同業や取引先がランサムウェアの被害に遭ったと聞き、自社は感染しても気づけるのだろうかと不安になっていませんか。身代金を要求する画面が表示されて初めて気づくのでは、ファイルはすでに暗号化され、対応は後手に回ってしまいます。被害を小さく抑える鍵は、暗号化が始まる前に異変を見つける「検知」にあります。
検知とは、ランサムウェアの侵入や攻撃の兆候を、ファイル・端末・通信・ログといった手がかりから見つけ出すことです。検知のやり方にはいくつもの種類があり、それぞれ、何を手がかりにするか、「攻撃のどの段階で気づけるか」「既知の攻撃だけか未知のものも捕まえられるか」が違います。この違いを知らないまま製品を選ぶと、入れたつもりでも肝心の段階で気づけない、という事態になりかねません。
本記事では、ランサムウェアの検知方法を手法の種類ごとに一覧で整理し、感染の段階に沿ってどの手法がどこで効くかを示します。あわせて、自社の環境で確かめられる感染の兆候、各手法を実現するための製品の種類（EDR・NDRなど）、専任の担当者を置けない組織でも現実的に始められる最小構成、そして検知できたときの初動までを順に解説します。自社に足りない検知の手段を見きわめる手がかりとしてご活用ください。
一括ダウンロードする
目次
一括ダウンロードする
ランサムウェアの検知手法の種類と一覧比較
ランサムウェアの検知方法とは、攻撃の侵入や実行の兆候を手がかりから見つけ出す仕組みのことです。手がかりには、既知の攻撃と一致するパターン、プログラムの不審な動き、ネットワークを流れる異常な通信、各種ログなどがあり、何を手がかりにするかによって検知の手法が分かれます。まずは主な検知手法を横並びで見比べられるように、手がかり・効く段階・既知と未知への有効性・長所と限界を一覧にまとめました。
| シグネチャ（パターン照合） | 振る舞い・挙動（ヒューリスティック） | 異常トラフィック（ネットワーク／NDR） | おとり・デセプション（ハニーポット／おとりファイル） | ログ・SIEM（相関分析） | 脅威ハンティング（能動的な探索） | EDR・XDR（統合検知の製品区分） | |
|---|---|---|---|---|---|---|---|
| 何を手がかりに見るか | 既知のマルウェアの特徴（ハッシュ値や通信先など）との一致 | 短時間に大量のファイルを書き換えるなど、プログラムの不審な動き | ネットワークを流れる通信の異常（外部への大量転送、不審な内部通信） | 通常は触られないおとりのファイルやサーバーへのアクセス | 複数の機器のログを突き合わせた一連の不審な流れ | アラートを待たず、仮説を立てて自ら探しに行く痕跡 | 端末やクラウドの不審な挙動を記録・相関して検知 |
| 主に効く段階 | 侵入時〜実行前 | 暗号化が始まる段階 | 内部での横移動〜データ持ち出し | 内部探索〜暗号化の初期 | 侵入後の各段階 | 潜伏〜暗号化前 | 侵入後〜実行 |
| 既知・未知への有効性 | 既知に強く、未知・亜種には弱い | 未知・亜種にも対応しやすい | 手口によらず異常な通信を捕捉 | 未知の攻撃者の動きも誘い出せる | 手口によらず兆候の連鎖を捉える | 自動検知をすり抜けた未知も対象 | 既知・未知の双方に対応 |
| 長所と限界 | 誤検知が少なく軽快。新種や作り変えられた亜種はパターンが無く見逃しやすい | パターンに頼らず新種を捕まえられる。正常な動きとの線引きが難しく誤検知が出ることがある | 端末に入れられない機器も監視でき、データ持ち出しに気づける。暗号化そのものを直接は見ない | 検知と同時に攻撃者の動きを観察できる。おとりを避けられると機能しない | 断片的な異変を関連づけて全体像をつかめる。ログの収集・運用の手間がかかる | 自動で見逃した兆候を掘り起こせる。専門知識と工数が必要 | 検知から調査・対応までを一気通貫で行える。導入・運用の負荷があり、見きれない場合は運用支援が要る |
以下では、一覧の各手法について「何を手がかりに、どの段階で気づくのか」を順に見ていきます。多くの検知製品は、これらを単独ではなく組み合わせて使います。表の最後のEDR・XDRは単一の手法というより、これらの手法を統合して検知から対応までつなぐ製品の区分で、後半のツール種別であらためて整理します。
シグネチャ（パターン照合）による検知
