はじめに
ランサムウェアは至るところに蔓延しています。コンピュータのストレージ上のデータを暗号化して読み取れなくし、復号化・復旧のために身代金を要求することで、甚大な被害をもたらします。この犯罪行為は非常に一般的で、大小問わず多くの組織に甚大な損害を与え、被害者は被害を修復するために数百万ドル（通常はビットコイン）を支払っています。多くの場合、重要なデータが永久に失われます。犯罪組織は利益を得ており、この犯罪行為は増加の一途をたどっています。
この記事の主なテーマである、適切なバックアップによるランサムウェア感染対策について見ていく前に、そもそもマルウェア感染を回避するために取るべき行動のチェックリストを以下に示します。
- マルウェア/ウイルス対策製品を使用し、常に最新の状態に保つ
- 複雑なキーワードやパスワード管理ソフトウェアを使用する
- 不審なメールの添付ファイルやリンクを開かない
- 信頼できないソースからのソフトウェアのダウンロードを避ける
- OS、ブラウザ、プラグイン、アプリを定期的にアップデートする
- ポップアップを積極的に使用し、コンテンツを受け入れるためにクリックを強要するウェブサイトからは避ける
- コンピュータの管理者アカウント以外を使用する
- OSのツールを使ってマシンを保護する（ファイアウォール、セーフティスキャナーなど）
この記事の残りの部分では、可能な限り攻撃を受けにくいデータのバックアップとアーカイブを作成する方法について説明します。攻撃を回避するための戦略とランサムウェア対策のバックアップ戦略を組み合わせることが、最善策だと私たちは考えています。
重要な”3-2-1ルール”
まず最初に、よく知られている3-2-1バックアップ手法を改めて確認しておきましょう。3-2-1バックアップルールは、災害発生時にデータを確実に保護するための業界標準のアプローチです。このルールでは、重要なデータのコピーを少なくとも3つ、2種類の異なるストレージに保存し、少なくとも1つのバックアップは通常の運用環境とは別の場所に保存することを推奨しています。これはシンプルなルールなので、現在のバックアップ戦略がこのルールに準拠するために拡張する必要がある場合は、優先的に対応してください。
”到達不可能”なバックアップ
ランサムウェアはファイルを見つけて暗号化します。コンピュータが感染した場合、ローカルファイルシステムは「アクセス可能」であるため、暗号化が成功する可能性が高いです。ユーザーはディスク上のファイルを読み書きできますが、コンピュータ上で実行されているランサムウェアも同様です。これは内蔵ドライブだけでなく、接続されたUSBドライブやネットワークドライブにも当てはまります。
ランサムウェアが「アクセス可能」なストレージにバックアップを作成すると、バックアップも暗号化されます。バックアップが別の場所にコピーされた個々のファイルやフォルダで構成されている場合でも、「コンテナ」を作成するバックアップソフトウェアを使用している場合でも、どちらのバックアップも攻撃される可能性があります。
コンテナとは、バックアップソフトウェアが作成するファイルで、複数のソースファイルを1つの大きなコンテナファイルに格納します。バックアップソフトウェアは、個々のファイルのコピーを個別に作成するのではなく、多くの場合、独自のコンテナファイルを作成し、その中にあなたのファイルを埋め込みます。これらのバックアップコンテナは、独自の内部構造を持ち、サイズが大きくなる場合があります。しかし、ランサムウェアによって暗号化される可能性は依然としてあり、保護機能を提供するものではありません。
ランサムウェアからバックアップを保護するには、バックアップが「アクセス不能」である必要があります。
ストレージへの攻撃手段（ランサムウェアがどのように被害をもたらすか）
ランサムウェアに感染したコンピュータは、マルウェアによってアクセス可能なファイルにアクセスしようとし、元のファイルを暗号化されたバージョンに置き換えて、ユーザーが読み取れないようにします。重要なのは、マルウェアが単にデータを削除するだけでは不十分だということです。ファイルを読み取り、新しいファイルを書き込むことで暗号化し、元のファイルを削除する必要があるのです。ランサムウェアのビジネスモデルはこれを必要とします。
このマルウェアは、所有者にとって最も価値のあるファイルを優先的に攻撃し、最大限の損害を与えて身代金の支払いを促します。オペレーティングシステムを構成するファイルは無視される可能性が高く、ドキュメントやメディアファイル（写真やビデオ）が標的となります。ランサムウェアは、コンピュータに接続されているすべてのディスクに対して暗号化を実行できます。これらのディスクは、物理的に接続されている場合（内蔵、USB接続、その他の接続方法など）もあれば、ネットワーク経由で外部に「マウント」されている場合もあります。どちらの場合も、ランサムウェアはファイルを暗号化し、すべてのディスクに損害を与える可能性があります。また、マルウェアはネットワークを介して拡散し、他のコンピュータやそれに接続されているディスクを攻撃します。
