2024 年 3 月 25 日 Carlos Arnal 著

企業のセキュリティコントロールを無効化したり改ざんしたりするために、サイバー犯罪者が新たな回避戦略を用いて攻撃を仕掛けるケースが増えています。

今年は、ファイアウォール、アンチウイルス、次世代 EDR テクノロジなどの、企業が持つ防御機能を特定して排除しようとするハンターキラー型マルウェアの利用が急増しています。最近のレポートでは、この種のマルウェアが 333% も増加していることが明らかになっています。この傾向は、改ざん防止保護を組み込んだ、より強固なサイバーセキュリティソリューションの必要性を浮き彫りにしています。

改ざん防止保護とは？

侵入者は、標的のシステムやデバイスにアクセスした後、セキュリティ対策を無効化またはアンインストールして、気付かれないうちに攻撃の次の段階に移ろうとします。ハッカーは、前述のハンターキラー型マルウェアを含め、さまざまな方法を用います。すべてのツールがエンドポイント上のアクティビティを常時監視しているわけでも、保護対策が変更されたときに警告を発するように設定されているものでもないため、万が一攻撃によってセキュリティ対策が変更された場合、このような攻撃型のマルウェアを検知することは困難です。

攻撃者がエンドポイントセキュリティの設定を変更し、コンピュータをコントロールしようとする試みを阻止するためには、改ざん防止保護によっていくつかのテクノロジを有効にすることが重要です。改ざん防止保護は、セキュリティソリューションに対する不正な設定変更を防止し、保護レベルの低下やアンインストールを阻止します。これらの技術の主な利点は以下のとおりです。

• セキュリティの強化： ハッカーが、セキュリティ対策を無効にたり、変更したりすることでデバイスへの不正アクセスを行うリスクを低減します。
• 脅威への迅速な対応： 検知時間を短縮し、攻撃への対応効率を高めることで、全体的なセキュリティを向上させます。
• ダウンタイムの削減： 攻撃やマルウェア感染後のデバイスのダウンタイムを短縮します。

改ざん防止保護でデバイスのセキュリティを強化するには？

このようなマルウェアの増加傾向に対抗するには、さまざまな制御手段を組み合わせた包括的なセキュリティ戦略を導入することが極めて重要です。改ざん防止保護を含んだ効果的なエンドポイントセキュリティソリューションもそこに含まれます。ウォッチガードのエンドポイントセキュリティソリューションはすべて、デバイス、データ、インフラストラクチャを保護する独自の改ざん防止テクノロジを含んでおり、堅牢なアーキテクチャをベースにしています。これらのソリューションは二要素認証（2FA）を使用し、コンソールアクセスや Windows セーフモードの起動を保護し、物理的なアクセスを、許可されたユーザに限定します。これにより望ましくない改ざんを防ぐことが可能です。さらに、Windows 10 以降のバージョンをベースにしたシステムには、ELAM（Early Launch Anti-Malware）テクノロジが搭載されており、システム起動時からマルウェアに対する保護レイヤを追加します。これにより、以下が実現します。

• 改ざん防止セキュリティ：
  多くのランサムウェア攻撃は、エンドポイントにインストールされた保護をフリーズさせたのちネットワーク全体に拡散し、組織全体のファイルを暗号化しようとします。そこで改ざん防止保護は、システムのセキュリティ状態に影響を与える可能性のあるサービスやプロセスを停止または一時停止しようとする攻撃者の試みに対抗します。
• ローカルコンソールおよびデバイス上のアンインストールに対する 2FA 保護：
  これにより、許可されたユーザにのみアクセスを制限し、適切な認証情報を持つユーザのみがローカルコンソールにアクセスしたり、構成の変更や保護のアンインストールなどのアクションを実行できるようになります。
• Windows 用のセキュアなネットワークアクセス可能ブートモード：
  Windows のセキュアブートモードとは、OS 上で管理および診断タスクを実行するために、 制限された環境を提供するものです。Windows システムをセキュアモードで起動するときにウォッチガードが提供する保護機能が有効になり、サイバー犯罪者がこの環境を使用して攻撃を続行するのを阻止します。

マルウェアからデバイスを保護する方法についてさらに詳しくお読みになりたい場合は、以下の記事をご覧ください。

マルウェア「Ducktail」：その正体と懸念点
Ransomware is relentless: what can you do to protect against it?（英語）
ChatGPT が作成するポリモーフィック型マルウェア