シグネチャによる検知は、既知のマルウェアが持つ特徴（ファイルのハッシュ値、通信先のドメインやIPアドレスなど）をあらかじめ登録し、それと一致するものを見つける方式です。ウイルス対策ソフトの基本的な仕組みで、既知の攻撃には素早く確実に反応し、誤検知も少ないのが利点です。
一方で、パターンに登録されていない新種や、作り変えられた亜種は見逃しやすいという弱点があります。ランサムウェアは次々に新しい種類が生まれるため、シグネチャだけに頼ると検知が後追いになりがちです。そのため、次に挙げる振る舞い検知など、パターンに依存しない手法との併用が前提になります。
振る舞い・挙動（ヒューリスティック）による検知
振る舞い検知は、プログラムが「何であるか」ではなく「何をしているか」を見ます。短時間に大量のファイルを次々と開いて暗号化する、バックアップを削除しようとする、といったランサムウェアに特有の動きを捉えて、既知かどうかにかかわらず異常として検出する方式です。
パターンに登録のない新種にも反応でき、暗号化が始まる段階で気づける点が大きな利点です。反面、正常な業務の動き（大量ファイルの一括処理など）との線引きが難しく、設定によっては誤検知が出ることもあります。後述するEDR製品の中核となる検知方式でもあります。
近年は、機械学習やAIで正常・異常のパターンを学習して見分ける方式も広がっており、これも振る舞い検知の系統に含まれます。
異常トラフィック（ネットワーク／NDR）による検知
異常トラフィックによる検知は、ネットワークを流れる通信を監視し、ふだんと違う動きを見つける方式です。社内から外部への大量のデータ転送、感染端末が次の標的を探して内部をうかがう不審な通信、攻撃者の指令サーバーとのやり取りなどが手がかりになります。ネットワーク全体を見る役割を担う製品はNDR（Network Detection and Response、ネットワーク検知・対応）と呼ばれます。
近年のランサムウェアは、ファイルを暗号化する前にデータを盗み出し、「公開されたくなければ払え」と脅す二重恐喝（ダブルエクストーション）が主流です。この点について、警察庁は次のように説明しています。
また、データの暗号化のみならず、データを窃取した上、「対価を支払わなければ当該データを公開する」などと対価を要求する二重恐喝が被害の多くを占め、実際に事業者の財務情報や個人情報等が、ダークウェブ上のリークサイトに掲載される事例が多数確認されています。
出典：ランサムウェア被害防止対策｜警察庁
データが外部へ運び出されるのは暗号化より前の段階です。通信の異常を監視しておけば、暗号化が始まる前の「持ち出し」の時点で気づける可能性があり、端末にソフトを入れられない機器も含めてネットワーク全体を見渡せる点が強みになります。ただし、暗号化そのものは端末内で起きるため、通信監視だけでは暗号化の瞬間を直接は捉えません。端末側の検知との組み合わせが必要です。
おとり・デセプション（ハニーポット／おとりファイル）による検知
デセプション（欺瞞）による検知は、業務では使わない「おとり」のファイルやサーバーをわざと置いておき、そこへのアクセスをもって侵入者の存在を知る方式です。正規の利用者は触らないはずの領域なので、アクセスがあれば内部に不審な動きがあると判断できます。
攻撃者が内部を探索して暗号化の対象を物色する段階で引っかけやすく、検知と同時に相手の動きを観察できるのが利点です。おとりを見抜かれて避けられると機能しないため、他の手法を補う位置づけで使われます。
ログ・SIEM（相関分析）による検知
SIEM（Security Information and Event Management、セキュリティ情報・イベント管理）は、サーバー・端末・ネットワーク機器など各所のログを集約し、横断的に突き合わせて不審な流れを見つける方式です。一つひとつは小さな異変でも、「深夜のログイン→権限の昇格→大量のファイルアクセス」と連鎖すると、相関分析によって一連の攻撃として浮かび上がります。
断片的な兆候を関連づけて全体像をつかめる点が強みで、警察庁も、調査の手がかりになるため日頃から各種ログを取得しておくことを推奨しています。一方で、ログの収集基盤の整備と、アラートを読み解く運用の手間がかかります。
脅威ハンティング（能動的な探索）による検知
脅威ハンティングは、アラートが鳴るのを待つのではなく、「侵入されているとしたらどんな痕跡が残るか」という仮説を立てて、人が能動的に探しに行く取り組みです。自動の検知をすり抜けて潜んでいる攻撃者を、ログや通信の記録をたどって掘り起こします。
