リモート監視および管理（RMM）セキュリティとは？

脅威アクターがRMMツールを利用してランサムウェア攻撃を行う手法と、環境を保護するための検知戦略およびセキュリティベストプラクティスについて解説します。

RMMとは

リモート監視および管理（RMM）ソフトウェアは、ITチームやマネージドサービスプロバイダーが分散したエンドポイントをリモートで監視、保守、管理することを可能にします。主な機能には、リモートアクセス、システム監視、自律的なパッチ適用、特権スクリプト実行などがあります。CISAのリモートアクセスガイドによると、RMMツールは「マネージドサービスプロバイダー（MSP）、SaaSプロバイダー、ITヘルプデスク、その他のネットワーク管理者がリモートで複数の機能を実行できる」ソフトウェアとして機能します。

次のようなシナリオを考えてみましょう。ITチームが午前9時に正当なシステム保守のためにConnectWise ScreenConnectを導入します。午前9時15分には、BlackSuitランサムウェアのオペレーターが同じツールを使ってネットワーク全体を暗号化します。このような事例は2024年から2025年にかけて発生し、FBIとCISAはPlayランサムウェアキャンペーンだけでも 900件以上の被害を2025年5月までに記録しています。

RMMとサイバーセキュリティの関係

RMMツールは、重要なIT管理プラットフォームから、サイバー犯罪者や国家支援APTなどの脅威アクターに悪用される攻撃対象領域へと進化しました。この変化は、RMMソフトウェアが攻撃者に必要な特権システムアクセス、コマンド＆コントロール基盤、正規に見えるネットワークトラフィックを提供し、従来のセキュリティ制御を回避できるために起こりました。

 CISA Advisory AA23-061AのBlackSuitランサムウェアに関する記載によれば、「FBIはBlackSuitのアクターが正規のリモート監視および管理（RMM）ソフトウェアを使用して被害者ネットワーク内で永続性を維持していることを観測した」とされています。 MITRE ATT&CK T1219.002は、RMMツールが「一般的に正規のテクニカルサポートソフトウェアとして使用され、ターゲット環境内でアプリケーション制御により許可されている可能性がある」として、根本的なセキュリティ課題を指摘しています。

なぜRMMプラットフォームがこれほど大きなセキュリティリスクを生むのかを理解するには、これらのツールが強力かつ危険である理由となるアーキテクチャ上の構成要素をまず確認する必要があります。

RMMの主要コンポーネント

RMMプラットフォームは、リモート管理を大規模に実現するための相互接続されたアーキテクチャコンポーネントで構成されています。これらのコンポーネントを理解することで、なぜ脅威アクターがRMMインフラを標的とし、どのように環境全体に悪用が波及するのかが明らかになります。

• 中央管理コンソールは、ITチームがポリシーを設定し、エージェントを展開し、エンドポイントの状態を監視する管理制御プレーンです。脅威アクターがこのコンソールを侵害すると、すべての管理対象エンドポイントを同時に管理できる権限を得ます。
• エージェントソフトウェアは、管理対象エンドポイントにインストールされ、コマンドの実行、システムデータの収集、管理インフラへの永続的な接続維持を行います。これらのエージェントは、管理タスクを実行するためにSYSTEMまたはrootレベルの特権で動作します。 CISAのリモートアクセスガイドによれば、この特権実行コンテキストにより、脅威アクターはランサムウェアの展開、認証情報の窃取、横展開を特権昇格アラートを発生させずに実行できます。
• 通信インフラは、管理対象エンドポイントからRMMサーバーへのアウトバウンド接続を確立し、コマンド受信やデータ送信を行います。脅威アクターは、これらの事前承認済み通信チャネルをコマンド＆コントロールに悪用し、正規の管理セッションに悪意あるトラフィックを紛れ込ませます。
• 自律スクリプトエンジンは、ITチームがPowerShell、Bash、独自スクリプト言語を用いて数千台のエンドポイントにパッチ適用、システム構成、修復タスクを展開できるようにします。 CISA Advisory AA25-071A（Medusaランサムウェア）によれば、脅威アクターはRMMプラットフォーム経由でbase64難読化 PowerShellスクリプトを展開し、Veeamバックアップ認証情報の窃取やネットワークインフラの列挙を行った後、ランサムウェアを展開します。
• リモートアクセスインターフェースは、対話型デスクトップ制御、ファイル転送、リモートシェルアクセスを提供し、トラブルシューティングや管理を可能にします。Scattered SpiderのようなグループはTeamViewerやAnyDeskなど複数のRMMツールを展開し、Storm-1811はScreenConnectやNetSupport Managerを悪用して永続的な対話型アクセスを確立します。

