データのセキュリティ確保と保護に関するネットワーク上の考慮事項

このシリーズの最終回まで読み進めていただき、ありがとうございます！

これは、「バックアップデータの保護とランサムウェア対策」

これまでの記事では、HYCUがソースを検出し、データをシンプルに保護する方法についてご理解いただくことを目的としておりました。

また、HYCUが標準で備えるランサムウェア対策機能に焦点を当てるとともに、バックアップデータの侵害を困難にする追加オプションを備えた保存先を選択したり、パスワードの変更・ローテーションを行ったりすることで、セキュリティ体制をさらに強化できる柔軟性についてもご紹介いたしました。 バックアップのセキュリティを確保するプロセスの最後のステップは、ソース、ホスト、およびターゲットとの間の通信経路をどのように保護するかに焦点を当てることです。

幸いなことに、HYCU の仮想ネットワークアダプタの設定は非常に簡単で分かりやすいプロセスです。

最低限必要な仮想NIC（vNIC）は1つだけですが、最初のvNICを接続した状態でHYCU VMをデプロイした後、2つ目のvNICを追加することで、HYCUをマルチホーム化することが可能です。 2つ目のvNICが接続されると（VMのデプロイ後）、HYCU 4.1のWeb UI内で設定可能な項目となります。 また、お客様は、ストレージネットワークへのアクセスに使用されている 2 番目の NIC 上の Web リスナーを無効にすることができます。 

ターゲットの選択に基づいて、以下の点をご検討ください。

• プライマリバックアップに NFS ターゲットを選択される場合は、HYCU からネットワークストレージへのトラフィックを許可するために、アプライアンスでホワイトリストの設定が必要になる場合があることにご注意ください。
• SMB ターゲットを選択する場合は、作成した共有へのアクセス権を持つアカウントを設定する必要があります。 また、バックアップデータの共有への不正なネットワークアクセスを許可しない（または不適切に許可しない）ことも重要です。 また、環境内の他のマシンには接続しないでください。
• iSCSI ターゲットを選択する場合は、CHAP（Challenge-Handshake Authentication Protocol）の有効化／設定を検討することをお勧めします。これは、ターゲット上および HYCU 内で実行できます。
• クラウド オブジェクト ストレージ ターゲットの場合は、クラウド ストレージへのアクセス権を付与するために、アカウントやシークレット キー、アクセス キーなどを設定する必要があります。 次に、暗号化された高速の隔離接続（ピア接続ポイントと適切なルートで構成されたもの）、サイト間 VPN 接続が必要か、あるいは単に HTTPS/TLS を使用してパブリックインターネット経由で接続できるかを決定する必要があります。    

HYCUのWeb UIは、お客様またはプロバイダーが発行したPKI証明書を使用するように設定できます。

初期導入時には自己署名証明書が提供されますが、お客様は独自の認証局を使用してカスタム証明書を利用するよう設定を進めることも可能です。 さらに、HYCUとNutanix Prismとのソース接続についても、証明書認証を使用するように設定できます。 

お客様が、ご自身の環境に適した前述の対策をしっかりと実施し、ポートやアクセスを厳格に制限していただいた場合、最後の数ステップとして、HYCUへのSSHアクセスを無効にし、 マイクロセグメンテーションを通じて、Prism Element または vCenter UI へのアクセスを、必要な Nutanix および／または VMware 管理者（およびその管理用ワークステーション／サーバー）のみに制限することです。  これらの対策を実施することで、VMコンソールへのアクセスを、特定の個人またはマシンにのみ大幅に制限することが可能です。

何よりも、常識を働かせること（つまり、サーバーへのインターネットアクセスを許可せず、管理者用ワークステーションを極めて清潔に保つこと）、 ストレージの保存先を慎重に選択し（ランサムウェア対策機能を備えた種類を含める）、これらのネットワーク関連のガイドラインに従うことで、攻撃の機会を著しく減らし、円滑に復旧するための可能性を高めることができます。