自動検知が見逃した未知の脅威にも手が届く点が価値ですが、相応の専門知識と工数が必要です。自社だけで継続的に行うのは難しいため、後述するMDR（Managed Detection and Response、検知・対応の代行サービス）やSOC（Security Operation Center、監視の専門拠点）といった外部の監視サービスが担うことも多い領域です。
EDR・XDR（統合検知）による検知
EDR（Endpoint Detection and Response、エンドポイント検知・対応）は、端末上の操作やプロセスの挙動を常時記録し、不審な動きの検知から調査・対応までを一つの仕組みでつなげるのが特徴です。前に挙げた振る舞い検知を中核に据え、「いつ・どの端末で・何が起きたか」をさかのぼって追えます。
XDR（Extended Detection and Response）は、EDRの対象を端末だけでなくメール・クラウド・ネットワークへ広げ、複数の領域の情報を相関させて検知する仕組みです。
クラウドやリモートデスクトップ（RDP）経由の侵入、イベントログの消去といった攻撃者の動きも監視対象に含められるため、オフィス内の端末だけを守る発想では見落としがちな経路までカバーできます。
検知から調査・対応までを一つの仕組みで扱える反面、導入と運用には負荷があり、アラートを見きれない場合は運用支援とあわせて検討します。EDR・XDRを調達するツールの種類としてどう位置づけるかは、後の検知手法を実現するツール種別で改めて整理します。
出典・参考資料（1件）
感染の段階ごとに、どの検知手法が効くか—暗号化前に止めるには
ランサムウェアの攻撃は、ある瞬間に突然ファイルが暗号化されるのではなく、侵入してから暗号化に至るまで複数の段階を踏みます。段階ごとにどの検知手法が効くかを把握すると、「どこで気づけば手遅れにならないか」が見えてきます。警察庁は、近年の攻撃の代表的な流れを次のように説明しています。
攻撃者は、未修正のぜい弱性や漏えいした認証情報等を悪用して組織のネットワークへ侵入する。そして、より広い領域にアクセスするために管理者権限の奪取やセキュリティ無効化を試みながら、内部探索により重要データやバックアップを物色する。一通り内部探索を終えると、データをクラウド等へアップロードして窃取した後、ランサムウェアを起動して暗号化を実行する。
出典：令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
この流れに、これまで見てきた検知手法を重ねると、次のように整理できます。暗号化は攻撃の終盤に起きるため、その前のどこかで異変を捉えられれば、被害を最小限に抑えられます。
| 侵入前・侵入 | 権限奪取・セキュリティ無効化 | 内部探索・横移動 | データ持ち出し | 暗号化の実行 | 暗号化後 | |
|---|---|---|---|---|---|---|
| その段階で起きること | VPN機器やRDPの脆弱性、盗まれた認証情報を悪用して内部へ入る | 管理者権限を奪い、セキュリティ製品やログを無効化・消去する | 侵入拡大のため内部をうかがい、重要データやバックアップを物色する | 暗号化の前にデータをクラウド等へ送り出す（二重恐喝の準備） | ランサムウェアを起動し、ファイルを一斉に暗号化する | 脅迫文（ランサムノート）を残し、痕跡を消して去る |
| 気づく手がかりになる検知手法 | シグネチャ検知、ネットワーク監視（NDR）、ログ・SIEM（不審なログイン） | EDR・XDR、ログ・SIEM（設定変更やログ消去の検知） | NDR（内部の不審通信）、おとり・デセプション、脅威ハンティング | NDR・異常トラフィック（外部への大量転送） | 振る舞い・挙動検知、EDR | この段階での検知は被害発生後。復旧と初動対応へ |
注目したいのは、データ持ち出しや内部探索といった段階は暗号化より前に起きる点です。ここでネットワークの異常や内部の不審な動きを捉えられれば、暗号化される前に対処できる可能性があります。「暗号化されて初めて気づく」を避けるには、端末での振る舞い検知に加えて、ネットワーク側の監視を重ねることが有効です。
一括ダウンロードする
自社環境でチェックできる感染の兆候
検知製品に任せるだけでなく、担当者が自分の目やログで確かめられる兆候もあります。ここでは、ファイル・端末・ネットワーク・アカウントの観点ごとに、感染や侵入のサインを整理します。複数の兆候が同時に現れたときは、感染の疑いが高いと考えて初動に移る判断材料になります。