これらのセキュリティ上の懸念があるにもかかわらず、RMMツールは現代のIT運用に不可欠です。その正当な価値を理解することで、なぜ組織が導入を続け、脅威アクターにとっても魅力的なのかが説明できます。

RMMの主な利点

RMMプラットフォームは、分散インフラを管理するITチームに対し、測定可能な運用効率をもたらします。これらの正当な利点が、組織がRMMツールを導入し、脅威アクターが体系的に悪用する理由です。

• 大規模な集中管理により、単一の管理者が統合コンソールを通じて地理的に分散した数千台のエンドポイントを管理できます。しかし、CISAやFBIの文書によれば、この集中化はRMMプラットフォームが侵害された場合に大きなセキュリティリスクとなり、 ランサムウェアキャンペーンで記録されたように組織全体に影響を及ぼします。
• プロアクティブなシステム監視により、RMMの活動を継続的に記録・監視し、不正アクセスや疑わしい 横展開パターンを検出できます。異常なRMM動作に対する自律的なアラートは、滞留時間を短縮し、迅速なインシデント対応を可能にします。
• 自律的なパッチ管理は、手動介入なしでセキュリティアップデート、アプリケーションパッチ、構成変更を展開します。RMMプラットフォームは、管理対象エンドポイント全体への配布、インストール、検証を担い、手動プロセスよりも迅速に脆弱性ウィンドウを閉じます。
• 現地サポート要件の削減により、ほとんどのトラブルシューティングや保守作業で物理的なアクセスが不要となります。サポートチームはリモートセッションでヘルプデスクチケットを解決でき、技術者の派遣コストを削減し、解決時間を短縮します。

ITチームにとってRMMが不可欠となる特権アクセス、リモートコマンド実行、永続的接続といった機能は、ネットワーク制御を狙う攻撃者にとっても同様に価値があります。

脅威アクターによるRMMツールの悪用手法

脅威アクターは、組織がリモート管理インフラに持つ本質的な信頼を利用し、主に4つの攻撃ベクトルでRMMツールを悪用します。

• 認証情報の窃取とアカウント侵害が最も一般的な悪用手法です。CISA Advisory AA23-025Aによれば、脅威アクターは「正規の侵害された認証情報」をフィッシングキャンペーン、過去の侵害から流出したパスワードリストを用いたクレデンシャルスタッフィング攻撃、ダークウェブの初期アクセスブローカーからの購入などで入手します。攻撃者が有効なRMM認証情報を取得すると、すべての管理対象エンドポイントに対する完全な管理者権限をセキュリティアラートを発生させずに継承します。認証情報の窃取により、攻撃者は正規の管理活動と区別がつかない形で行動でき、検出が極めて困難になります。脅威アクターは、パスワードポリシーが弱い、またはMFAが適用されていないサービスアカウントやAPIキーも標的とします。
• 脆弱性の悪用は、既知のセキュリティ欠陥を持つ未パッチのRMMプラットフォームを標的とします。ConnectWise ScreenConnectのCVE-2024-1709は、認証バイパスによる認証なしリモートコード実行を可能にし、CVSS 10.0の深刻度を記録しました。公開から数日で、脅威アクターはこの脆弱性を武器化し、数千の組織に対して大規模なランサムウェア展開を行いました。 CISA Advisory AA25-163Aによれば、SimpleHelp RMMの積極的な悪用により、「サービス停止や二重脅迫インシデント」がユーティリティ請求ソフトウェアプロバイダーおよびその下流顧客に影響を与えました。
• 不正なRMM導入は、脅威アクターが既存のセキュリティ制御とは独立して永続的なアクセスを確立するため、侵害済みシステムに未承認のリモートアクセスツールをインストールする手法です。攻撃者は、AnyDeskやTeamViewerなどの正規RMMソフトウェアをビジネス文書に偽装し、フィッシングメールで配布します。CISA Advisory AA23-025Aによれば、攻撃者はヘルプデスクを装ったフィッシングキャンペーンでユーザーにリモートアクセスを許可させたり、インストール権限不要のポータブルRMM実行ファイルを導入させたりします。これらのポータブル版はアプリケーションホワイトリスト制御を回避し、管理者権限なしで即座にリモートアクセスを提供します。

