感染端末
   ↓
別のPC
   ↓
サーバ
   ↓
バックアップ

へ被害が広がることを防ぐためです。

警察庁も、感染したPC等をLANケーブルの抜線や無線のオフによってネットワークから隔離するよう案内しています。

ただし、すぐ電源を切らない

ここは重要な注意点です。

LANを切る
   ○

電源を切る
   △

警察庁は、感染原因の調査に必要なログなどが失われる可能性があるため、PCやネットワーク機器の電源を落とさないよう案内しています。

ただし、ネットワークからどうしても切り離せない場合については、米CISAは被害拡大を防ぐため電源断を選択肢として示しています。

したがって、単純に、

「ランサムウェア感染＝すぐ電源OFF」

と暗記するのは適切ではありません。

試験ではまず、

感染端末をネットワークから隔離する

と覚えるのが分かりやすいでしょう。

2. ログや証拠を残す

原因調査には、

• ランサムノート

• 通信ログ

• 認証ログ

• EDRログ

• システムログ

• ディスクイメージ

• メモリ情報

• システム構成

などが重要になります。

警察庁も、ランサムノート、通信ログ、ディスクイメージ、メモリダンプ、システム構成図などを捜査上の情報例として挙げています。

そのため、慌てて初期化してしまうと、

原因不明
 ↓
侵入経路不明
 ↓
同じ穴が残る
 ↓
再侵入

となる危険があります。

3. バックアップをすぐ接続しない