JPCERT、侵入型ランサムウェア攻撃発生時に残るWindowsイベントログの特徴に関する記事を公開

　JPCERTは、侵入型ランサムウェア攻撃発生時に残るWindowsイベントログの特徴に関する記事を公開した。

　昨今のセキュリティインシデントの傾向から、VPN機器の脆弱性が悪用される可能性が高いことが知られている。被害発生時に想定される侵入経路は複数あることが多く、調査に手間と時間がかかってしまうケースが多い。そのため、被害端末に残っている暗号化されたファイルの拡張子や脅迫文が書かれたランサムノートなどをもとに攻撃グループを推定し、その攻撃グループが過去に使用していた侵入経路を把握した上で侵入経路の調査にあたることが、スムーズな初動対応を進める上で重要になる。

　JPCERTは、攻撃グループ特定のサポートとして、Windowsイベントログの情報が使用できる可能性があるかについて調査した結果について公開した。調査では、ランサムウェアによってはWindowsイベントログに痕跡を残すものが存在することを確認しており、その特徴をもとにランサムウェアの推定が可能な場合があることを確認している。今回、調査に使用したWindowsイベントログは、「アプリケーションログ」「セキュリティログ」「システムログ」「Setupログ」の4つ。

　JPCERTは、被害発生時の初動でWindowsイベントを調査することによって、ランサムウェアを特定し、被害拡大防止に役立ててほしいとしいる。

(川原 龍人/びぎねっと)

[関連リンク]
記事本文