• サプライチェーン侵害 は、複数の顧客のRMMインフラを管理するMSPやITサービスプロバイダーを標的とします。単一のMSPが侵害されると、信頼された管理チャネルを通じてすべての下流顧客に波及します。2021年のKaseya VSA攻撃では、REvilランサムウェアがMSP経由で1,500以上の下流組織を数時間で暗号化する増幅効果が示されました。攻撃者は、1社のMSPを侵害することで数十～数百の顧客環境にアクセスできるため、MSPを特に標的とします。

これらの悪用手法を踏まえ、セキュリティチームは正規の管理と悪意あるRMM活動を区別する信頼できる指標が必要です。

RMMベース攻撃の検知方法

RMMベースの攻撃を検知するには、正規の管理活動と区別できる行動異常を監視する必要があります。従来のシグネチャベース検知は、RMMツールが正規ソフトウェアとして期待通りの機能を果たすため、効果がありません。

• 未承認RMMツールのインストール：変更管理の承認なしにエンドポイントへ新たなリモートアクセスソフトウェアが導入されていないか監視します。ITポリシーで認可されていないTeamViewer、AnyDesk、ScreenConnect、Atera、Splashtop、LogMeIn、RemotePC、NetSupport Managerなどのツールに注意します。MITRE ATT&CKの文書によれば、脅威アクターは複数のRMMツールを同時に展開し、冗長なアクセスチャネルを確立することが多いです。
• 異常なセッションタイミングと継続時間：調査対象となる時間外アクセスパターンをフラグします。管理者の所在地と一致しない地理的ロケーションから午前2時に開始されたRMMセッションは即時確認が必要です。通常の管理活動と比較して異常に長いセッションや、リモート管理がほとんど不要なシステムでの長時間セッションも監視します。
• 疑わしいコマンド実行：base64エンコードされたPowerShellコマンド、LSASSメモリやVeeamバックアップデータベースを標的とした認証情報窃取ツール、nltest、net group、dsquery、systeminfoなどのネットワーク列挙コマンドがRMMチャネル経由で実行された場合にアラートを発します。CISA Advisory AA25-071Aによれば、脅威アクターはRMMプラットフォーム経由でcmd.exeやPowerShellを用い、ファイルシステム列挙や認証情報窃取を行った後、ランサムウェアを展開します。
• 横展開の指標：管理者が通常管理しないエンドポイントへのRMMセッションや、ドメインコントローラー、バックアップサーバー、財務システム、経営層ワークステーションなど高価値資産へのアクセスが突発的に発生した場合にアラートを発します。これまで活動のなかったRMM接続からの突然のアクセスは侵害の兆候です。
• 複数のRMM同時インストール：攻撃者は、セキュリティチームが主要アクセスを遮断した場合に備え、バックアップ用RMMツールをインストールします。1台のエンドポイントで複数のRMMエージェントが稼働している場合や、セキュリティインシデント直後に新たなRMMツールが出現した場合にアラートを発します。承認済みRMMツールのホワイトリストを維持し、逸脱はすべて侵害の指標と見なします。
• ファイル転送活動：外部宛ての大容量ファイル転送、特に圧縮アーカイブやデータベースエクスポートが時間外に転送された場合を監視します。脅威アクターは、RMMのファイル転送機能を用いて、ランサムウェア展開前に機密データを流出させることが一般的です。

