目次

第1章　ランサムウェア攻撃とは

1.1　そもそもランサムウェアとは？

• 1.1.1　ランサムウェアの基礎知識
• 1.1.2　用語の定義
• 1.1.3　昨今の被害

1.2　最近のランサムウェア攻撃の特徴

• 1.2.1　2010年代後半まで
• 1.2.2　分業制の時代
• 1.2.3　複数脅迫（Multiple Extortion）
• 1.2.4　ノーウェアランサム
• 1.2.5　AIによるランサムウェア攻撃

1.3　ランサムウェア攻撃に対する取り組み（Stop Ransomware）

• 1.3.1　Stop Ransomware（米国CISA＋FBIなど）
• 1.3.2　No More Ransom（EU）
• 1.3.3　ストップ！ランサムウェア（日本）

第2章　ランサムウェア攻撃を理解するための専門用語

2.1　ランサムウェア攻撃を理解するための専門用語

2.2　サイバーセキュリティを支える組織と役割

• 2.2.1　NIST
• 2.2.2　MITRE
• 2.2.3　CISA
• 2.2.4　FIRST
• 2.2.5　ENISA

2.3　TTP

2.4　サイバーキルチェーン

• 2.4.1　偵察（Reconnaissance）
• 2.4.2　武器化（Weaponization）
• 2.4.3　配送（Delivery）
• 2.4.4　エクスプロイト（Exploitation）
• 2.4.5　インストール（Installation）
• 2.4.6　C&C（Command & Control）
• 2.4.7　アクション（Action）

2.5　MITRE ATT&CK

• 2.5.1　MITRE ATT&CKマトリックスの種類
• 2.5.2　Tactics
• 2.5.3　Techniques
• 2.5.4　Techniquesの詳細

2.6　IoC（Indicator of Compromise）

• 2.6.1　TTPとIoCの違い
• 2.6.2　BlackSuitランサムウェアのIoC
• 2.6.3　IoCの使用方法

2.7　SCAP（セキュリティ設定共通化手順）

• 2.7.1　CVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）
• 2.7.2　CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）
• 2.7.3　CWE（Common Weakness Enumeration：共通脆弱性タイプ）
• 2.7.4　CPE（Common Platform Enumeration：共通プラットフォーム一覧）
• 2.7.5　CCE（Common Configuration Enumeration：共通セキュリティ設定一覧）
• 2.7.6　SCAPのまとめ

2.8　その他の脆弱性関連の専門用語（KEV、SSVC、EPSS）

• 2.8.1　CISA KEV
• 2.8.2　SSVC（Stakeholder-Specific Vulnerability Categorization）
• 2.8.3　EPSS（Exploit Prediction Scoring Sytem）

第3章　ランサムウェア攻撃の流れ

3.1　CERT-NZを参考にした、一般的なランサムウェア攻撃の流れ

• 3.1.1　偵察フェーズ
• 3.1.2　初期アクセス（INITIAL ACCESS）
• 3.1.3　足場固めと準備（Consolidation and Preparation）
• 3.1.4　標的へのインパクト（IMPACT ON TARGET）

3.2　［実例］ Contiグループによるランサムウェア攻撃を見てみる

• 3.2.1　1日目「フェーズ1」
• 3.2.2　1日目「フェーズ2」
• 3.2.3　1日目「フェーズ3」
• 3.2.4　3日目
• 3.2.5　4日目

3.3　ランサムウェア攻撃は、なぜ見つけにくいのか

• 3.3.1　「ランサムウェアの感染」が主目的ではない
• 3.3.2　とにかく見つからないようにする

第4章　ランサムウェア攻撃に備える

4.1　ランサムウェア被害を減らすためのシステム全体の見直し

• 4.1.1　「CERT-NZ」のそれぞれのフェーズでの防御方法
• 4.1.2　Stop Ransomware（CISA）
• 4.1.3　NIST CSF 2.0を利用したコミュニティプロファイル（NIST IR 8374r1）

4.2　「ランサムウェアに備える」ために必要なものを考える

• 4.2.1　基本的なセキュリティ対策の実施
• 4.2.2　脅威インテリジェンスの活用
• 4.2.3　DRP（Digital Risk Protection）
• 4.2.4　ASM（Attack Surface Management）
• 4.2.5　脆弱性管理
• 4.2.6　アンチウイルス製品とEDR
• 4.2.7　ログ管理
• 4.2.8　バックアップ管理
• 4.2.9　DR（Disaster Recovery）管理
• 4.2.10 CSIRTの設立とプレイブックの徹底および準備体制の確立

