正解：ウ
各選択肢の解説
ア業務の再開を優先し、昨夜のバックアップから直ちに復元してネットワークに戻す。
誤り。侵入経路が残ったまま戻すと、同じ経路から再び暗号化される危険があります。 早く戻したい気持ちと「バックアップがあるから大丈夫」という安心が重なりやすい場面ですが、 昨夜のバックアップに攻撃者のプログラムが含まれていないことも、まだ確かめられていません。
イ暗号化されたサーバを先に初期化し、OSを入れ直してから原因を調べる。
誤り。初期化すると、侵入の痕跡や攻撃者が残したファイルなど、原因を調べる材料が消えます。 きれいにすることを根絶と取り違えやすいのですが、根絶は原因を突き止めてから それを取り除くことで、原因が分からないまま消すと、どこを塞げばよいかも分からなくなります。
ウ侵入経路や攻撃者が残したアカウントを特定して除き、感染前と確かめた複製から戻す。
正解。封じ込めの次は、原因を取り除く根絶、そのあとに復旧という順番です。 入口と攻撃者の足場を残したまま戻すと再び暗号化されるので、復旧は根絶の後に行います。
エ攻撃者に身代金を払って復号鍵を受け取り、元のサーバのままで業務を再開する。
誤り。支払っても復号できる保証はなく、侵入経路も攻撃者のアカウントも残ったままです。 データが戻ることと安全な状態に戻ることを混同しやすいのですが、 後者には根絶が要ります。支払いは攻撃者に資金を渡すことにもなり、推奨されていません。
理解を深めるために
火事を消した後、火元を確かめずに家具を戻さない
火事が収まったからといって、火元が分からないまま家具を運び込む人はいません。 くすぶっている場所が残っていれば、また燃えるからです。ランサムウェアの被害からの立ち直りも同じで、 データを戻す前に、攻撃者が入ってきた入口と、中に残した足場を取り除く必要があります。
インシデントハンドリングの順番
感染した機器をネットワークから切り離すのは「封じ込め」で、被害が広がるのを止める段階です。 封じ込めの後は、次の順に進めます。
- 根絶 — 侵入経路（脆弱性のある機器、盗まれた認証情報など）を塞ぎ、 攻撃者が作ったアカウントや仕込んだプログラムを取り除く
- 復旧 — 感染前のものだと確かめたバックアップからデータを戻し、 監視を強めた状態で業務に戻す
ランサムウェアの攻撃者は、暗号化の前から長く組織の中に潜んでいることがあります。 そのため「昨夜のバックアップ」が感染前のものとは限りません。 どの時点から侵入されていたかを調べることが、どのバックアップを使うかの判断材料にもなります。
調べるためには痕跡が要ります。初期化して痕跡を消してしまうと、根絶すべきものが分からなくなります。
混同しやすいものとの違い
| 対応 | 何が戻るか | 何が残るか |
|---|---|---|
| 根絶してから復旧 | データと安全な状態 | ― |
| すぐにバックアップから復元 | データ | 侵入経路・潜んでいる足場 |
| 初期化してから原因調査 | 空のサーバ | 侵入経路（調べる材料が消える） |
| 身代金を払って復号 | データ（保証なし） | 侵入経路・攻撃者のアカウント |
「早く戻す」と「安全に戻す」は別のことです。復旧の前に根絶が済んでいるかどうかで見分けます。