BackupAssistによると、CryptoSafeGuardは感染したファイルのバックアップを防ぎ、バックアップが暗号化されるのも防ぐという。ランサムウェア攻撃の中には、企業の運用データとバックアップデータの両方の暗号化に成功しているものもある。

　ルー氏はCryptoSafeGuardについて「ランサムウェアに対する保護を試みる1つの手段にすぎない」と話す。

　ルー氏によれば、BackupAssistのユーザーインタフェースでチェックボックスをオンにするだけでCryptoSafeGuardに切り替えられるという。「この機能は付属機能なので、追加のコストはかからない」とも付け加えた。

　BackupAssist社は、CryptoSafeGuardを同社の「BackupCare」サブスクリプションパッケージの一部として提供する。CryptoSafeGuardが利用可能になったのは2017年9月のことだ。BackupAssist社のデジタル販売とマーケティング部門の管理者を務めるトロイ・バーティガン氏は「最新版のBackupAssistを実行する同社顧客の30％はCryptoSafeGuardをアクティブにしている」と話す。

バックアップの失敗時

　バックアップ計画はランサムウェア攻撃を受けた時点で失敗に終わる恐れがある。複合材料や軍用防護服のメーカーTenCateがそれに気付いたのは、数年前、ランサムウェア「CryptoLocker」が大流行しているさなかだった。このマルウェアが製造施設を通じて同社の米国の業務に入り込み、ファイルサーバに向かって侵入したと、TenCateでシニアシステムエンジニアを務めたジェイミー・ウィリアム氏は当時を振り返る。最終的には、作業現場から本部までのデータが暗号化されてしまった。

　TenCateはLTO（リニアテープオープン）標準のテープバックアップからデータ復元を試みた。だが、同社が使用するバックアップソフトウェアはそのLTOテープのカタログを作成できなかった。カタログの作成は、ファイルの復元の必須手順だ。ウィリアム氏によると、一部のデータはディスクメディアにコピーされていたが、そのバックアップ層も読み取り不能だったという。同氏はデータ回復サービスに連絡し、ようやくディスクからデータを抽出できたという。

　同社のディスクベースのバックアップは頻繁には行われていなかったため、一部のデータは最新ではなかった。ただ、回復したデータによって、失われてしまったものを再構築する枠組みは用意された。2週間かけて再びデータにアクセスできるようになったが、回復したデータが最新ではなかったため、理想的なデータ復元とはならなかった。

　「CryptoLockerの経験から学ぶ重要な教訓の1つは、TenCateの当時のセキュリティはランサムウェアへの感染に対して十分ではなかったということだ」とウィリアム氏は話す。その対策として、同社の管理職はセキュリティの強化を承認した。

　もう1つの教訓はバックアップとDRは別物だということだ。「バックアップには回復力はない」とウィリアム氏は話す。

　この認識がTenCateを新しいアプローチへと導くことになる。VMwareを利用していた同社は、当初、VMwareの「Site Recovery Manager」を検討した。だが同社のITサービスパートナーは、Zertoが提供するバックアップとDRのクラウドベースサービスを推奨した。Zertoのサービスは、企業オンサイトのデータストアからクラウドにデータをレプリケートする。

　Zertoを選んだ要因の1つはその単純さだった。Zertoの助けを借りて、TenCateはレプリケーションとフェイルオーバーを実証する概念実証（PoC）を約30分で設定した。ウィリアム氏がこのレプリケーションサービスの購入許可を得ると、TenCateは再インストールすることなく、このPoCを運用環境に取り入れることができた。

　ランサムウェア発生の第2波がTenCateを襲ったとき、更新したセキュリティとDRシステムによってこの攻撃は阻止された。同社の仮想マシン（VM）はZertoの「Virtual Protection Groups」とウィリアム氏が「VMのTiVo」と称したジャーナリング技術で保護されている。ウィリアム氏によると、Zertoのジャーナルによって管理者はVMをランサムウェアの攻撃を受ける前の時点に瞬時にロールバックできるという。

　ランサムウェア緩和戦略を立てる場合、時間が重要な考慮事項になると述べるのは、Frost＆SullivanのStratecast部門で研究担当バイスプレジデントを務めるマイケル・サビー氏だ。

　データを復元するプロセスに時間がかかり過ぎるようでは、ランサムウェアの身代金要求に対して脆弱（ぜいじゃく）なままだと同氏は話す。ランサムウェア攻撃を受けた組織は、回復に時間がかかることによって、多くの収益を失うだろう。病院のような組織なら生命が脅かされる恐れがあるため、降伏して身代金を支払う羽目になりかねない。

　「企業の場合、バックアップファイルの復元に時間がかかり過ぎるとつけ込まれる恐れがある。バックアップファイルがあるだけでは不十分だ。すぐにアクセスできなければならない」（サビー氏）