第5章　インシデント発生！そのときどうする？

5.1　初動

• 5.1.1　プレイブックに従って行動する
• 5.1.2　とにかく早い段階で専門家を交えたチーム連携を行う
• 5.1.3　被害状況の確認と一時的な封じ込めを行う

5.2　調査

• 5.2.1　セキュリティ専門家を中心に、被害企業の現場が社内状況を共有する
• 5.2.2　被害状況を確認する
• 5.2.3　確実に封じ込める

5.3　復旧・対外公表

5.4　禁止事項

第6章　ランサムウェア攻撃の対応事例

6.1　UnitedHealth社の事例（2024年）

• 6.1.1　インシデントの時系列
• 6.1.2　このインシデントでの問題点
• 6.1.3　まとめ

6.2　アサヒグループホールディングスの事例（2025年）

• 6.2.1　インシデントの時系列
• 6.2.2　このインシデントでの被害
• 6.2.3　このインシデントでの問題点と良かった点
• 6.2.4　まとめ

6.3　米国ネバダ州の事例（2025年）

• 6.3.1　インシデントの時系列
• 6.3.2　インシデント発生から復旧への体制
• 6.3.3　ネバダ州が行っていた訓練
• 6.3.4　復旧にかかった費用
• 6.3.5　まとめ

6.4　3つの事例のまとめ

付録A　脆弱性情報収集

A.1　はじめに

A.2　前日に公開されたCVE-IDを調べる

• A.2.1　GitHubとAPIのどちらを使うべきか？
• A.2.2　CVE更新情報取得（GitHub）
• A.2.3　CVE更新情報からの絞り込み

A.3　CVE-IDに関連した情報を調べる

• A.3.1　Vulnerability-Lookupとは
• A.3.2　Vulnerability-Lookup API（基本的な情報）
• A.3.3　Vulnerability-Lookup API（Correlations）
• A.3.4　Vulnerability-Lookup API（Sights）
• A.3.5　Vulnerability-Lookupでできないこと

A.4　自社が使用している製品ベンダーからCVE情報を取得する

A.5　脆弱性情報取得のまとめ

付録B　CVSSのMetric Groupと要素（脆弱性の特性）

B.1　はじめに

B.2　Base Metric Group

• B.2.1　Exploitability Metrics（悪用可能性メトリック）
• B.2.2　Impact Metrics（影響メトリック）

B.3　Threat Metric Group（脅威メトリックグループ）

• B.3.1　Exploit Maturity（E）（エクスプロイトの成熟度）

B.4　Environment Metric Group（環境メトリックグループ）

• B.4.1　Modified Base Metrics
• B.4.2　機密性、完全性、可用性の要件（CR、 IR、AR）

B.5　Supplemental Metrics Group（補足メトリックグループ）

• B.5.1　Safety（安全性）
• B.5.2　Automatable（AU）
• B.5.3　Provider Urgency（U）
• B.5.4　Recovery（R）
• B.5.5　Value Density（V）
• B.5.6　Vulnerability Response Effort（RE）
• B.6　CVSSまとめ

付録C　SIEM詳細

C.1　はじめに

C.2　SIEMを構成する要素

• C.2.1　Collector
• C.2.2　Parser
• C.2.3　Indexer（DB）
• C.2.4　Dashboard

C.3　相関分析

• C.3.1　シンプルな相関分析
• C.3.2　複雑な相関分析
• C.3.3　相関分析の課題

C.4　SIEMのまとめ

付録D　脅威ハンティングの実例

D.1　はじめに

D.2　想定脅威アクターの特定

D.3　想定脅威アクターの情報収集

D.4　脅威ハンティングで使用するツール

• D.4.1　YARAルール
• D.4.2　Snortルール／Suricataルール
• D.4.3　Sigmaルール

D.5　脅威ハンティングの例（Akiraランサムウェアグループ）

• D.5.1　Akiraランサムウェアグループの動きを仮定する.

D.6　脅威ハンティングのまとめ