EDRを無効化するランサムウェアフレームワークが求める多層防御

ランサムウェアグループは、自らの攻撃のルールを静かに書き換えました。セキュリティツールが反応する前にファイルを暗号化しようと急ぐのではなく、今では多くのグループがより計算された第一歩を踏み出しています。それは、それらのツールを完全に無効化することです。EDRを無効化するランサムウェア防御戦略の台頭は、長年エンタープライズセキュリティを形作ってきた根本的な前提、つまりエンドポイント検出・対応（EDR）ソフトウェアが信頼できる最後の防御線として機能するという前提に挑戦しています。

攻撃者が攻撃を始める前にその層を無力化できる場合、セキュリティモデル全体を再検討する必要があります。

EDR無効化フレームワークの仕組みと拡散の理由

EDRソフトウェアは、プロセスの動作、ファイルアクティビティ、ネットワーク呼び出しをエンドポイントレベルで監視することで機能します。リアルタイムで疑わしいパターンを検出し、セキュリティチームに警告したり、自動的に脅威を隔離したりできます。攻撃者が排除したいのは、まさにその可視性です。

EDRキラー（「EDRキラー」と呼ばれることもある）と呼ばれるEDR無効化フレームワークは、通常、正当だが脆弱なドライバに関連する脆弱性クラスを悪用します。Windowsは特定の署名付きカーネルレベルドライバに高い信頼を付与するため、攻撃者は脆弱なドライバを標的マシンにロードし、それを利用してユーザースペースで実行されているセキュリティプロセスを終了または盲目化する手段として使用します。この手法はBring Your Own Vulnerable Driver（BYOVD）として広く知られており、RansomHubを含む複数のランサムウェアオペレーションで採用されており、RansomHubは文書化された攻撃チェーンでEDRKillShifterツールを展開しました。

攻撃者にとっての魅力は明白です。EDRが無力化されれば、横方向への移動、データの窃取、ファイル暗号化を含む残りの攻撃フェーズを、検出や中断のリスクを大幅に減らして進めることができます。セキュリティチームは手遅れになるまで何も認識できません。

これらのフレームワークが拡散している理由は、参入障壁が低くなっているからでもあります。ツールキットはコモディティ化され、ランサムウェア・アズ・ア・サービス（RaaS）のエコシステム全体で共有されているため、技術的に高度でないグループでもペイロードと共にこれらを展開できるようになっています。

エンドポイントセキュリティが機能不全に陥ると何が起こるか

EDRの無効化に成功した場合の直接的な結果は、エンドポイントでの可視性のブラックアウトです。セキュリティオペレーションセンター（SOC）チームはテレメトリを失います。自動応答ルールは機能しなくなります。インシデント対応プレイブックに組み込まれた前提が成り立たなくなります。

これは単に技術的な問題ではありません。組織的な問題です。多くのセキュリティプログラムは、EDRが信頼できる検出の基盤を提供するという考えを中心に設計されてきました。その基盤が消えた場合、補完的な制御を持たないチームは、予見できなかった攻撃に対応することになります。

ここで見られるより広範なパターンは、攻撃者が最初のアクセスを獲得する方法の変化に関連しています。Verizon 2026年データ侵害調査報告書が明らかにしたように、ソフトウェアの脆弱性が盗まれた認証情報を抜いて侵害の主要な侵入口となっています。攻撃者はソフトウェアの欠陥を悪用してアクセスを獲得し、その後EDRを無効化するツールを展開して可視性を奪い、主要なペイロードを実行します。これら2つのトレンドは相互に強化し合っています。

医療機関は特に危険にさらされています。常時利用可能なシステムに依存するセクターで可視性のギャップがもたらす結果は深刻で、ChipSoftの侵害のようなインシデントが示すように、防御が回避された場合に不十分な暗号化が被害をどれほど拡大するかが浮き彫りになりました。

ネットワーク層の防御がギャップを埋める理由

エンドポイントセキュリティとネットワーク層セキュリティは冗長ではありません。それぞれ異なるものを監視しています。EDRが盲目化されても、ネットワークトラフィックは依然として流れており、そのトラフィックにはシグナルが含まれています。

ネットワーク検出・対応（NDR）ツールは、ネットワーク境界内部の東西トラフィック、横方向への移動パターン、異常なDNSクエリ、予期しないアウトバウンド接続を監視します。重要なのは、これらがエンドポイントエージェントから独立して動作することです。EDRプロセスを強制終了した攻撃者は、同時にネットワーク監視インフラを盲目化する直接的な手段を持っていません。

VPNと暗号化トンネルは、この図において補助的な役割を果たします。組織レベルでは、すべてのトラフィックを監視対象のVPNゲートウェイ経由で通過させることを義務付けることで、エンドポイントが侵害された場合でもネットワーク経路が可視化され、ポリシーが適用されることを保証します。ゼロトラストネットワークアクセス（ZTNA）アーキテクチャは、初期ログイン時だけでなく、ネットワーク層での継続的な検証を要求することでこれをさらに拡張します。

リモートワーカーや分散チームにとって、VPNの強制は、潜在的に侵害されたエンドポイントからのトラフィックが境界コントロールを完全に迂回しないようにもします。ネットワーク層は、EDRキル型マルウェアが簡単に停止できない二次的な検査ポイントとなります。

実践的な手順：VPNと暗号化をEDRと重ね合わせる

レジリエントなセキュリティアーキテクチャは、EDRを唯一の検出メカニズムとしてではなく、複数の層の1つとして扱います。以下は、組織がEDR無効化攻撃への露出を減らすために取ることができる具体的な手順です。

ドライバポリシーを監査する。 Windows Defender Application Control（WDAC）は、既知の脆弱なドライバがロードされる前にブロックするように設定できます。Microsoftは、積極的に適用し最新に保つべきブロックリストを管理しています。これはBYOVD手法をその発生源で直接標的にします。

EDRの改ざん防止を有効にする。 ほとんどの主要なEDRプラットフォームには、ユーザースペースからエージェントを強制終了するのを大幅に困難にする改ざん防止機能が含まれています。これらの機能はデフォルトで有効になっていない場合があり、セキュリティ監査の一環として確認する必要があります。

ネットワーク層の可視性に投資する。 現在のスタックがエンドポイントテレメトリに大きく依存している場合は、NDRやネットワークフロー分析を追加して独立した検出チャネルを提供します。これにより、エンドポイントが侵害された場合でも横方向への移動やデータ窃取の試みが可視化されます。

すべてのリモートアクセスにVPNまたはZTNAを強制する。 トラフィックを監視対象のゲートウェイ経由で通過させることを義務付けることで、二次的な検査ポイントが追加されます。これを暗号化通信ポリシーと組み合わせることで、トラフィックが傍受された場合でも攻撃者に使用可能なデータが渡らないようにします。

EDRの障害を想定した机上訓練を実施する。 EDRが常に稼働していることを前提としたインシデント対応計画は、まさにそれが最も必要なシナリオで破綻します。エンドポイントテレメトリが利用できないシナリオへの対応を訓練してください。

ランサムウェアオペレーターはその戦略を明確にしました。ペイロードを展開する前に、彼らを阻止するために設計されたツールを排除するのです。最も良い結果を出せる組織は、防御の全責任を単一の層に依存させない組織です。今こそ、自社のセキュリティスタックを監査し、ネットワークレベルで補完的な制御が整っていることを確認し、エンドポイントツールが最も必要なときに機能していない状況を想定したインシデント対応計画を確実に策定する時です。