ランサムウェア対策、セキュリティ強化の最後のピースは「Active Directory監視」だった

経営企画部 システム企画課 リーダー
小川 弘幹様

菱機工業について教えてください

菱機工業株式会社 小川 弘幹様（以下、小川）菱機工業は石川県金沢と東京に本社を構えており、従業員は約400名です。主に空調設備工事や給排水設備、スプリンクラーや消火栓などの消防設備を取り扱っています。近年では太陽光発電にも取り組み、合計で約40MWの設備容量となる十数カ所の発電所を運営しています。全国に15カ所ほどの拠点を構え、建築設備全般を担っています。

セキュリティに関して、それぞれの立場と役割を教えてください

小川システム企画課に所属し、経営企画部で情報システム全般を担当しています。社内インフラやネットワーク、セキュリティ運用を担い、インシデント発生時には復旧作業も行うなど、技術的な対策策定から対応までを担当しています。

菱機工業株式会社 松田 真一様（以下、松田）私もインフラを担当しています。以前のランサムウェア被害時には、主にインシデント対応の初動を対応しました。平時もウイルス対策製品からアラートが発報されると、まず社内で調査し、必要に応じてクローズまで対応します。インシデント対応は小川、私、そしてもう1人のメンバーの3人で進めています。

セキュリティ業務の対象となる社内システムの規模は？

小川現在、業務端末として、Windows PCやタブレットとスマートフォンで1,200台程度を管理しています。サーバーはオンプレミスで50～60台が稼働しています。クラウド環境も一部利用していますが、まだ限定的で、全体としてはオンプレミス中心です。

御社の事業と関連して、セキュリティ対策にはどのような特徴が挙げられますか？

小川まず重要なのは建築設備の施工に必要な現場の設計図面データです。これらが漏えいすると施設の安全性に直結するリスクにつながります。例えば病院の設計図面が外部に流出すると、その図面を悪用した犯罪や事故を招く危険性があり、深刻なリスクです。

もうひとつ、私たちは多数の協力会社とビジネスをしているので、それら取引先への支払いが滞らないようにすることも重要です。過去にインシデントが生じた際には、真っ先に支払いデータの取り出しに取り組み、一日半で基幹系システムから必要なデータを復旧させ、取引先への支払いを止めないようにしました。

御社を取り巻く環境で、セキュリティ情勢の変化を感じるところはありますか？

小川以前は自社内だけでセキュリティ対策を考えていれば十分でしたが、昨今ではサプライチェーン全体でセキュリティを確保する動きが強まっています。建設業界では元請けから下請けまで、一定の情報セキュリティを確保することが求められており、最近では大手取引先の建設事業者からセキュリティ調査依頼が来るようになりました。自社でセキュリティを強化するだけでなく、取引先からの信頼とセキュリティを維持するためにも、体制を整えていることを示すことが求められています。

経営企画部 システム企画課 リーダー
小川 弘幹様

S&JのAD監視サービスを導入以降、運用業務はどのようにしていますか？

小川ADサーバーについては、インシデント後の数々の対応に加え、S&JのSOCで監視してもらっています。AD監視サービスを導入したメリットとしましては、月次で出力されるレポートがありますので、そちらに目を通すことで日常のチェックとしています。ログインの失敗回数など、監視で注意すべき項目が自動で集計されていますし、現状の危険度がスコアで表示されていますので、いま自社の危険度が客観的にどのくらいか確認出来ます。2022年のインシデント以降、重大なインシデントは生じていませんが、AD監視を導入したことで現状のセキュリティレベルが一目で把握できるようになっています。

松田社内で行う日常的な管理業務と、攻撃者の動作が、有人監視で判断していただけるのは非常に心強いです。例えばアカウントの追加・削除、管理者権限の付与や変更といった操作も、社内の管理者が行う操作と外部の攻撃者が行う操作では、機械的には同じ操作でも、人間が見ていると動きがおかしい、と気付けるわけです。そしてもし異常が検知されたら、S&Jから即座に連絡が入ることになっていますし、緊急の場合には弊社の承諾を待たずに管理者アカウントを無効化し、万が一の攻撃を即時停止していただけます。夜間や休日で弊社に連絡が付かない場合でも攻撃が抑止されるように対応してもらえるので、非常に安心です。これまでは「夜間や休日に攻撃が来たらどうしよう」という考えが常に頭の片隅にありましたが、いまは監視対応していただいているので、年末年始や週末を安心して過ごせています。

導入して得られた効果にはどのようなものがありますか？

小川ADサーバーでの管理者権限での不正利用を即座に検知・無効化等の対処ができるようになり、以前の特権アカウント奪取の再発を防止する体制が整いました。S&JのSOCによる有人監視と即時対応のおかげで、業務時間外となる休日や夜間でも担当者が安心して過ごせます。特権アカウントを奪取されなければ、攻撃者にEDRを無効化され、ウイルス感染やデータ暗号化などの被害拡大を防ぐことができ、特に取引先への支払いなど事業継続に必要な業務を守ることができます。

また、取引先によってはセキュリティ対策を詳しく問われることもありますが、「攻撃の対象となるADサーバーは監視サービスを導入して保護しているため、サイバー攻撃リスクを低減できている」と説明できるようになりました。さらに「万が一全面的に攻撃されても、バックアップで戻せる体制がある」と伝えれば、先方からも理解していただけます。

松田導入当初には月次レポートから、もう運用していないアカウントが一部のシステムに残っていて、繰り返しエラーが出ていることに気づきました。攻撃者のなかには、こうして見過ごされているアカウントを権限昇格させて悪用するケースもあると聞いたので、気づくことができてよかったです。