即時に復元できなければ仕事が止まる

ランサムウェア最悪の大流行に備えるバックアップと災害復旧（DR）戦略

組織の弱体化を狙いとするランサムウェア攻撃のリスクを緩和するため、IT部門はデータの復元にさまざまなアプローチを導入している。とはいえ最も重要なのは、復元にかかる時間の短さだ。

公開 2018年03月27日 09時01分

著者

John Moore

[TechTarget]

印刷する

　身代金要求型マルウェア（ランサムウェア）大流行の脅威はやや弱まってきた。だが、IT部門の管理者はその防御の強化を続けている。強化の重点分野はバックアップと災害復旧（DR）だ。

　2017年のかなりの期間、ランサムウェア「WannaCry」と「NotPetya」の大流行がサイバー犯罪のトップニュースを飾っていた。マルウェア対策ベンダーMalwarebytesのレポート「Cybercrime Tactics and Techniques: 2017 State of Malware」によると、2017年度のランサムウェア検出数は企業全体で90％増加したという。だが、このレポートでは、サイバー犯罪の焦点は、金融情報を盗み取るバンキングサイト版トロイの木馬など、他の形式のマルウェアに移っているため、2017年末までに「ランサムウェア系マルウェアの開発は一段落した」としている。

　とはいえ、企業はランサムウェア大流行に対する保護の強化を期待している。フロントエンドの対策としてよく用いられるのは、ウイルス対策ソフトウェア、ファイアウォール、コンテンツスキャン（アンチウイルス検査やファイル検査）、メールの不審な添付ファイルの通過をインターセプト（妨害）できるものだ。

　ただし、IT部門はバックエンド保護の強化にも目を向けている。こうしたバックエンド保護は、暗号化によってデータをロックするランサムウェア攻撃からデータを回復するのに役立つ。ここで重視されるのがバックアップコピーからデータを復元できるDR戦略だ。だが、ここにもリスクはある。IT部門の管理者は、作成したバックアップを実際に使用可能にし、緊急事態発生時にデータ復元にかかる時間を考えておかなければならない。

併せて読みたいお薦め記事

ランサムウェアの脅威

ランサムウェア対策をどうすればいいか

別のレベルのセキュリティ

　米国カリフォルニア州ミルピタス市では、ランサムウェア大流行から身を守るために数多くのセキュリティ対策を実施している。フロントエンドでは、メールフィルタリング、スパムフィルタリング、メール添付ファイルのスキャンを導入している。バックエンドではBackupAssist社の「BackupAssist」を使用する。BackupAssistは、Windowsサーバのバックアップとリストアを行う、中堅・中小企業向けのソフトウェアだ。さらに追加防御手段として、遠隔地にDRサイトも用意している。

　同市は2018年1月上旬、バックアップとリストアによる防御に新たな層を重ねたという。同市の情報サービス部門のディレクターを務めるマイク・ルー氏は、同市は「CryptoSafeGuard」をアクティブにしたと話している。CryptoSafeGuardはBackupAssistに最近追加された機能だ。

　BackupAssistによると、CryptoSafeGuardは感染したファイルのバックアップを防ぎ、バックアップが暗号化されるのも防ぐという。ランサムウェア攻撃の中には、企業の運用データとバックアップデータの両方の暗号化に成功しているものもある。

　ルー氏はCryptoSafeGuardについて「ランサムウェアに対する保護を試みる1つの手段にすぎない」と話す。

　ルー氏によれば、BackupAssistのユーザーインタフェースでチェックボックスをオンにするだけでCryptoSafeGuardに切り替えられるという。「この機能は付属機能なので、追加のコストはかからない」とも付け加えた。

　BackupAssist社は、CryptoSafeGuardを同社の「BackupCare」サブスクリプションパッケージの一部として提供する。CryptoSafeGuardが利用可能になったのは2017年9月のことだ。BackupAssist社のデジタル販売とマーケティング部門の管理者を務めるトロイ・バーティガン氏は「最新版のBackupAssistを実行する同社顧客の30％はCryptoSafeGuardをアクティブにしている」と話す。