ファイル系の兆候
- ファイルの拡張子が見慣れないもの（ランサムウェア特有の文字列）に一斉に書き換わっている
- 短時間に大量のファイルが更新・暗号化され、開けなくなっている
- 「ファイルを復元したければ連絡を」といった脅迫文（ランサムノート）がデスクトップやフォルダに置かれている
- 共有フォルダやバックアップのファイルが削除・暗号化されている
端末・プロセス系の兆候
- CPUやディスクの使用率が、心当たりのない処理で急に跳ね上がっている
- 見覚えのないプログラムやプロセスが動いている
- ウイルス対策ソフトやセキュリティ機能が、知らないうちに停止・無効化されている
- 端末の動作が急に重くなる、再起動が繰り返される
ネットワーク系の兆候
- 社内から外部へ、ふだんにない大量のデータ転送が発生している（データ持ち出しの疑い）
- 見慣れない海外のサーバーや不審なドメインへの通信が続いている
- 社内の端末どうしで、ふだん行われない通信やスキャンのような動きがある（横移動の疑い）
アカウント・ログ系の兆候
- 深夜や休日など、業務時間外に管理者アカウントがログインしている
- VPNやリモートデスクトップ（RDP）へのログイン失敗が短時間に多発している（パスワード総当たりの疑い）
- 身に覚えのない新しいアカウントの作成や、権限の昇格が記録されている
- イベントログが不自然に消去・改ざんされている
警察庁の統計では、侵入経路はVPN機器が約5割を占めるとされており、VPNやRDPまわりのログは特に注意して見ておきたいポイントです。これらの兆候を日頃から確認できる状態にしておくには、ログの取得と、次に挙げる検知ツールの活用が役立ちます。
どの経路から侵入されやすいかを押さえておくと、どこを重点的に監視すればよいかが絞り込めます。侵入経路ごとの割合と、経路別の対策については以下の記事で詳しく解説しています。
ランサムウェアの感染経路は6つ｜割合・順位と経路別の対策・感染後の備え
企業や団体を狙うランサムウェアの被害は、いまも高い水準で続いています。警察庁の集計によると、令和8年上半期（2026年1月〜6月）に報告されたランサムウェアの被害は123件に上り、半期の件数としては統計を取り始めた令和2年下半期以降で最も多…
出典・参考資料（1件）
検知手法を実現するツール種別（EPP・EDR・NDR・SIEM・MDR）
ここまでの検知手法は、実際には製品やサービスとして導入することで機能します。どの手法をどの種類のツールで実現するのかを整理すると、自社に足りない検知の手段が見えてきます。警察庁も、検知に有効な製品の種類を次のように挙げています。
攻撃者の侵入やその前兆を検知して対処するには、ウイルス対策ソフトやEDR製品（Endpoint Detection and Response）、ネットワーク監視製品等のセキュリティ製品を導入することが有効です。もし攻撃者に侵入されたとしても、ネットワーク内の不審な挙動を検知して遮断することで、暗号化や情報窃取等の深刻な被害を防ぐことが可能になります。
出典：ランサムウェア被害防止対策｜警察庁
ウイルス対策ソフト・EDR・ネットワーク監視製品という区分は、本記事で見てきた検知手法とおおむね対応します。主なツールの種類と、担う検知の役割を次の表にまとめます。
| アンチウイルス・EPP（端末の防御） | EDR・XDR（端末の検知・対応） | NDR（ネットワークの検知・対応） | SIEM（ログの統合管理） | MDR・SOC（監視の代行） | |
|---|---|---|---|---|---|
| 主に守る範囲 | PC・サーバーなどの端末 | 端末（XDRはメール・クラウド・ネットワークへ拡張） | 社内ネットワーク全体 | 機器横断のログ | 上記ツールの運用・監視 |
| 中心となる検知手法 | シグネチャ＋振る舞い検知 | 振る舞い検知＋記録・相関 | 異常トラフィック検知 | ログの相関分析 | 脅威ハンティング＋運用 |
| 得意なこと | 既知のマルウェアの防御と、端末での不審な動きの検知 | 侵入後の挙動の検知と、調査・対応までの一気通貫 | 横移動やデータ持ち出しなど、通信に現れる兆候の検知と事後調査 | 断片的な兆候を関連づけた一連の攻撃の可視化 | 専任者がいなくても、検知・分析・対応を外部の専門家に任せられる |
