近年、セキュリティ分野で大きな注目を集めている脅威の一つが、新型ランサムウェア「COLDLOCK」です。この攻撃では、攻撃者が管理者権限を持つアカウント情報などの機密情報を窃取した後、外部から内部ネットワークへ侵入し、マルウェアを他の端末へ拡散させるとともに、重要サーバー上のファイルを暗号化します。さらに、攻撃後には Windows Event Log などのイベントログや関連情報を削除することで、セキュリティ担当者によるインシデント調査を困難にします。

COLDLOCK の特徴は、従来の WannaCry のように未修正の脆弱性を悪用してネットワーク内を横展開する手法とは異なる点にあります。管理者権限を持つアカウントを悪用し、GPO（Group Policy Object）を利用して悪意のあるタスクスケジューラを配布します。利用者が PC を起動すると GPO が自動的に適用され、設定されたタスクが実行されます。その結果、あらかじめ内部サーバーに配置されたランサムウェアがメモリ上へ読み込まれて実行され、ファイルの暗号化完了後には身代金要求メッセージと連絡先メールアドレスが表示されます。N-Partner のインテリジェント運用ソリューションは、SNMP、Flow、Syslog の3つの主要なネットワーク運用データを統合し、高度な分析機能を提供します。COLDLOCK に対しても、以下のような多面的な検知・防御・対応を実現します。

1. サーバーの監査ログを収集・監視

サーバーから出力される監査ログを収集することで、利用者の日常的なログイン／ログアウト履歴を把握できます。また、異常なログイン失敗も検知可能です。例えば、1分間に3回程度のログイン失敗であればパスワード入力ミスの可能性がありますが、1分間に3,000回ものログイン試行が発生した場合は明らかな異常行動と判断できます。N-Partner はこのような異常な認証イベントをリアルタイムに監視し、発生と同時にアラートを通知します。