RMMログを SIEMプラットフォームに集約し、これらの指標を環境全体で相関分析することで、新たな脅威への迅速な対応が可能となります。

堅牢な検知機能を備えていても、RMMアーキテクチャに内在する根本的なセキュリティ課題が防御努力を複雑化させます。

RMMのセキュリティ課題と限界

RMMプラットフォームは、従来のアプローチでは解決できない根本的なセキュリティ課題を抱えています。これらの課題は、管理機能を優先しセキュリティ制御を後回しにしたアーキテクチャ設計に起因します。

• 設計上のアプリケーション制御バイパスは、RMMツールが正規かつ事前承認済みソフトウェアとして期待通りの管理機能を果たすために発生します。MITRE ATT&CK T1219.002によれば、RMMツールは「一般的に正規のテクニカルサポートソフトウェアとして使用され、ターゲット環境内でアプリケーション制御により許可されている可能性がある」とされています。エンドポイント保護は正規ソフトウェアとして実行を許可します。
• 特権アクセス要件により、RMMエージェントは管理タスクを実行するためにSYSTEMまたはrootレベルの特権で動作します。脅威アクターがRMMセッションを侵害すると、これらの昇格特権を維持しつつ、正規の管理活動に見せかけて行動できます。
• 正規のトラフィックパターンは、RMM通信が承認済み管理セッションと同一に見えるため、ネットワークベースの識別を無効化します。CISAのリモートアクセスガイドによれば、脅威アクターは正規のRMMインフラを用いて「複数の侵害を同時に管理」し、承認済みチャネルを通じて複数の侵害ネットワークを制御します。
• 脆弱性露出ウィンドウは、RMMプラットフォームで認証バイパスやリモートコード実行の脆弱性が発生した際、緊急パッチ適用を必要とします。これらの脆弱性は、脅威アクターがインターネット上の公開RMMインフラをスキャンして即座に武器化します。
• マルチベンダーツールの乱立は、組織が部門や買収子会社、プロジェクトごとに複数のRMMソリューションを導入することで可視性のギャップを生みます。IT部門はScreenConnectを承認し、開発チームはTeamViewer、ヘルプデスクはSplashtopを導入するなど、中央管理が及ばないケースが発生します。

これらのアーキテクチャ課題は、一般的な運用上の見落としと組み合わさることで重大な脆弱性となります。

よくあるRMMセキュリティの誤り

組織は、RMMインフラを悪用される防げるはずのミスを頻繁に犯しています。

• シャドーITや未承認RMMの導入は、組織が環境内に導入されたすべてのリモートアクセスツールを把握できていない場合に発生します。CISA Advisory AA23-025Aによれば、脅威アクターはシャドーITインストールをセキュリティチームが認識しないまま増殖させて悪用します。
• RMMプラットフォームの弱いまたはデフォルト認証情報は、認証情報の悪用による直接的な管理者アクセスを提供します。CISA Advisory AA23-025Aは、弱い認証情報や過去の侵害で漏洩した認証情報の使用を重大な脆弱性としています。
• 不十分なネットワークセグメンテーションは、RMM侵害後に環境全体への横展開を可能にします。脅威アクターは、初期アクセスからネットワーク全体の侵害までRMMを利用して横展開します。
• 不十分なログ記録と監視は、脅威アクターが正規の管理セッションに見せかけて悪意ある操作を実行できるようにします。RMMセッションログを監視しないと、データ流出やマルウェア展開が気付かれずに進行します。
• 未パッチのRMMソフトウェアは、公開されたエクスプロイトコードによる既知の悪用経路を提供します。ConnectWise ScreenConnect CVE-2024-1709は、バージョン23.9.7以前にCVSSスコア10.0の影響を与えます。

これらの誤りに対処するには、運用ニーズとリスク低減のバランスを取ったセキュリティ制御の体系的な実装が必要です。

RMMセキュリティのベストプラクティス

CISA、NSA、CIS Controlsのガイダンスに基づくセキュリティベストプラクティスを実装することで、運用機能を維持しつつRMMの悪用リスクを低減できます。

