ランサムウェア攻撃対策に求められるサイバーレジリエンスを支援
このようなサイバー攻撃の脅威に対抗するため、データ管理プラットフォームにはサイバーレジリエンス（攻撃からの復元性）が求められる。そしてサイバーレジリエンスでは、
- データ自身を攻撃から確実に保護する
- 攻撃に対し迅速に検知する
- 攻撃に遭った際に迅速に復旧する
という3つの機能は欠かせない。
「確実に保護する」という観点では、攻撃者によるデータの暗号化や削除などの攻撃からデータを守れなければならない。そして、データの完全性を確保するために、“イミュータブル（変更不可能）”なファイルシステムを持つことも重要だ。また、「機密性を確保する」には、管理するデータを暗号化することも欠かせない。これによりデータが盗まれても情報が漏洩しないようにできるからだ。さらに、データの整合性を常に確認することで、攻撃者によるデータの削除や暗号化を防ぐことが可能となる。
では、Cohesityのデータ管理プラットフォームはどうだろうか。まず、削除や改ざんからデータを守る機能を有しており、Cohesityのデータ処理では一切上書きすることはなく、新規・更新データを常に空き領域に書き込むようになっている。また、ファイルシステム自体がイミュータブルで変更不可能な属性を持つ。これらで「いかなる理由によっても、ファイルそのものが改ざんされることはありません」と桝井氏と述べる。
[画像クリックで拡大]
さらに、複数ノードでクラスタ構成のストレージプラットフォームとなっていることも特長だ。クラスタ全体に分散されたデータおよびメタデータに、チェックサムを付け厳密な一貫性を保っている。データの書き込みを確認するために、二段階コミットでの実行だ。加えて、Cohesityに取り込まれるデータはすべて暗号化され、改ざん防止や証跡管理のためのデータロックやリーガルホールドも実行される。これら機能のすべてのステータスは、CohesityのGUI画面で一元的に管理できる。
データ保護において、もう1つ重要なのがアクセス制御だ。暗号化や削除からデータを守る機能があっても、攻撃者が権限を取得して直接不正アクセスをすれば元も子もない。そのため不正アクセスや設定変更を防止する仕組みも必要だ。Cohesityでは、たとえばパスワードを使い回ししていることで発生する不正アクセスを防ぐために、多要素認証の機能がある。他にもロールベースのアクセス制御で、アクセス権の制御や制限が可能だ。
万一誤って危険な設定がなされてしまった場合には、アドバイザー機能でそれらを監視し通知できる。Cohesityが環境をスキャンし、どこに危険な設定があるかをチェックし、セキュリティ状況を可視化できるのだ。さらに、監査ログでアクティビティの記録もできる。Cohesityのプラットフォームには、サポートのためのバックドアを一切設けていない。そのため、プラットフォーム自体にOSレベルのアクセスも一切できないようになっている。
「ランサムウェアの攻撃は、時間との勝負です。いち早く前兆を認識できるかが重要です」と桝井氏。CohesityではデータとユーザーのモニタリングではAIを用い、機械学習をベースとした技術で自動検知する。現状のランサムウェア攻撃は、データの改ざんによる暗号化が主たるものだ。これはバックアップを取っている側から見れば、本番データに攻撃があると差分が生まれることでもある。そのため異常な変更や差分を監視し、それに対し機械学習で不正な振る舞いを検知して攻撃を見つける。
[画像クリックで拡大]
Cohesityのダッシュボードでは、機械学習で検知された異常なふるまいが表示され可視化できる。検知対象は書き込まれたデータの時系列やデータのランダム性、ファイルの削除、追加、変更されたファイルの大きさがどれくらい違うのか、ファイル拡張子の変更などだ。
これらの振る舞いを見て、世界中のランサムウェアの攻撃パターンを学習したエンジンで異常を検知する。どのデータのどのポイントに異常があるかは、運用担当管理者に通知する。さらに攻撃に対して、どの時点に戻せば安全かといった情報も提供する。「ただモニタリングするだけでは意味がありません」と桝井氏。Cohesityならセキュリティソリューションと統合して、先の対応に踏み込んだシステムの構築が可能だという。
Cohesityでは既存のセキュリティ管理やプロセスを利用した運用ができ、インシデントレポートとレスポンスのためにSIEM（Security Information and Event Management）やSOAR（Security Orchestration, Automation and Response）ツールとも統合できる。他にも多要素認証のために「Okta」のようなシステムやキー管理ソリューション、アンチウィルスと連携するためのアイキャップ脅威検出などもサポートしている。脆弱性管理では「Tenable.io」とも連携でき、バックアップデータから本番データの脆弱性診断が可能となっている。
[画像クリックで拡大]
