EDR 出力には、ランサムウェア感染のプロセス ツリーが表示されます。ルート ノードは NO-AV.exe で、これはウイルス対策ソフトウェアを無効にして DearCry ランサムウェアをダウンロードする悪意のある実行ファイルです。NO-AV.exe プロセスは、John というユーザーによって cpt-ws026 上で起動されました。その後、DearCry.exe プロセスは NO-AV.exe によって cpt-ws026 上で起動され、SMB 経由で他のデバイスに伝播されました。したがって、ランサムウェアは cpt-ws026 と NO-AV.exe から発生したものです。検証済みの参照:
* https://www.microsoft.com/security/blog/2021/03/12/analyzing-dearcry-ransomware-the-first- Attack-to-ex
* https://www.crowdstrike.com/blog/dearcry-ransomware-analysis/

ソフトウェア構成分析 (SCA) は、ソフトウェア サプライ チェーンにおけるサードパーティのリスクを軽減する最も効果的な方法です。SCA ツールは、ソフトウェア開発で使用されるオープン ソースおよびサードパーティのコンポーネントを分析し、既知の脆弱性、古い依存関係、またはライセンスの問題を特定します。SCA を開発環境に統合することで、企業はソフトウェア サプライ チェーンに脆弱性をもたらす可能性のある外部ライブラリまたはコードベースに関連するリスクに積極的に対処できます。CASP+ は、特にサードパーティのソフトウェア コンポーネントによってもたらされるリスクを特定して対処することにより、サプライ チェーンのセキュリティを確保することの重要性を強調しています。
参照：
CASP+ CAS-004 試験目標: ドメイン 3.0 - エンタープライズ セキュリティ アーキテクチャ (サードパーティ リスク管理) CompTIA CASP+ 学習ガイド: SCA によるソフトウェア サプライ チェーンの保護

弱い暗号スイートと暗号化パディングに関連する脆弱性を示す画像の出力に基づくと、パディング オラクル攻撃が最も可能性が高いと考えられます。このタイプの攻撃は、復号化中にパディング エラーを処理する方法を悪用し、攻撃者が機密情報を復号化できるようにする可能性があります。弱い暗号スイートと前方秘匿性の欠如により、このような攻撃が成功する可能性がさらに高まります。CASP+ は、特に弱い暗号化プロトコルが使用されている環境では、パディング オラクル攻撃を重大な脆弱性として強調しています。
参照：
CASP+ CAS-004 試験目標: ドメイン 2.0 - エンタープライズ セキュリティ運用 (暗号化とパディング Oracle 攻撃) CompTIA CASP+ 学習ガイド: 暗号化攻撃と暗号の脆弱性

管理者は、必要な証明書の数を最小限に抑えながら複数のドメイン名をサポートするために、SAN 証明書を使用する必要があります。SAN は、Subject Alternative Name (サブジェクト代替名) の略で、同じ証明書内に複数の完全修飾ドメイン名 (FQDN) を含めることができる証明書の拡張機能です。たとえば、SAN 証明書は、www.example.com、www.example.net、およびメールを保護できます。
1 つの証明書で example.org を管理できます。SAN 証明書を使用すると、異なるドメインの複数の証明書を管理するコストと複雑さを軽減できます。SAN 証明書は、*.example などのワイルドカード ドメインもサポートできます。
com は、そのドメインの下にあるすべてのサブドメインをカバーできます。検証済みの参照:
* https://www.techtarget.com/searchsecurity/definition/Subject-Alternative-Name
* https://www.techtarget.com/searchsecurity/definition/wildcard-certificate
* https://www.nexcess.net/help/what-is-a-multi-domain-ssl-certificate/