ランサムウェア感染後の損害を減らす対策を目的から見分ける
ITパスポート試験 令和7年度 問92 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
従業員が使用するPCがランサムウェアに感染した場合の損害を軽減する対策例として，適切なものはどれか。
- ア
PCが接続するファイルサーバのHDDのバックアップデータを定期的に取得し，ネットワークから切り離して保管する。
- イ
PCに多要素認証の仕組みを導入する。
- ウ
PCのHDDを暗号化する。
- エ
PCへのログイン時に，パスワードを複数回間違えたら，当該IDをロックする。
会話形式の解説
講師この問題で問われているのは、ランサムウェアに感染した「後」の損害を小さくする対策です。感染を防ぐ対策や、不正ログインを防ぐ対策と区別できるかがポイントです。
受験者選択肢がどれもセキュリティ対策らしく見えて迷いました。そもそもランサムウェアは、どういうマルウェアでしたか。
講師ファイルを暗号化して使えなくし、元に戻す見返りに金銭、つまり身代金を要求するマルウェアです。ただ、払ってもデータが戻る保証はありません。だから感染後の損害を減らすには、攻撃者に頼らず自分でデータを元に戻せる手段が必要になります。
受験者自分で戻せる手段というと、バックアップの選択肢ですね。ただ「ネットワークから切り離して保管する」という部分には、どんな意味があるのでしょうか。
講師ランサムウェアは、PCから接続している共有先やストレージのファイルまで暗号化することがあります。ネットワークにつながったままのバックアップは、一緒に暗号化されるおそれがあるのです。切り離しておけばその危険を減らせるので、データを失う被害を最小限にできます。
受験者多要素認証も強そうな対策なので、私は少し迷いました。
講師多要素認証は、パスワードに加えて別の要素でも本人確認をする仕組みで、目的は不正ログインを防ぐことです。ランサムウェアは添付ファイルなどを実行して動き出すことが多いので、ログイン時の認証を強くしても暗号化の被害は止められません。感染後にデータを復元する手段にもなりません。
受験者HDDの暗号化はどうでしょうか。先に自分で暗号化しておけば守れるのかと思いました。
講師そこは誤解しやすいところです。HDDの暗号化は、PCの紛失や盗難が起きたときに中身が漏れるのを防ぐための対策です。ランサムウェアは利用者が普段アクセスできる状態のファイルを暗号化するので、HDDが暗号化されていても被害は防げません。
受験者パスワードを何度も間違えたらIDをロックする仕組みは、総当たり攻撃への対策でしたね。
講師そのとおりです。パスワードを片っ端から試すブルートフォース攻撃への対策です。マルウェアがすでにPC内で動いている状況では、IDをロックしても損害は小さくなりません。
受験者整理すると、多要素認証は不正ログイン、HDD暗号化は紛失・盗難時の情報漏えい、IDロックは総当たり攻撃への対策です。感染後に復元できるのは、切り離して保管したバックアップだけということですね。
講師よく整理できています。設問が感染を防ぐ対策を問うのか、感染後の損害軽減を問うのかを読み分けることが大切です。補足すると、コピーを3つ、媒体を2種類にし、そのうち1つを別の場所に保管する「3-2-1ルール」というバックアップの考え方も知られています。
まとめ
ランサムウェアはファイルを暗号化して使えなくし、元に戻す見返りに金銭を要求するマルウェアです。身代金を払ってもデータが戻る保証はないため、感染後の損害を軽減するには、定期的にバックアップを取ってネットワークから切り離して保管し、自分で復元できるようにしておくことが有効です。多要素認証は不正ログイン、HDD暗号化は紛失・盗難時の情報漏えい、IDロックは総当たり攻撃への対策で、どれも感染後の復元には役立ちません。設問が感染の予防を問うのか、感染後の損害軽減を問うのかを読み分けることが大切です。
解答・解説
正解はアです
この問題のテーマ
ランサムウェアに感染した「後」の損害を小さくする対策を問う問題です。感染を防ぐ対策や不正ログインを防ぐ対策と区別できるかがポイントになります。
解き方の考え方
まず、ランサムウェアはファイルを暗号化して使えなくし、元に戻す見返りに金銭を要求するマルウェアだと押さえます。身代金を払ってもデータが戻る保証はないため、感染した後の損害を小さくするには、攻撃者に頼らず自分でデータを元に戻せる手段が必要です。そのうえで各選択肢が「感染後の復元」につながるかを確かめると、バックアップの選択肢だけが条件を満たします。
選択肢ごとの解説
- ○ア PCが接続するファイルサーバのHDDのバックアップデータを定期的に取得し，ネットワークから切り離して保管する。ファイルサーバのバックアップを定期的に取得してネットワークから切り離して保管するという対策は、感染後にデータを元に戻す手段になります。ランサムウェアは接続中の共有先やストレージのファイルも暗号化することがあるため、ネットワークにつながったままのバックアップは一緒に暗号化されるおそれがあります。切り離して保管しておけばその危険を減らせるので、データを失う被害を最小限にできます。
- ×イ PCに多要素認証の仕組みを導入する。多要素認証の導入は、不正ログインを防ぐための対策です。ランサムウェアは添付ファイルなどを実行することで動き出すことが多く、ログイン時の認証を強くしても暗号化の被害は止められません。また、感染した後にデータを復元する手段にもなりません。
- ×ウ PCのHDDを暗号化する。PCのHDDを暗号化するのは、PCの紛失や盗難が起きたときに情報が漏れるのを防ぐための対策です。ランサムウェアは利用者が普段アクセスできる状態のファイルを暗号化するので、HDDが暗号化されていても被害を防げません。感染後にデータを元に戻す手段にもなりません。
- ×エ PCへのログイン時に，パスワードを複数回間違えたら，当該IDをロックする。パスワードを何度も間違えたときにIDをロックする仕組みは、パスワードを総当たりで試す攻撃（ブルートフォース攻撃）への対策です。マルウェアがすでにPC内で動いている状況では、IDをロックしても損害は小さくなりません。
補足
設問が「感染を防ぐ対策」なのか「感染後の損害を軽減する対策」なのかを読み分けるのが、よくある引っかけを避けるコツです。誤りの選択肢はどれも正しいセキュリティ対策ですが、ランサムウェア感染後の復元には役立ちません。バックアップの考え方として、コピーを3つ、媒体を2種類にし、そのうち1つを別の場所に保管する「3-2-1ルール」も知られています。
POINT
- ランサムウェアは、ファイルを暗号化して使えなくし、元に戻す見返りに金銭を要求するマルウェアです。
- 身代金を支払ってもデータが戻る保証はないため、感染に備えた定期的なバックアップが重要です。
- ネットワークにつながったままのバックアップは一緒に暗号化されるおそれがあるので、切り離して保管します。
- 多要素認証は不正ログイン、HDD暗号化は紛失・盗難時の情報漏えい、IDロックは総当たり攻撃への対策というように、それぞれ目的が違います。