ランサムウェアの脅威から重要なデータを保護する

バックアップと復旧に関するベストプラクティスです。

ランサムウェア攻撃はいつ起こってもおかしくありません。万全の準備をしておきましょう。

「ランサムウェア攻撃は他人事だ」と思っていませんか？

ランサムウェア攻撃は増加傾向にあり、あらゆる規模や業界の組織を標的としています。

今日のビジネスにおけるデータの価値と、サイバー攻撃の驚くべき増加を鑑みると、重要なデータ資産のセキュリティ確保と保護は、企業にとって最も重要な責務の一つです。

この重要な使命を果たすお手伝いをするため、データを確実に保護し、ランサムウェアやその他のセキュリティ侵害によるリスクを軽減するためのベストプラクティスをまとめました。 

「3-2-1」のルールに従う

堅牢なバックアップ、コピー、アーカイブの戦略を策定することは、最も重要なデータやシステムを保護するための不可欠な第一歩です。

従来のアプローチとして、「3-2-1」ルールがあります：

• データの 3 つのコピー
• 少なくとも2つの別々のストレージソリューション上に
• そのうち1つの媒体は、オフサイト／別の場所、またはクラウド上に保管してください

これは依然として有効なアプローチですが、この種の取り組みで

使用するバックアップ先の種類を慎重に選択することが極めて重要です。

WORMを活用する

WORM

バックアップデータを保護する最も有用な方法の一つは、 WORM（Write Once, Read Many：1回書き込み、複数回読み取り）機能を取り入れたコピーまたはアーカイブ戦略を導入することです。 ほぼすべてのクラウドベースまたはオンプレミスのオブジェクトストレージソリューションが、この機能を提供しています。

BLOB

WORMは、データの不変性（変更不可）を提供するように設計されています。この技術は、指定した期間、データが上書きされたり削除されたりしないようにする保存ポリシーを実装しています。 オブジェクトストレージのバケットや Azure BLOB（バイナリ大容量オブジェクト）コンテナは、コピーやアーカイブ用のバックアップに最適な選択肢です。

DARE

クラウドストレージプロバイダーを検討する際は、DARE（Data-At-Rest-Encryption）、セキュアな転送技術（VPN や HTTPS/TLS）、およびクラウド先へ送信されるデータに対する AES 256 暗号化などのセキュリティ対策を提供しているプロバイダーをお選びください。

オンプレミス環境の対策も忘れずに

コピーやアーカイブを行う前の初期バックアップとして、オンプレミスの NAS（ブロック）ストレージが使用される場合があります。こうしたケースでは、特別な配慮が必要となります。

NASアプライアンスでは通常、NFS（ネットワークファイルシステム）やSMB（サーバーメッセージブロック）などの標準プロトコルが採用されています。バックアップシステムやネットワークのセキュリティ対策を追加で強化しない限り、これらの標準プロトコルは攻撃に対して脆弱となる可能性があります。

ベストプラクティスとして、プライマリストレージの保存先をバックアップ専用とし、他のシステムでの使用やマウントを行わないようにすることが挙げられます。さらに、初期のNASバックアップを保護するために、検知、通知、防止機能を備えたバックアップおよびリカバリソリューションを検討してください。

スマートなポリシーの作成

もう一つのベストプラクティスは、重要な仮想マシン、データ、およびアプリケーションを保護するために、ポリシー主導型のアプローチを採用することです。

これには、スナップショット、バックアップ／コピー／アーカイブ、データ保持期間、および RPO（リカバリ・ポイント・オブジェクティブ）/RTO（リカバリ・タイム・オブジェクティブ）について、慎重に検討する必要があります。 バックアップおよび復旧ソリューションが、ポリシーを容易に策定・適用できる機能を備えていることを確認し、アプリケーションとデータが適切な一貫性レベルで保護されるようにしてください。

バックアップおよび復旧ポリシーは、「一度設定すればそれで終わり」というものではありません。状況は変化するため、組織のニーズや、進化し続けるサイバー脅威に引き続き対応できるよう、定期的にポリシーを見直してください。

安全なネットワークアクセス

1. 選択したターゲットに応じて、以下の点をご検討ください： 
   プライマリバックアップに NFS ターゲットを使用する場合、バックアップソリューションからネットワークストレージへのトラフィックを許可するために、アプライアンスでホワイトリスト設定が必要になる可能性がある点にご注意ください。
2. SMB ターゲットを選択する場合は、作成した共有へのアクセス権を持つアカウントを設定する必要があります。 また、バックアップデータ共有への不正なネットワークアクセスを許可しない（あるいは不適切に許可しない）ようにすることが重要です。さらに、環境内の他のマシンにこの共有をマウントしないでください。
3. クラウドオブジェクトストレージを保存先として選択する場合は、アクセス権を付与するためにアカウントやシークレットキー、アクセスキーなどを設定する必要があります。 その後、暗号化された高速の隔離接続（ピア接続ポイントと適切なルートで構成されたもの）、サイト間 VPN 接続が必要か、あるいは HTTPS/TLS を使用してパブリックインターネット経由で接続するだけでよいかを判断してください。
4. その他の常識的な対策としては、サーバーへのインターネットアクセスを許可しないこと、管理用ワークステーションのセキュリティ管理に細心の注意を払うこと、およびランサムウェア対策機能を備えたストレージターゲットを選択することが挙げられます。 さらなる保護のためには、顧客またはプロバイダーが発行したPKI（公開鍵インフラストラクチャ）証明書の使用を許可するバックアップおよびリカバリソリューションをご検討ください。
5. iSCSIターゲットを選択する場合は、ターゲット側およびバックアップソリューション側でCHAP（Challenge-Handshake 
   Authentication Protocol）を有効化・設定することをご検討ください

手遅れになる前に、対策を講じてください。

参考資料：

• ランサムウェアの脅威から重要なデータを保護する
• バックアップをランサムウェアから守る