マルウェアが書き込み可能なファイルシステムはすべて攻撃の危険にさらされています。そのため、ファイルやフォルダをファイルシステムにコピーして作成されたバックアップやアーカイブは安全ではありません。コピーされたファイルもオリジナルと同様に暗号化されている可能性があるからです。
ランサムウェアに感染しない（到達できない）ストレージの選択肢
マルウェアがアクセスできない2種類のストレージを見ていきましょう。
LTOテープ – テープドライブまたはライブラリ/ジュークボックスとテープ自体を組み合わせることで、Archiware P5 BackupやP5 Archiveなど、このタイプのハードウェアとの通信用に特別に設計されたソフトウェアによってデータを書き込むことができます。テープの大きな特徴は、保存されたファイルは上書きできないことです。テープは、その性質上、追記（テープの末尾にデータを追加する）または完全に消去して最初から書き直すことしかできません。この動作は物理設計に組み込まれており、回避することはできません。したがって、マルウェアはテープ上のデータを暗号化することはできません。その理由は次のとおりです。：
- 元のファイルバージョンは暗号化されたバージョンに置き換えたり、テープから削除したりすることはできない。
- テープ全体が消去された場合、身代金を要求することは不可能であり、データは単に失われる。
テープのこの根本的に便利な機能に加えて、次の点も付け加えておきます：
- ドライブやライブラリから取り出されたテープは、いかなる方法でも一切変更できません。棚の上や金庫の中に「エアギャップ」された状態で保管されます。
- テープハードウェアを使用するには、オペレーティングシステムに専用のドライバが必要ですが、これらのドライバは（ほとんどのディスクデバイスの場合とは異なり）デフォルトでは含まれていません。ハードディスクやSSDにアクセスするための標準的なソフトウェアドライバとは異なり、テープやテープドライブへのアクセス方法は多岐にわたります。
- P5 Backupを含むバックアップソフトウェアは、多くの場合、ランサムウェアが理解できない独自のフォーマットでテープに書き込みます。
クラウドストレージ – このタイプのストレージは、データセンターに設置されたサーバーと、それに接続されたディスクストレージで構成され、レンタル可能です。Google、Amazon、BackBlaze、Microsoftなどのベンダーは、このようなストレージ（「オブジェクトストレージ」と呼ばれることもあります）を「使用量に応じた料金」で提供しています。このようなストレージは、本質的にオフサイト（上記3-2-1を参照）であり、初期費用がかからないため、バックアップ用として人気があります。
顧客のコンピュータ上で動作するランサムウェアがこのクラウドストレージにアクセスするには、様々なアクセス認証情報が必要です。バックアップソフトウェアは通常、これらの認証情報を内部的に保存します。そのため、当社のクラウドストレージは、ローカルディスクストレージのように攻撃を受けやすい構造にはなっていません。
多くのクラウドベンダーは、保存データに対して「不変」な機能を提供しています。一度書き込まれたデータは、変更も削除もできません。
ランサムウェア攻撃からの復旧
バックアップが定期的に取得され、テープやクラウドに保存されているため、ランサムウェアに到達できない場合は、影響を受けたコンピュータにデータを復元できる状態にあります。
危険にさらされたマシンは、暗号化されたデータを含む起動可能なオペレーティング・システムを持っているかもしれませんが、OSからランサムウェアをうまく削除できたとは考えないでください。
バックアップからデータを復元する前に、OSを再インストールするか、既知のクリーンなOSイメージから復元してください。コンピュータからランサムウェアを削除できたかどうかを100％確認する方法はありません。
唯一の安全な方法は、OSとアプリケーション・スタックを安全であることが分かっているソースから再インストールすることです。
結論
ランサムウェアに感染しないよう、賢明な予防策を講じてください。組織内では、すべてのサーバーとワークステーションを対象としましょう。バックアップを冗長化するために、3-2-1テクニックを採用します。バックアップの1つは、感染したマシン上で実行されているランサムウェアが事実上到達できないストレージ上に存在するようにします。
こうすることで、不幸にも感染してしまった場合でも、少なくとも1つのバックアップは復旧することができます。
最後に、感染したマシンを効果的に「クリーニング」できるとは考えません。最悪の事態を想定し、信頼できるソースからOSを再構築してください。
