Systemsは多要素認証が設定されていないVPNを標的にしたランサムウェア「Akira」を報告した。公開[@IT]この記事は会員限定です。会員登録(無料)すると全てご覧いただけます。VPNを標的にしたランサムウェア「Akira」の攻撃で、同社顧客のシステムが被害を受けたと発表した。VPNの実装、利用において多要素認証(MFA)を有効にすることの重要性は明らかだ。MFAを導入することで、組織はランサムウェア感染を含め、不正アクセスのリスクを大幅に低減できる。ブルートフォースアタック(総当たり攻撃)により、攻撃者がユーザーのVPN認証情報を取得した場合でも、MFAなどの追加の保護を設定することで攻撃者がVPNに不正アクセスすることを防げると、Ciscoは述べている。ランサムウェアのAkiraとはCiscoによると、Akiraの最初の報告は2023年3月にさかのぼる。Akiraに関与する攻撃者は、Torネットワーク上のWebサイト(.onionドメインを持つ)を運営し、さまざまな恐喝戦略を用いている。身代金の要求が満たされない場合、被害者と盗み出された情報をリストアップする。被害者は、このTorベースのサイトを通じて犯罪者に連絡し、受け取った身代金メッセージに含まれる一意の識別子を使用して交渉を開始するよう指示される。MFAを使用しないVPNを標的にVPNを標的にする場合、攻撃者は一般的に、公開されたITサービスやアプリケーションを利用する。Service)ダンプを通じて認証情報の抽出を狙う。認証情報の取得後は、システムに不正アクセスしたり、権限を昇格させたりしようとする。Off-The-Shelf(COTS)ツールを悪用したりして、標的ネットワークに関するさらなる情報を収集しようとする。標的ネットワーク内部を監視するために、ミニダンプの作成に関与することもある。VPNにどのように不正アクセスしているのか攻撃者の不正アクセス方法は主に2つある。1つは、パスワードスプレーアタックだ。自動化されたツールを使用して、ユーザー名とパスワードを正しい認証情報が見つかるまで何度も試し、多数のアカウントに不正にアクセスしようとする。従来のブルートフォース攻撃がユーザー1人に可能な限りのパスワードを試すのに対し、パスワードスプレーアタックでは、多数のアカウントに少数のパスワードを試す。そのため、アカウントのロックアウトや検知をすり抜けてくる。VPN構成のロギングがより強固な場合は、複数アカウントにおいてログイン試行が失敗しているログを確認できる可能性がある。1つは、ダークWeb市場を利用したクレデンシャル情報の購入だ。攻撃者はダークWebでクレデンシャル情報を違法に購入できる。過去のデータ侵害やその他の手段で入手されたクレデンシャル情報が利用可能な場合がある。このような方法で取得された認証情報は、VPNのログには痕跡が残らない可能性が高い。ASAでロギングに関する設定を変えるにはロギングはシステム内で発生したイベントを記録するサイバーセキュリティに欠かせない要素だ。ASA」でロギングが設定されていなかった。そのため、AkiraがどのようにVPNに不正アクセスしたのかなど、攻撃方法の明確な分析が妨げられているという。trapコマンドを使用して、ロギング・サーバ、重大度レベルおよびその他のパラメーターを指定する必要がある。Ciscoはログデータをリモートのsyslogサーバに送信することも推奨している。これにより、さまざまなネットワークデバイスにわたるネットワークおよびセキュリティインシデントの相関性と監査が向上すると、Ciscoは述べている。ラックが解説書を公開ラックは、ランサムウェアの攻撃者との交渉や支払いに向けて知るべきことを解説した提言書を公開した。ランサムウェア攻撃の被害に遭い、金銭を要求する犯罪集団と交渉せざるを得なくなった場面で、どのようなことを考慮しておく必要があるかをまとめた。「ランサムウェア攻撃にやられたらどうする」、Gartnerが説く組織としての効果的な備えとはランサムウェア対策では、防御やデータ保護のテクノロジーに注目が集まりがちだが、Gartnerはインシデント発生時の全社的な対応を明確化しなければならないと強調する。身代金の支払いについてのアドバイスもできる必要がある。セキュリティ担当アナリストに対策のポイントを聞いた。Microsoftが語るその対策Microsoftは、ランサムウェア攻撃とその予防策、攻撃を封じ込め、回復するために必要な措置について公式ブログで解説した。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。