• RMMソフトウェアの必須インベントリと監査：環境全体に導入されたすべてのリモートアクセスツールの可視性を確立します。エンドポイント識別ツールやネットワークトラフィック分析を用いて四半期ごとにRMMソフトウェアを監査します。CIS Control 2に準拠したアプリケーション制御ポリシーで未承認リモートアクセスソフトウェアの実行をブロックします。
• 強力な認証とMFAの徹底：すべてのRMM管理アクセスに 多要素認証を必須とします。セッショントークン窃取によるバイパスを防ぐフィッシング耐性の高いMFA方式を導入します。
• 継続的な脆弱性管理と優先パッチ適用：RMM関連CVEについてCISAの既知悪用脆弱性カタログを監視します。インターネット公開RMMインフラには標準パッチサイクルとは別の緊急パッチ手順を確立します。
• ネットワークセグメンテーションとアクセス制限：RMMインフラを厳格なファイアウォールルールで分離されたネットワークセグメントに配置します。管理上必要な特定エンドポイントグループのみにRMMアクセスを制限します。
• フィッシング耐性とユーザー意識向上トレーニング：ユーザーにRMM関連 フィッシングキャンペーンの識別を教育します。税務書類や請求書に偽装した実行ファイル添付をブロックするメールセキュリティ制御を実装します。
• RMM侵害時のインシデント対応計画：緊急時のRMMアクセス権剥奪手順を文書化します。侵害の可能性があるRMMプラットフォームに依存しないバックアップ管理アクセス手段を維持します。
• パターン認識のための行動AI導入：疑わしいリモートアクセスツールの動作を監視する行動AI機能を持つエンドポイント保護プラットフォームを導入します。複数のRMMツール同時展開、時間外の予期しない管理操作、異常な地理的ロケーションからのRMMセッションなどにアラートを発します。

行動AI検知の実装には、正規の管理操作を許容しつつ異常なRMM活動を識別できる専用セキュリティプラットフォームが必要です。

SentinelOneでRMMベース攻撃を阻止

SentinelOne Singularity Platformは、継続的なエンドポイント動作監視を通じて行動AIでRMMベース攻撃を検知・自律的に阻止します。本プラットフォームは、独立したMITRE ATT&CK評価で高い脅威可視性とゼロ遅延を実現し、エンドポイント保護プラットフォーム分野でGartner Magic Quadrantリーダーに選出されています。

脅威アクターがビジネス文書に偽装したRMMクライアントを展開した場合、Singularity Endpointは、プロセスインジェクション、特権昇格、未承認RMMインフラへのネットワーク接続などの実行チェーンを行動AIで検知します。セキュリティチームは、Storylineテクノロジーによる完全なフォレンジックコンテキスト付きの相関アラートを受信し、攻撃全体の流れを自動で再構築し、MITRE ATT&CK TTPにマッピングできます。

Purple AIは、自然言語クエリとAI生成分析によりRMM脅威調査を加速します。チームが午前2時のScreenConnectの不審な活動を調査する際、Purple AIはどのシステムにアクセスがあったか、なぜ特定の動作が悪意の可能性を示すのかについて会話形式でインサイトを提供します。早期導入企業では、Purple AIの自然言語インターフェースにより脅威ハンティングが最大80%高速化されたと報告されています。

脅威アクターが侵害されたRMMセッション経由でランサムウェアペイロードを実行した場合、Singularity Platformの行動AIは疑わしい活動パターンを特定し、プロセス終了やネットワーク隔離などの自律的な対応アクションをトリガーします。ワンクリックロールバックで被害システムを攻撃前の状態に復元し、被害を最小化し身代金支払いを不要にします。SentinelOne MITRE評価によれば、本プラットフォームは競合製品より88%少ないアラートで完全な脅威可視性を維持し、アラート疲労を軽減します。

SentinelOneのデモをリクエストし、行動AIがどのようにRMMベース攻撃を自律的に阻止するかをご確認ください。

重要なポイント

RMMツールは、BlackSuit、Medusa、LockBit、Play、RansomHub、Akira、Phobos、Rhysidaなどのランサムウェアファミリーに悪用される攻撃対象領域へと、重要なITプラットフォームから進化しました。FBIとCISAは、Playランサムウェアキャンペーンだけでも2025年5月までに900以上の組織が影響を受けたと記録しています。脅威アクターは、認証情報の窃取、脆弱性の悪用、不正ツール導入、MSPを標的としたサプライチェーン侵害を通じてRMMツールを悪用します。