バックアップの失敗時

　バックアップ計画はランサムウェア攻撃を受けた時点で失敗に終わる恐れがある。複合材料や軍用防護服のメーカーTenCateがそれに気付いたのは、数年前、ランサムウェア「CryptoLocker」が大流行しているさなかだった。このマルウェアが製造施設を通じて同社の米国の業務に入り込み、ファイルサーバに向かって侵入したと、TenCateでシニアシステムエンジニアを務めたジェイミー・ウィリアム氏は当時を振り返る。最終的には、作業現場から本部までのデータが暗号化されてしまった。

　TenCateはLTO（リニアテープオープン）標準のテープバックアップからデータ復元を試みた。だが、同社が使用するバックアップソフトウェアはそのLTOテープのカタログを作成できなかった。カタログの作成は、ファイルの復元の必須手順だ。ウィリアム氏によると、一部のデータはディスクメディアにコピーされていたが、そのバックアップ層も読み取り不能だったという。同氏はデータ回復サービスに連絡し、ようやくディスクからデータを抽出できたという。

　同社のディスクベースのバックアップは頻繁には行われていなかったため、一部のデータは最新ではなかった。ただ、回復したデータによって、失われてしまったものを再構築する枠組みは用意された。2週間かけて再びデータにアクセスできるようになったが、回復したデータが最新ではなかったため、理想的なデータ復元とはならなかった。

　「CryptoLockerの経験から学ぶ重要な教訓の1つは、TenCateの当時のセキュリティはランサムウェアへの感染に対して十分ではなかったということだ」とウィリアム氏は話す。その対策として、同社の管理職はセキュリティの強化を承認した。

　もう1つの教訓はバックアップとDRは別物だということだ。「バックアップには回復力はない」とウィリアム氏は話す。

　この認識がTenCateを新しいアプローチへと導くことになる。VMwareを利用していた同社は、当初、VMwareの「Site Recovery Manager」を検討した。だが同社のITサービスパートナーは、Zertoが提供するバックアップとDRのクラウドベースサービスを推奨した。Zertoのサービスは、企業オンサイトのデータストアからクラウドにデータをレプリケートする。

　Zertoを選んだ要因の1つはその単純さだった。Zertoの助けを借りて、TenCateはレプリケーションとフェイルオーバーを実証する概念実証（PoC）を約30分で設定した。ウィリアム氏がこのレプリケーションサービスの購入許可を得ると、TenCateは再インストールすることなく、このPoCを運用環境に取り入れることができた。

　ランサムウェア発生の第2波がTenCateを襲ったとき、更新したセキュリティとDRシステムによってこの攻撃は阻止された。同社の仮想マシン（VM）はZertoの「Virtual Protection Groups」とウィリアム氏が「VMのTiVo」と称したジャーナリング技術で保護されている。ウィリアム氏によると、Zertoのジャーナルによって管理者はVMをランサムウェアの攻撃を受ける前の時点に瞬時にロールバックできるという。

　ランサムウェア緩和戦略を立てる場合、時間が重要な考慮事項になると述べるのは、Frost＆SullivanのStratecast部門で研究担当バイスプレジデントを務めるマイケル・サビー氏だ。

　データを復元するプロセスに時間がかかり過ぎるようでは、ランサムウェアの身代金要求に対して脆弱（ぜいじゃく）なままだと同氏は話す。ランサムウェア攻撃を受けた組織は、回復に時間がかかることによって、多くの収益を失うだろう。病院のような組織なら生命が脅かされる恐れがあるため、降伏して身代金を支払う羽目になりかねない。

　「企業の場合、バックアップファイルの復元に時間がかかり過ぎるとつけ込まれる恐れがある。バックアップファイルがあるだけでは不十分だ。すぐにアクセスできなければならない」（サビー氏）

印刷する