端末側のEPP・EDRと、ネットワーク側のNDRは、守る対象が違うため置き換えではなく補い合う関係です。端末に入れられない機器や、暗号化前のデータ持ち出しはネットワーク側で、端末上の暗号化の挙動は端末側で捉える、という役割分担になります。次の章では、これらの検知を担う具体的なサービスを紹介します。
ランサムウェアの検知に役立つサービス
ここからは、前章で整理したツールの種類に対応する具体的なサービスを紹介します。端末での振る舞い検知を担うEPP・EDRと、ネットワーク側の検知を担うNDRから、それぞれ代表的なサービスを取り上げます。まずは2つのサービスの守備範囲を見比べられるよう、要点を表にまとめます。
ここで取り上げるのは端末とネットワークの代表例です。SIEMや、監視を任せられるMDR・SOCなど他の種類も含めて見比べたい場合は、一括資料請求をご利用ください。
| サービス名 | Eye"247" Safety Zone | Network Blackbox |
|---|---|---|
| 検知レイヤー | 端末（EPP＋EDR） | ネットワーク（NDR） |
| 主な検知方式 | 振る舞い検知（ATC）＋機械学習ベースの検知（Bitdefenderエンジン）＋シグネチャ | シグネチャ検知＋ユーザー行為ベースの検出（BAD）＋コンテンツ分析（フルパケットの収集・保存とAIによる異常検知） |
| 検知で捉える主な兆候 | 端末上の不審な挙動 （短時間での大量ファイル暗号化など）。 ランサムウェア対策としてファイルの自動バックアップ・リストアを搭載 | 通信に現れる兆候 （内部の不審な通信・データの持ち出しなど）。 端末上の挙動そのものはEDRの領域 |
| 提供形態 | 端末インストール型ソフト＋ブラウザ管理コンソール （クラウド型／オンプレ型の別は公式に明記なし） | アプライアンス型 （All-in-One／Extendの2モデル、ミラーリング方式で導入） |
| 料金 | 要お問い合わせ | 要お問い合わせ |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
1. Eye”247″ Safety Zone（株式会社フーバーブレイン）
Eye”247″ Safety Zoneは、端末を守るEPP（ウイルス対策などの防御）と、侵入後の挙動を検知・調査するEDRを組み合わせたエンドポイントセキュリティソフトです。セキュリティ製品を手がけるBitdefenderと共同開発した検知エンジンを採用し、機械学習ベースの検知と、アプリケーションの動作を常時監視する振る舞い検知（Advanced Threat Control）を備えています。
ランサムウェア対策としては、不審な動作を監視するだけでなく、ファイルを自動でバックアップし、万一暗号化されても直近のバックアップからリストアできる機能を持ちます。EDR機能により、端末上の不審な挙動の検知からログの収集・調査、マルウェアの駆除・復旧支援までを一つのソフトで扱えます。本記事で見た「端末での振る舞い検知」と「検知後の対応」の両方を担うサービスといえます。
2. Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackboxは、ネットワークを流れる通信（パケット）を収集・保存し、脅威の検知・分析・調査を行うNDR製品です。ミラーリング方式で導入するためネットワークへの影響を抑えつつ、保存した通信を再構成して詳しく分析できます。
検知方式には、既知の攻撃を見つけるシグネチャベースの検知、利用パターンと比較して異常を見つける行為ベースの検知、ファイルや内容を再構成してマルウェアや外部へのデータ流出を見つけるコンテンツ分析があります。
ネットワーク上に痕跡が残る事象、たとえば内部での不審な通信（横移動）やデータの持ち出しといった、ランサムウェア攻撃がネットワークに現れる兆候の検知と事後調査を得意とします。端末上の操作そのものはEDRの領域のため、本サービスは端末側の対策と組み合わせて使うことが前提です。EDRやSIEMとの連携にも対応しています。料金は要お問い合わせとなっています。
中小企業・専任担当がいなくても始められる検知の最小構成
ここまで多くの検知手法とツールを紹介しましたが、すべてを一度にそろえるのは、専任の担当者がいない組織では現実的ではありません。警察庁の統計でも、ランサムウェアの被害企業は中小企業が約6割を占めており、限られた体制で何から始めるかの判断が重要になります。優先順位の考え方を整理します。
