ニュースの概要
KDDI総合研究所は、Linuxシステムを狙うランサムウエア（＝データを暗号化して身代金を要求する不正プログラム）への対策ツールを、オープンソースソフトウェア（OSS）として公開した。Linuxはサーバーやクラウド基盤、組み込み機器で広く使われている。しかしWindows向けと比べると、対策製品や運用の知見が少ないと言われてきた。今回の公開は、研究機関が持つ検知や防御の技術を、誰でも入手し、検証し、改良できる形に開いた点に意味がある。企業の情報システム部門は、費用を抑えながら自社環境で試せる選択肢を得たことになる。ただし具体的な機能や導入条件は、公式の公開資料で確認する必要がある。
引用元: Linuxシステム向けランサムウエア対策ツールをOSSとして公開（KDDI総合研究所）
分析・見解
狙われる場所が、パソコンからサーバーの中枢へ移った
ランサムウエアというと、社員のWindowsパソコンが感染する場面を思い浮かべる人が多い。だが近年の攻撃者は、被害が大きく、身代金を取りやすい場所を狙う。それがLinuxで動くファイルサーバー、データベース、仮想化基盤（＝1台の機械で複数の仮想コンピューターを動かす仕組み）である。仮想化基盤のESXiを標的にしたLockBitやAkiraの亜種が報告されてきたのは、その典型だ。基盤を1台止めれば、数十台分の業務システムが一度に止まる。攻撃者にとっては、少ない手間で最大の圧力をかける近道になる。
加えて、Linux上のバックアップ保管先も同時に狙われる。復旧用のデータごと暗号化されると、身代金を払うかどうか以前に、元に戻す道が閉ざされる。攻撃者はこの構図を理解したうえで、順番に狙っている。
Linuxは安全という思い込みが生む防御の空白
Linuxは権限管理がしっかりしており、Windowsより狙われにくいと考えられてきた。確かに利用者数では不利だった。だがサーバー用途では、価値の高いデータが集まる。Windowsのパソコンに標準的なウイルス対策ソフトを入れるのは常識になっている。一方でLinuxサーバーには、性能に響く、保守担当が嫌がるといった理由で、何も入れていない例も珍しくない。この空白が、攻撃者に見つかっている。
OSSで公開する価値は、中身を確かめられること
防御ツールをOSSにする利点は、無料であることより、動作を自分の目で確かめられることにある。Linuxサーバーは業務の心臓部だ。中身の分からない常駐ソフトを入れることに、抵抗を持つ担当者は多い。ソースコードが読めれば、どのファイルを監視し、何を条件に処理を止めるのかを事前に点検できる。自社の環境に合わせて、検知ルールを直すこともできる。一方で、OSSは出して終わりになりやすい。利用者が増え、不具合報告や改良が続くかどうかが、実用性を左右する。
検知は万能ではなく、誤検知の扱いまで試験が必要
ランサムウエアの暗号化を、挙動から見つける方式は、未知の亜種にも効く可能性がある。しかし、攻撃者が管理者権限を奪った後は、防御ツール自体を止められる恐れがある。入れたから安心とは言えない。侵入口の遮断、権限の最小化、書き換えできないバックアップと組み合わせて、初めて効果が出る。
もう一つ見落とせないのが誤検知である。暗号化に似た動きを見つけた時に自動で処理を止める設計は、本物の攻撃には有効だ。だが正規のバックアップ圧縮やデータベースの再編成を誤って止めれば、自ら業務停止を起こす。検知の精度だけでなく、止める範囲と、人が判断する手順まで含めて試験しておきたい。
ビジネスへの影響
まず自社のLinux機器を洗い出し、守る順番を決める
最初の作業は製品選びではなく棚卸しである。ファイルサーバー、仮想化基盤、業務システム、バックアップ装置のうち、Linuxで動くものを一覧にする。停止した時の損害が大きい順に並べれば、どこから守るかが決まる。委託先が管理している機器や、担当者が退職して誰も触っていない古いサーバーも含めること。
経営判断としては、停止1日あたりの損失額を概算しておくと、対策費用の妥当性を説明しやすい。たとえば売上の1日分が数千万円なら、検証の人件費は小さな保険料に見える。
検証環境で試し、本番に入れる条件を決める
OSSは導入費用がかからない。しかし検証と運用の人件費はかかる。まず本番に近い構成の検証環境で、通常業務の負荷と誤検知の出方を測る。見るべき点は三つある。性能への影響、誤検知した時の動き、ログを既存の監視基盤に流せるかである。
導入も段階を分けるとよい。最初は検知と通知だけに留め、自動で止める機能は、誤検知の傾向が分かってから有効にする。社内に担当できる人がいなければ、保守を請け負う事業者に評価を頼む手もある。公開元の更新状況やライセンス条件も、採用前に確認したい。
ツールより先に、バックアップが戻せるかを確かめる
検知ツールは被害を小さくする手段であり、ゼロにする保証はない。経営層に確認してほしいのは二点だ。バックアップが攻撃者に書き換えられない場所にあるか。そして、実際に戻せるかである。年に一度は復旧訓練を行い、何時間で業務が再開できるかを数字で把握しておく。
Linux全般の守り方は、当サイトのセキュリティ記事も参考になる。予算面では、有償製品を一律に置き換えるより、監視が手薄な領域をOSSで補う使い方が現実的である。