当時の状況を知るネットアップの神原豊彦氏によると「時間単位で小まめに作成したバックアップデータを順次精査して、ランサムウェア感染のタイミングを突き止め、感染前の状態に戻すことで復旧した」という。

　ストレージ製品の中には、スナップショットなどのデータ保持機能を応用した小まめなデータバックアップの取得を可能にしているものがある。このユーザー企業もこうした機能を使って、1時間ごとのシステムイメージを保存していたという。そこで、このバックアップをさかのぼってチェックすることでランサムウェア感染時点を特定し、感染前の状態に戻すことができたわけだ。NetAppのストレージ製品やVeeam Softwareのバックアップソフトウェアなどが、こうしたスナップショットの取得機能を備える。

　スナップショットは通常、ストレージ内に保存されている。そのためランサムウェアによって「バックアップとして保持しているスナップショット」を暗号化されてしまったら、感染前の状態に戻すのは難しい。最近はスナップショットをリードオンリーで保管するストレージ製品も登場しており、後から暗号化されるリスクを抑えている。

スナップショットをリードオンリーで保管すれば不正な暗号化の被害に遭うリスクを軽減できる（出典：ネットアップの製品資料を一部編集）

　システムからランサムウェアを取り除くことができれば、データバックアップは暗号化される直前のバックアップから復旧すればよいので、失われるデータが最小限で済む。復旧のために多大な手間を強いられたとはいえ、備えがあったおかげで最悪の事態を回避できた事例である。

バラバラなシステムには「基準の統一化」を実施

　バラバラなシステムのバックアップをどうするかという課題について、単純な解決策は「システムを1つにしてしまう」ことだが、実際に実行できる企業は少ないだろう。システムを統合するためにはコストはもちろん、運用の洗い出しや見直しなどの手間と時間がかかることが、その背景にある。現実的にできることといえば「システム間でバックアップの基準を合わせる」ことだ。

　基準さえ合っていれば、各システムのバックアップの取得タイミングや仕組みを可視化でき、運用しやすくなる。これにより「システムごとに個別最適化されたバックアップ」による負担を、多少なりとも軽減できる。

　バックアップの基準は取得タイミングやバックアップデータの保存方法、保存期間、保存場所などがある。この他にも「RTO」や「RPO」といったシステム稼働の観点で決める基準もある。まずはシステムの重要度を判定し、その後で取得タイミングや保存期間などの基準を見直すのがいいだろう。

考え方を変えることが重要

　バックアップは取れば取るほどデータ量が増えてしまう課題がある。今回紹介したスナップショット機能は基本的に差分のみの保存になるため、負担が少ない。逆に毎回システムを丸ごと保存するようなやり方では無理が生じる可能性が高い。基準の統一化についてはそもそも「基準が統一できていないからこそ、システムがバラバラになっている」という話にもなるため、自社での解決が難しいことも考えられる。

　本稿で紹介したシステムバックアップ、基準の統一のどちらも有効な課題解決の手段となり得るが、単純に製品の機能だけでは実現が難しい。さまざまな可能性を考慮した上で最適なバックアップ体制がどういうものか、サービスと運用の視点から考え直し、製品を選定する必要がある。

　次回はバックアップと同様に重要なリストアの課題について紹介する。

取材協力：渡邉利和