出典・参考資料（1件）
- 端末の検知を固める：まずは全端末にウイルス対策ソフト（EPP）を入れ、できれば振る舞い検知やEDRの機能を備えた製品にします。暗号化の挙動に気づける土台になります。
- 侵入経路をふさぎ、ログを残す：被害の多いVPN機器やRDPのログを取得し、ログイン失敗や時間外アクセスを見られるようにします。検知の手がかりが残ります。
- ネットワークの可視化を足す：体制に余裕が出てきたら、データ持ち出しや横移動を捉えるネットワーク側の監視（NDR）を加え、暗号化前の段階で気づける幅を広げます。
- 運用を任せる選択肢を持つ：ツールを入れてもアラートを見きれないなら、監視と対応を外部の専門家に任せるMDRやSOCの活用を検討します。
検知は「製品を入れて終わり」ではなく、アラートを見て判断し、対応する運用があって初めて機能します。専任者を置けない場合は、はじめから監視を任せられるサービスを前提に設計すると、無理なく続けられます。運用監視まで任せられるサービスを含め、検知に役立つ製品の資料は、一括資料請求からまとめて請求できます。
ランサムウェアの検知は、社内で守るべき対象のひとつに対する備えにすぎません。端末・ネットワーク・データなど守る対象ごとに社内セキュリティのソリューションにはどんなタイプがあり、何を基準に選べばよいかを全体像から見比べたい方は、以下の記事が参考になります。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
検知できたら—感染が疑われるときの初動対応
検知は、異変に気づいて被害を止めるための入り口です。感染が疑われたら、落ち着いて次の初動を取ります。ここでは要点のみを示します。
まず、被害の拡大を防ぐために、感染が疑われる端末をネットワークから切り離します。このとき、電源は落とさないのが鉄則です。警察庁も次のように説明しています。
被害拡大を防止するため、感染したパソコン等のＬＡＮケーブルを抜く・無線をオフにするなどして、ランサムウェアに感染したパソコン等をネットワークから隔離してください。感染原因等の調査に必要なログ等が消失する場合もあるので、パソコンやネットワーク機器等の電源は落とさないでください。
出典：ランサムウェア被害防止対策｜警察庁
隔離したら、脅迫文や暗号化されたファイルの拡張子から、感染したランサムウェアの種類の特定を試みます。「No More Ransom」のような復号ツールの照合サービスで、復号できる種類かを確認できる場合があります。あわせて、最寄りの警察署やサイバー犯罪相談窓口への相談・通報を行い、オフラインで保管したバックアップがあれば、安全を確認したうえで復旧を進めます。
身代金の支払いについては、慎重な判断が必要です。警察庁は、支払いに関して次のような懸念を説明しています。
また、暗号化されたデータを復号するための対価と称してランサムウェア攻撃グループから要求される金銭等を支払うことに関し、警察としては、「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」旨を被害者に対して説明している
出典：ランサムウェア被害防止対策｜警察庁
二重恐喝で個人データが外部に漏えいした（またはそのおそれがある）場合は、個人情報の保護に関する法律（個人情報保護法）にもとづき、個人情報保護委員会への報告と本人への通知が必要になることがあります。委員会はランサムウェアで個人データが復元できなくなった事例を報告対象の例に挙げています。自社が該当するかは状況により変わるため、早めに確認しておくことが望まれます。
ここでは検知後の初動の要点に絞りました。感染端末を隔離したあとの具体的な進め方や、警察・個人情報保護委員会といった届出先、バックアップからの復旧手順まで一通り確認したい方は、以下の記事で詳しく解説しています。
ランサムウェア感染とは？6つの感染経路と感染時の対処法｜届出先・初動も解説
取引先や同業がランサムウェアの被害に遭ったという話を聞き、自社は大丈夫だろうかと不安を感じていませんか。あるいは今まさに、社内の端末でファイルが開けなくなり、見慣れない脅迫文が表示されて対応を迫られているかもしれません。ランサムウェアはいま…
出典・参考資料（4件）
まとめ：検知は「段階」と「手法の組み合わせ」で考える
