サイバー攻撃が巧妙化・増加し、多様な働き方でオフィス外での作業が増えている昨今、組織内のネットワークを安全に保つことが重要になっています。 Darktrace は、ネットワークトラフィック全体の脅威検知を行うソリューション。特にリモートアクセスが多い企業におすすめします。

大阪急性期・総合医療センターのインシデント例

2022年10月にランサムウェア感染を報告した大阪急性期・総合医療センター。ランサムウェアにより電子カルテシステムが暗号化されてしまい、診療制限をせざるを得ない状況が続き、被害額は10億円以上にも及んだと伝えられています。

この事件では、給食事業者の給食システムに設置されていたVPN機器の脆弱性をついて、侵入されてしまいました。ID、パスワードが弱かったことから、容易に不正アクセスされ、IPアドレスやパスワード情報などを盗まれてしまい、病院給食サーバー、病院内のシステムなどへと被害が拡大しました。

この事件に限らず、VPNやリモートデスクトップなど、リモートツールからの感染は多く、警視庁「令和4年におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害の感染経路はVPN機器からの侵入が62％、リモートデスクトップからの侵入が19％となっています。

当医療センターでは、サプライチェーン（給食事業者）のVPN機器の脆弱性が放置されており、リモートデスクトップ通信（RDP）が常時接続となっていたことが侵入の原因、ユーザー全員に管理者権限が与えられていたことや、パスワードが各システムですべて共通であったことなどがネットワーク内での被害拡大につながっています。その背景には、「医療機関は閉域網だからセキュリティは問題ない」という誤った認識があったといいます。

どんな組織であっても、ネットワークやシステムへの侵入はあり得ることだという認識をもつことが大切です。

NDR導入という選択

このような事件は、NDRがあれば防げた可能性があります。NDR（Network Detection and Response）は、ネットワーク上の通信を監視して、不審な振る舞い未知の脅威をリアルタイムで検知するソリューションです。

まずネットワークへの侵入を防ぐ対策も必要ですが、それでも防ぎきれなかった場合に、侵入された脅威に迅速に対応して被害を最小限に食い止めなくてはなりません。その役割を果たすのがNDRです。

NDRは4つのフェースでネットワーク内のインシデントに対応します。

1. 情報収集

ネットワーク上のすべての通信ログ情報を収集します。

2. 分析

収集したログを分析します。

3. 検知

不審な振る舞いや異常な通信データを検知します。

4. 対応

サイバー攻撃者を阻止し、被害を最小限に抑えるために対応します。

ソリューションによって分析方法等は異なりますが、AIや独自のアルゴリズムによってリアルタイムでログ収集から異常検出を行い、もし何かが起きたときには即時通知が行われます。

ハイパーがおすすめするDarktraceの特徴

NDRのひとつ、Darktraceは、AIが最新の脅威を自動で学習し、検出します。従来のセキュリティ製品は、特定の攻撃を識別するルールである「シグネチャ」を更新する必要がありましたが、その手間がありません。検知対象は、通信時刻、送信先/宛先、転送量。普段と違う通信があれば即時検知できます。

大阪急性期・総合医療センターのインシデントでは、Lickbitというランサムウェアが原因となっていましたが、DarktraceでLockbitを検知・対応した事例もあり、もし導入済みだった場合は被害を回避できていたかもしれません。

実証実験中の医療機関で、DNSサーバーが電子カルテシステムに対して不審な通信を行おうとしていたところ、Darktrace Immune Systemだけがそれを検知できたという事例もあります。

本店支店ごとに、ネットワークが独立していても、専用線もしくはVPNで繋がっている必要はありますが、各拠点に子機を設置し親機に必要なデータを転送することが可能なのもこのソリューションのメリットです。独立したネットワークから親機に送られるデータは、必要な部分（メタデータ）のみに絞られ、ネットワークへの負荷は心配ありません。

ネットワーク全体をカバーするというと、大がかりなネットワーク再構築が必要だと感じるかもしれませんが、アプライアンスとして提供されるので導入は簡単です。ネットワークやサーバーなどのシステムは、そのままで、コアスイッチとポートミラーリングさせるだけで設置できます。ソフトウェア等のインストールも不要です。

※ポートミラーリングとは、あるポートが送受信するデータを、同時に別のポートから創出することです。

また、コアスイッチを経由する通信を検知するため、外部持ち込みのPCやスマートフォンなどのデバイスも検知が可能です。課題や対処方法を確認するのはボタン1つ押すだけという簡単さもおすすめポイントです。

まとめ

サイバー攻撃は、リモートツールからの侵入が多い
NDRは組織のネットワーク全体を監視するソリューション
Darktraceは導入・設置が簡単