この記事では、ランサムウェアがもたらすリスクと、悪意のあるソフトウェアによる脅威に耐性のある徹底したバックアップ戦略を計画・実行することでリスクを軽減する方法について解説します。 大規模なランサムウェア攻撃はニュースで頻繁に報道され、組織はデータ復旧のために犯罪者に身代金を支払う保険に加入していると報じられています。
しかし、綿密に計画されたバックアップ戦略と実績のある手法を用いることで、現在蔓延している多くの種類のランサムウェアがもたらすリスクを軽減できることを示します。
ランサムウェア攻撃の性質
米国の「サイバーセキュリティ・インフラストラクチャ・セキュリティ局」（CISA）は、ランサムウェアを次のように定義しています：
身代金を支払うまでコンピュータ・システムやデータへのアクセスを拒否するように設計された悪意のあるソフトウェア（マルウェア）の一種。
ランサムウェアは通常、フィッシングメールを通じて、または感染したウェブサイトを知らずに閲覧することによって拡散します。ランサムウェアは、個人または組織に壊滅的な打撃を与える可能性があります。
ランサムウェア攻撃では、通常、侵害されたホストコンピュータに接続されているすべてのディスクとネットワーク共有上の「重要な」ファイルが特定されます。これらの「重要な」ファイルは、通常、.DOC、.JPEGなどの既知のファイル形式で識別されます。次に、攻撃者のみが知っている、コンピュータ固有の暗号化キーを使用してファイルが暗号化されます。ランサムウェアは被害者に対し、ビットコインウォレットアドレスなどの情報と身代金の金額を記載した指示を残します。身代金を支払うことで、ファイルの復号に必要なキーが提供されます。
ランサムウェアの本来の目的は、システムソフトウェア／オペレーティングシステム／アプリケーションスタックを構成するファイルを改変することではありません。攻撃の背後にいる犯罪者は、コンピュータが動作可能で起動可能な状態を維持することで、身代金を支払って暗号化を解除してもらうという動機を効果的に作用させる必要があるのです。
ディザスタリカバリ（DR）戦略とその効果
大きく分けて、2種類のディザスタリカバリ（DR）技術があります：
- クローン／レプリケーション-個々のファイル／フォルダーを、繰り返しスケジュールで別の場所／ディスクにコピーします。クラウドストレージをターゲットにすることもできます。ファイルの旧バージョンも保持し、以前に削除/上書きされたファイルにアクセスできるようにすることもできます。
- バックアップ-ここで、ファイル／フォルダーはディスク／テープ／クラウドストレージ上の「コンテナ」に書き込まれます。コンテナ内に何が保存されているかのデータベースまたはインデックスが、ファイル／フォルダを識別し、リストアのための選択を行うために使用されます。このインデックスもランサムウェアから保護される必要があり、バックアップ自体に含まれることが理想的です。ベアメタルリストアを参照。
ディザスタリカバリ戦略がランサムウェア攻撃から保護できるかどうかを判断するための試金石は、バックアップデータが保存されているターゲットストレージを調べ、ランサムウェアが貴重なバックアップコピーも暗号化する可能性があるかどうかを判断することです。
以下の「エアギャップ」という用語は、ホストコンピュータから物理的に切り離すことができるターゲットストレージ、つまりコンピュータに接続されてアクセス可能なのではなく、周囲を空気で囲まれたストレージを指します。（同じ用語の別の用法としては、インターネット接続のないコンピュータを指す場合もあります。）
- ディスクへのクローン/複製-通常、ネットワーク共有または追加のハードディスク・ドライブ／アレイが使用されます。この手法では元のデータの複製が作成されるため、バックアップ・コピーもランサムウェアによって暗号化される可能性は十分にあります。さらに、ポイント・イン・タイム・スナップショットを含む以前のバージョンのファイルやフォルダもランサムウェアの対象となり、暗号化される可能性があります。
- クラウドストレージへのクローン/複製 – バックアップの書き込みに使用するソフトウェアによって、クラウドストレージに存在するファイルはホストコンピュータにファイルシステムとしてマウントされる場合とされない場合があります。マウントされている間、バックアップデータはランサムウェアの危険にさらされる可能性があります。