ランサムウェアの検知方法は、シグネチャ・振る舞い・異常トラフィックをはじめ複数の手法があり、それぞれ効く段階と得意分野が異なります。暗号化されて初めて気づく事態を避けるには、端末での振る舞い検知と、ネットワーク側の監視を組み合わせ、データ持ち出しや横移動の段階で異変を捉えられる状態をつくることが有効です。自社に足りているのはどの段階の検知かを見きわめ、優先順位を付けて備えていきましょう。
検知を担う製品は種類が多く、機能や対応範囲を一つひとつ調べるのは手間がかかります。MCB FinTechカタログでは、関連するサービスの資料をまとめて請求し、見比べることができます。
一括ダウンロードする
よくある質問（FAQ）
Q. ランサムウェアの検知とは何ですか？
A. ランサムウェアの検知とは、攻撃の侵入や実行の兆候を、ファイル・端末・通信・ログといった手がかりから見つけ出すことです。身代金を要求する画面が出る前に異変を捉えられれば、暗号化の被害を小さく抑えられます。手法には、既知パターンと照合するシグネチャ検知、不審な動きを捉える振る舞い検知、異常な通信を捉えるトラフィック監視などがあり、手がかりと効く段階が異なります。
Q. ランサムウェアの検知と防御（予防）は何が違いますか？
A. 防御（予防）は侵入そのものを未然に防ぐ取り組みで、検知は侵入された後や攻撃の過程に現れる兆候を見つけ、被害が広がる前に止めることです。ウイルス対策ソフトやパッチ適用、多要素認証で入口を固めても、侵入を完全には防ぎきれません。万一入られても気づける検知を重ねておくことが、暗号化やデータ持ち出しといった深刻な被害を食い止める鍵になります。
Q. シグネチャ検知では新種や未知のランサムウェアを検知できないのですか？
A. シグネチャ検知は既知の攻撃パターンと照合する方式のため、パターンの無い新種や、作り変えられた亜種は見逃しやすいという弱点があります。これを補うのが、ファイルの大量暗号化などの不審な動きを捉える振る舞い検知や、異常な通信を捉えるネットワーク監視（NDR）です。既知かどうかに依存しないこれらの手法を組み合わせれば、未知の攻撃にも気づける可能性が高まります。
Q. ランサムウェアの検知にはEDRとNDRのどちらを導入すべきですか？
A. EDRとNDRはどちらか一方を選ぶものではなく、守る対象が違うため補い合って使うものです。EDRはPCやサーバーなど端末上の不審な挙動を、NDRはネットワークを流れる通信の異常を検知します。端末上の暗号化の動きはEDR、暗号化前のデータ持ち出しや内部の横移動はNDRが捉えます。専任者がいない組織では、まず端末側のEPP・EDRを固め、余裕が出たらNDRを足すのが現実的です。
Q. 専任の担当者がいない中小企業は、ランサムウェアの検知を何から始めればよいですか？
A. 専任者を置けない組織は、まず全端末に振る舞い検知やEDRの機能を備えたウイルス対策ソフト（EPP）を導入し、VPN機器やRDPのログを残すことから始めるのが現実的です。警察庁の統計でも被害企業の約6割を中小企業が占めており、限られた体制でも暗号化の兆候に気づける土台づくりが優先されます。アラートを見きれない場合は、監視を外部に任せるMDRやSOCも選択肢です。
Q. ランサムウェアの検知ツールの費用はどのくらいかかりますか？
A. 検知ツールの費用は、製品の種類や守る範囲、端末数によって幅があり、法人向けのEDRやNDRでは要お問い合わせ・個別見積もりとなる製品が多いのが実情です。端末単位のライセンス費用で、小規模から始められる製品もあれば、ネットワークの規模に応じて見積もる製品もあります。正確な費用や自社に合う構成は、各サービスの資料請求や問い合わせで確認するのが確実です。
Q. ランサムウェアを検知した後は、どう対応すればよいですか？
A. 感染が疑われたら、まず感染端末をネットワークから切り離し、このとき電源は落とさずにログを保全するのが初動の基本です。警察庁も、LANケーブルを抜くなどして隔離し、調査に必要なログが消えるため電源は落とさないよう説明しています。その後、脅迫文や拡張子から種類の特定を試み、警察やサイバー犯罪相談窓口へ通報し、オフライン保管のバックアップがあれば復旧を進めます。
社内セキュリティ対策の料金・資料を一括チェック
MCB FinTechカタログでは、ランサムウェアの検知に役立つEDR・NDR・ネットワーク監視などの最新資料を無料で一括請求できます。検知の手法や対応範囲、料金を見比べて、自社に足りない備えを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
