ランサムウェアにAWSで備える

次世代 Japan AWS Jr. Champions 第1回 LT会

Transcript

1. AWSでの多層防御アーキテクチャ ランサムウェアにAWSで備える Ransomware Defense on AWS
2. SELF INTRODUCTION 自己紹介 難波 康史 写真 インフラ担当 業務領域 ここに画像を挿入 AWSを中心としたインフラ基盤の設計・運用を担当 直近でバックアップ／サイバーリカバリソリューションの提案・導入支援に従事
3. AGENDA 本日お話しすること ランサムウェアに備えるーバックアップを軸にした予防・検知・復旧 01 02 03 ランサムウェアの手口 狙われるのか 多層防御 JADEPUFFER、 攻撃者の定石と、 予防・検知・復旧の3層構成 攻撃の一連の流れ その対抗策 最近の攻撃事例と なぜバックアップが バックアップを守る 04 まとめ 防御のポイント
4. THREAT LANDSCAPE AI時代の攻撃 攻撃に必要なスキルの敷居が下がり、攻撃者の裾野が広がっていく 自律型ランサムウェア 「JADEPUFFER」 人間が一手も指さず、LLMエージェントが 侵入から暗号化・脅迫状設置まで自律実行。 管理者アカウント作成失敗から 攻撃の高速化と自動化 脆弱性のスキャンから悪用までをAIが瞬時に判断。 人間の対応速度では防御が追いつかないフェーズへ。 攻撃の民主化 高度なプログラミングスキルを持たない者でも、 AIを活用して破壊的な攻撃を展開可能に。 自己診断・修正しログイン成功まで 31秒 ※Sysdig社の報告に基づく
5. STATISTICS ランサムウェア被害は増加の一途 企業規模を問わず標的化 — 中小企業も例外ではない 8,159件 1位 +10% 2025年 被害公開件数 IPA10大脅威2026 2026年1月 被害報告 Ransomware.live調べ 組織編において1位 前年同月比 (Check Point調べ)
6. ATTACK PATTERN ランサムウェアの手口（攻撃の流れ） 侵入経路の8割はVPN/RDP。 多くの攻撃者は、暗号化の前にまず「③バックアップの無力化」を狙うのが定石。 1 2 3 4 5 初期侵入 権限昇格・横展開 バックアップ無力化 データ窃取 暗号化・破壊 VPN/RDP AD奪取 シャドウコピー削除 二重恐喝の 身代金要求 (約8割) EDR回避 資格情報窃取 下準備 システム停止 なぜ狙うか：バックアップが生きていれば身代金を払う必要がない。 交渉力を奪うために、まずそこを潰す。
7. DEFENSE FRAMEWORK AWSで組む予防・検知・復旧 攻撃されても、バックアップから戻せる状態を保つために 防御層 予防 Prevention 検知 Detection 復旧 Recovery 目的・施策 主なAWSサービス・機能 書き込んだら二度と変更・削除できない場所に置く AWS Backup Vault Lock / WORM 本番とバックアップをアカウントごと分離する マルチアカウント分離 戻す前に、中身が安全か確認する GuardDuty Malware Protection アカウント横断で異常な挙動を検知する GuardDuty + Security Hub 定期的に実際に戻してみて確かめておく 自動復元テスト 本番とは別のクリーンなアカウントに復旧する クロスアカウント復元 (Logically Air-gapped Vault) (エアギャップ構成) + IAM境界 (AWS RAM / MPA) ※参考： AWS Summit Japan 2026 STG205「ランサムウェアに対して最優先で取るべきAWSの復旧対策」
8. CONCLUSION まとめ：２つのポイント 1 攻撃者は暗号化の前にバックアップを狙う 2 防御は「予防・検知・復旧」の多層構成が鍵 交渉力を奪うため。バックアップが生きていれば身代金を払う必要がない。 到達させない・気づく・戻せる。性質の異なる3段で構える。 攻撃は速く、手軽に。 だから、平時の構成で勝負が決まる。