ランサムは暗号化の前に何をするか ── 素 Ubuntu のふるまい検知を kill chain で組む

俺の最初の疑問

自宅の Linux サーバーに Falco と Wazuh agent を入れようとしていた。最初の疑問はシンプルで、「ふるまい検知ができるのはどっち？」だった。

きっかけは、日本企業や病院がランサムウェアに大量にやられている現状を知ったこと。自分のサーバーでも「root でログインされた」「普段は絶対に触らんファイルにアクセスがあった」みたいなおかしな挙動を検知したいと思った。

調べ始めてすぐ、問いの立て方を一段ずらすことになった。「どっちのツールか」より先に「そもそもランサムはどんな順番で攻めてくるのか」を知らないと、ツールは選べない。やられ方の型が先、対策の実行が後。その順で潰した記録。

まず一言でいうと

ツールの話の前に、現代のランサムの正体を 1 行で。

今のランサムは「侵入したら即暗号化」やない。人間のオペレーターが何日も潜伏し、暗号化の前にデータを抜いてから、最後に暗号化する。

つまり暗号化は攻撃の最後の 1 手で、その前に長い「いろいろやられる」フェーズがある。そしてそれはほぼ型が決まっている。業界ではこの段取りを kill chain、あるいは MITRE ATT&CK のフェーズで整理する (これが事実上の共通言語)。

何と比べるとわかるか

「昔のランサム」と並べると、なぜ潜伏フェーズを見張る必要があるかがわかる。

旧来型なら検知しても手遅れだが、現代型は潜伏している間ずっと気づくチャンスがある。だから「暗号化を検知する」のではなく、その手前の段取りの挙動を検知するのが本筋になる。

何が問題なのか

ここで最初の疑問 ──「ふるまい検知できるのは Falco か Wazuh か」── に戻る。答えは 「片方やない。挙動の種類でツールが割れる」。

理由は一点、挙動がログに残るかどうか。

• Wazuh … ログ・FIM・設定診断の HIDS。/var/log/auth.log を解析して「root の成功ログイン」を拾うのは得意。ログに痕跡が残る挙動の担当。
• Falco … syscall (システムコール) を eBPF でリアルタイムに覗く。「ファイルを開いた」「shell が立った」を、ログに残らなくてもその瞬間に拾える。ログに残らない生の挙動の担当。

俺が最初に挙げた 2 つの例も、きれいに割れる。

「ふるまい検知 ＝ Falco 一択」でも「Wazuh だけで十分」でもない。kill chain のどのフェーズを見張るかで、担当が決まる。

図で見る

侵入から暗号化までの 10 段。各段の「ログに残るか」で、見張る道具 (Wazuh / Falco / ネットワーク型) が決まる。

この図の肝は 「ログに残る？」で色が分かれていること。点で「root ログイン」「ファイルアクセス」と 2 個見ていたのを、#1〜#10 の線に並べ替えると、どこに目を置けば早く気づくかが一望できる。

混乱しやすいポイント

俺が実際に取り違えていた点。

① 「ふるまい検知＝Falco」と短絡しない

Falco はリアルタイム挙動の本職だが、ログに残るふるまい (ログイン・永続化・横展開) は Wazuh の方が素直。auditd を Wazuh に連携させれば「どのコマンドが実行されたか」もルールで拾える。「ふるまいの痕跡をログで見る Wazuh」と「ふるまいそのものを syscall で見る Falco」 の対比が正確。

② FIM は「書き換え」は見るが「読み取り」は見ない

Wazuh の FIM はファイル改ざんの検知。だから #6 の「/etc/shadow を読まれた」は基本すり抜ける。読み取りを捕まえたいなら Falco の syscall (open / openat) か、Wazuh FIM を auditd 連携の whodata モードで動かす。「FIM を入れたから読み取りも安心」は誤解。

③ 防御 ＝ 検知だけやない (むしろ予防が先)

Falco も Wazuh も 「入られた後に気づく」検知側の道具。でもランサムは早い段で止めるのが一番安い。素 Ubuntu なら、検知を盛る前にまず予防層を固めるのが筋。

④ Falco の代わりに「止める」道具もある

Falco は基本 「アラートを上げるだけ」。挙動を その場でブロック したいなら Tetragon (Cilium 系・eBPF) が enforcement までやる。「想定外プロセスが /etc/shadow を開いたら kill」のような自動遮断が要るならこっち。検知だけなら Falco、止めたいなら Tetragon が分岐点。

⑤ 「無料」は機能が削られてるわけやない ── ただしタダではない

ここまでの道具は全部、自己ホストで 全機能が使える本物の OSS。商用 EDR の体験版みたいに「無料版は検知ルールが削られてる」罠はない。

たとえ話

kill chain は空き巣の動線に近い。

• 塀・鍵・センサーライト (fail2ban・ufw・AppArmor) ＝ そもそも入らせない予防。
• 家の中の動きを見る人感センサー (Falco) ＝ 侵入後、リアルタイムに動きを捕まえる。
• 玄関の防犯カメラ録画 (Wazuh のログ・FIM) ＝ 誰がいつ入って何を触ったかを記録・集約する台帳。
• 塀の外への持ち出しを見る通りのカメラ (Suricata) ＝ 盗品を運び出す瞬間を捉える。

どれか 1 つやなく、動線のどこを誰が見るかを割り当てるのが防御。そして空き巣と同じで、一番安いのは塀と鍵 (予防) で、家に入られてから気づくのは次善。

実話で当ててみる ── HTTP PUT → proxy → マイニング

抽象的な #1〜#10 を、現に起きたことに結びつけておく。俺は前に Ubuntu サーバーを 1 台乗っ取られたことがある。やられ方はこうだった ── HTTP PUT で何かを設置されてコマンドを実行され、その後どこかの proxy server へ通信させられ、最後に仮想通貨のマイニングを install された。当時は監視を何も入れていなかったので、全部素通りした。これを上の kill chain と道具に当てるとこうなる。

MITRE ATT&CK で並べると T1190 (公開アプリ悪用) → T1505.003 (Web Shell) → T1090 (Proxy) → T1496 (Resource Hijacking) ── 既知の手口がそのまま並んでいる。

このチェーンが検知向きなのは、攻撃が派手な挙動を何度も出すからだ。web サーバーが子プロセスに sh / curl を産むのは正常運用ではまず起きない (Falco の看板)。外部 proxy やマイニングプールへの通信には署名がある (Suricata)。新規バイナリの出現は FIM が拾う (Wazuh)。どれか 1 つ外しても別が鳴る ── これが kill chain を多層で見張る意味だ。当時は何も入れていなかったから素通りしたが、この構成なら遅くとも「www-data が shell を起動」か「採掘プールへの通信」のどちらかで火を噴く。

出てきた言葉の変換表