Stealthwatch で WannaCry を防御

この記事は、Cisco Lancope のテクニカルマーケティングエンジニアである Hanna Jabbour によるブログ「You Won’t WannaCry with Stealthwatch」（2017/5/16）の抄訳です。

5 月 12 日の金曜日に、世界中のコンピュータユーザは、「WannaCry」と呼ばれる、インターネットで発見されたマルウェアによる非常に危険な新しい脅威に遭遇しました。このマルウェアは、政府機関から盗まれたと言われているマルウェアのキャッシュに端を発したもので、未知の攻撃者によって 1 年も経たない内に公開されました。

業界をリードする、シスコの Talos 脅威インテリジェンスチームが実際の環境で取得して分析した WannaCry の最初のマルウェアには、感染したホストコンピュータにランサムウェアをインストールするためのマルウェアペイロードが含まれています。これは TCP ポート 445 を重点的にスキャンし、パッチが適用されていない特定の Windows マシンに存在する脆弱性を利用します。WannaCry は、ワームと同様に、ネットワーク全体に拡散することが可能で、それが広範囲の感染をもたらしました。

この記事では、お客様がシスコセキュリティソリューションを使用して自社のネットワークやコンピュータをこのマルウェアから保護する方法について説明します。今後数日から数ヵ月で発生する可能性のある亜種も対象です。

感染の検出

WannaCry の最初のマルウェアは、サーバメッセージブロック（SMB）プロトコルを利用して、Microsoft Windows が稼働している、ネットワーク上のコンピュータに感染して伝播します。ネットワークオペレータは、Cisco Stealthwatch を使用してネットワーク内の SMB アクティビティを監視することができます。

Cisco Stealthwatch には、内部ホストコンピュータとインターネットベースのホストとの間の SMB トラフィックを重点的にトラッキングしてレポートする機能が組み込まれています。これにより、WannaCry に感染したシステムが示されます。
WannaCry マルウェアは SMB トラフィックを使用して内部的にも伝播します。同じサブネット上のホストで使用される SMB トラフィックは、StealthWatch によって不審なアクティビティとして検出されます。
StealthWatch には、不審な SMB アクティビティに基づいた多くのアラートがあります。具体的には、大量の SMB トラフィックや、多数の異なるホストへの SMB 接続などです。これにより、ホストが WannaCry に侵害されたことが簡単にわかります。
StealthWatch には、Tor ネットワーク、Bogon IP アドレス、既知のコマンドアンドコントロールホストへの接続を検出してレポートする機能もあります。
- Tor ネットワークや Bogon IP アドレスとのホスト通信も、常に最新の脅威インテリジェンスフィードに基づいて StealthWatch が検出します。これによって、セキュリティ担当者は、インターネット上の不審なホストに接続している内部 IP を検出することができます。

伝播の検出

WannaCry の最初のマルウェアは、できるだけ多くのホストに感染するために、ネットワーク内部を水平方向（ホスト間）に伝播しようとします。この伝播アクションは、マルウェアがランサムウェアのペイロードをトリガーする前でも発見されることがあります。StealthWatch は、水平方向の移動、特に同じサブネットのシステム間の移動を検出できるように設計されています。

同じサブネットのシステム間であっても、偵察活動やスキャンアクティビティをトラッキングすることができます。
StealthWatch のワーム伝播検出レポートは、スキャンアクティビティをトラッキングし、外部のコマンドアンドコントロールホストへの接続に成功したものと関連付けます。これは、WannaCry やワームのアクティビティと一致します。

感染範囲の特定と軽減

Cisco Stealthwatch Management Center とダッシュボードを利用することで、不審なアクティビティや感染の可能性を示したシステムを一覧表示するレポートを簡単に作成することができます。また、Cisco Identity Services Engine（ISE）を統合することで、不審なマシンを検疫し、脅威修復までの間、WannaCry がさらに拡散されないよう防止します。