- ディスクへのバックアップ – デディスク上のストレージ・コンテナも攻撃のリスクにさらされています。前述したように、ランサムウェアは通常、理解できないファイルタイプの暗号化を避けており、そのようなファイルはこのカテゴリーに分類されるかもしれないが、リスクは大きく、そのようなデータも攻撃に引っかからないという保証はありません。RDXのようなカートリッジ式ディスクシステムは、コンピュータから物理的に取り外すことができるため、ランサムウェアが通過できない「エアギャップ」が生じます。データを追加することはできるが、削除することはできないWORM（write once read many）ディスク製品も利用できます。
- テープへのバックアップ – テープは通常、ランサムウェア・ソフトウェアが見て変更を加えることができるファイルシステムとしてマウントされていないため、ストレージ・コンテナとして物理テープを使用することは、はるかに安全な手法です。LTFS（詳しくは後述）を除き、テープは書き込みに特別なソフトウェアを必要とするため、ランサムウェアの攻撃を受けにくい。ハードウェアに挿入されるのではなく、棚に置かれているテープには「エアギャップ」の利点があり、攻撃されることはありません。
- クラウドへのバックアップ-コンテナがクラウドストレージ内に書き込まれる場合、ストレージに物理的にアクセスすることなく、本当の意味での「エアギャップ」を導入することは難しいため、攻撃されるリスクがあります。
いくつかの推奨事項
上記で概説した様々なシナリオには微妙な違いがあり、何が安全で何が安全でないかについて混乱を招く可能性があります。したがって、考えられる戦略のリストを、真に安全と考えられるものに絞り込むことが重要であり、推奨されます。
クローン/レプリケーションはランサムウェア攻撃から安全であると考えるべきではありません。このような方法には多くの利点があるのは確かですが、組織が採用する唯一のバックアップ方法であってはなりません。多くの企業はクローンを使用してオンサイト（かつすぐにアクセスできる）バックアップを保持しますが、それに加えてテープバックアップも使用します。経験則として、単一のバックアップではデータを真に保護するには不十分です。保護したいファイル1つにつき、少なくとも3つのコピーを2種類の異なるメディアに保存してください。3-2-1。たとえば、ディスクからディスクへのクローン + テープバックアップ + クラウドバックアップなどです。
ストレージ・コンテナへのバックアップは、コンテナがランサムウェアによって書き込まれない限り、ランサムウェアの攻撃から安全です。ディスク・ストレージの場合、ホスト・コンピュータに永久に取り付けたままにしてはなりません。コンテナを取り付けたままにしておくと、何らかのリスクがあります。
LTO LTFS：一般的に、LTOテープ・ストレージはファイルシステムとしてマウントされていないため、ランサムウェアの攻撃から安全です。ただし、LTFS（リニア・テープ・ファイル・システム）は例外で、LTOテープを使用してハードディスクの機能を部分的に複製します。LTFSテープはハードディスクのようにコンピュータのオペレーティング・システムにマウントすることができるため、ランサムウェアがLTFSに複製されたバックアップ・データにアクセスし、元のコンテンツの暗号化されたバージョンを書き始める危険性があります。しかし実際には、テープ上のファイルの元の「良い」バージョンはまだ存在し、復元可能であるため、これはむしろ外観上の問題です。
結論
ここでの推奨事項はシンプルです。少なくとも1つのバックアップをLTOテープに保存してください。理想的には、Archiware P5 Backupを使用してください。P5 Backupはバックアップデータをテープに書き込み、ディスク上のコンテンツをインデックス化します。インデックスもテープに保存されます。そのため、ディスク上のインデックスファイルが攻撃を受けた場合でも、テープから復元することができます。
ディスクベースのレプリケーションを実行するには、 P5 Synchronizeなどの他の手法を使用することもできますが、単一のバックアップ手法に頼らないでください。3-2-1の原則を覚えておきましょう。保護したいファイル1つにつき、少なくとも3つのコピーを2種類の異なるメディアに保存してください。