CISA、FBI、NSAの政府勧告は、RMMの悪用を成熟した広範な戦術と位置付け、必須の防御制御を求めています。組織は、ソフトウェア監査、MFA徹底、ネットワークセグメンテーション、徹底したログ記録・監視を実施し、RMMセキュリティリスクを低減すべきです。検知戦略は、時間外アクセス、未承認ツール導入、RMMスクリプトエンジン経由の疑わしいコマンド実行など、行動異常に注目する必要があります。

行動AIアプローチは、シグネチャベースツールが見逃す異常な利用パターンを継続的なエンドポイント動作監視で検出します。SentinelOne Singularity Platformは、競合製品より88%少ないアラートで強力なMITRE ATT&CK評価パフォーマンスを実現し、RMMベース脅威に対する自律的な保護を提供します。

よくある質問

RMMとは何ですか？

リモート監視および管理（RMM）は、ITチームやマネージドサービスプロバイダーが分散したエンドポイントを集中管理コンソールからリモートで監視、保守、管理できるソフトウェアです。RMMプラットフォームは、リモートデスクトップアクセス、システムの健全性監視、自動パッチ配布、特権スクリプト実行など、数千台のエンドポイントにわたる機能を提供します。

RMMツールはIT管理に不可欠な運用効率をもたらしますが、脅威アクターはこれらの機能を悪用し、ランサムウェアの展開、認証情報の窃取、持続的なネットワークアクセスを行うケースが増えています。

自分の環境で不正なRMMソフトウェアをどのように特定できますか？

エンドポイント識別ツール、ネットワークトラフィック分析、資産管理プラットフォームを使用してソフトウェアインベントリアuditを実施し、すべてのリモートアクセスソフトウェアを特定します。 

TeamViewer、AnyDesk、ScreenConnect、Atera、Splashtop、LogMeIn、NetSupport Managerなどの一般的なRMMツールを確認してください。未承認のリモートアクセスソフトウェアの実行をブロックするアプリケーション制御ポリシーを導入します。

RMMベースの攻撃が従来のセキュリティツールで阻止しにくい理由は何ですか？

RMMプラットフォームは、正規の事前承認済みソフトウェアとして期待される管理機能を実行するため、従来のセキュリティ制御を回避します。MITRE ATT&CK T1219.002によると、アプリケーション制御はRMMツールが「正規のテクニカルサポートソフトウェア」として機能するため、実行を許可します。 

振る舞いAIアプローチは、RMMセッションを通じて実行されるアクションを分析し、RMMソフトウェア自体を悪意のあるものとして分類しようとするのではなく、悪意のあるパターンを検出します。

組織はセキュリティリスクのためにRMMツールの使用を中止すべきですか？

組織はRMMツールを排除すべきではありませんが、導入、使用、監視に関して広範なセキュリティコントロールを実装する必要があります。多要素認証の必須化、ネットワークセグメンテーション、詳細なログ記録、挙動監視、継続的な脆弱性管理など、防御の多層化戦略を適用してください。

正当な管理操作を許可しつつ、異常なRMM利用パターンを検出する行動AIセキュリティプラットフォームを導入してください。

RMMの脆弱性はどれくらい早くパッチ適用すべきですか？

認証バイパスやリモートコード実行の脆弱性が公開された場合、インターネットに公開されているRMMインフラストラクチャには24時間以内にパッチを適用してください。 

ConnectWise ScreenConnect CVE-2024-1709は、数日以内に公開エクスプロイトが登場し、CVSS 10.0の深刻度となりました。RMMプラットフォームには標準のパッチサイクルとは別に緊急パッチ手順を確立してください。

RMMベースの攻撃を監視する際に注視すべきMITRE ATT&CKテクニックは何ですか？

MITRE ATT&CK T1219（リモートアクセスソフトウェア）およびサブテクニックT1219.002（リモートデスクトップソフトウェア）に注目して特定作業を行ってください。 

T1078（有効なアカウント）、T1543.003（Windowsサービス作成）、T1071（アプリケーション層プロトコル）、T1027.013（base64難読化）、T1046（ネットワーク列挙）、T1003（認証情報の収集）などの関連テクニックも監視してください。