかし、シグネチャでは検知できないもの、つまり不審なファイルアクセスパターン、メモリインジェクション、C2コールバック、本来行うべきではない動作を行うプロセスなども監視しています。汎用マルウェアは検知されます。また、シグネチャツールの検知をすり抜けるために特別に作成された標的型マルウェアも同様に検知されます。
データが暗号化される前に、攻撃者は時間をかけてネットワークの状況を調査します。この偵察段階では、痕跡の残存、認証情報のダンプ、権限昇格の試み、通常のプロセスでは考えられないほどの高速なファイルシステムのスキャンなどが発生します。NetWitnessは、こうした活動が進行中の段階でこれを検知します。これにより、すでに暗号化作業の真っ最中にある攻撃者ではなく、まだ計画段階にある攻撃者を阻止することができるのです。
攻撃者は、暗号化チャネル内にC2通信を隠蔽します。なぜなら、それが効果的だからです。しかし、NetWitnessはそれを検知するために、何も復号する必要はありません。トラフィックのパターン、接続の挙動、メタデータ――これらによって、暗号化が始まるずっと前から攻撃者のインフラが露見するのです。
ランサムウェアは、単一のレイヤーにとどまるものではありません。ネットワークとエンドポイントの両方に影響を及ぼすため、NetWitness はネットワークアクティビティ、エンドポイントのテレメトリ、およびログを 1 つのタイムラインに統合します。初期の侵害、横方向の移動、権限の昇格、暗号化に至るまでの過程――これらを、ばらばらのアラートの寄せ集めではなく、1 つのキャンペーンとして把握することができます。
暗号化が行われる前にマルウェアやランサムウェアを検知するアーキテクチャ：
ネットワーク、エンドポイント、およびログからのフルパケットキャプチャに加え、行動データも継続的に収集されます。
機械学習は、不審な動きを検知します。横方向の移動、暗号化処理の開始、本来あるべきではない場所へのデータ送信、偵察活動などです。
ネットワークアクティビティは、エンドポイントのイベントやログと照合されます。これにより、それが単なるノイズではなく、実際に組織的な攻撃であることを確認できます。
アラートには、証拠がすでに添付されており、侵害されたユーザーID、影響を受けたシステム、ネットワーク接続、およびその背景にある行動のコンテキストが含まれています。
アナリストはゼロから調査を始めるわけではありません。攻撃の経緯を再現し、感染したシステムを特定し、横方向の移動を封じ込め、侵害された部分を即座に隔離することができます。
NetWitnessの特長
直感的なフォレンジックツールを活用し、調査にかかる平均時間を短縮します。
エンドポイントやログベースの検知をすり抜ける脅威を特定します。
規制や監査に向けたフォレンジック対応体制を支援します。
滞留時間を短縮し、積極的な検知によりデータ損失を未然に防ぎます。
