ランサムウェア被害後の明暗を分ける、バックアップ対策と復旧オペレーションを総合的に強化する手段とは？

仮想マシン環境で速やかに復旧ポイントを特定する

　バックアップデータを保存していても、どの復旧ポイントにマルウェア感染や異常の兆候があるのか見極めなければ復旧作業は進まない。かつては、その候補となる世代を検証環境へリストアし、システムを一つひとつ起動して状態を確認するのが一般的だった。しかし、それではバックアップの容量が大きいほどリストアに時間を要し、復旧ポイントを特定するまでには数日を費やすこともある。

　福田氏は、「健全な復旧ポイントを確認するためだけに何日もかけてリストアを繰り返すことは、もはや現実的ではない。バックアップから速やかに仮想マシンを起動して検証できる環境が、早期の業務再開の鍵になる」と指摘する。

　その手段として有効となるのが、Arcserve UDPの「インスタントVM」という機能だ。バックアップデータを一時的な仮想ディスクとして仮想基盤にマウントし、“そのデータを参照する仮想マシン”を起動する機能だ。データを本番用ストレージへ全量リストアする処理は必要なく、候補となる復旧ポイントからOSやアプリケーションを起動し、動作状況をすぐに確認できる。そのため、復旧先の見極めに要する時間を短縮しやすい。検証環境では、複数世代の復旧ポイントを起動して状態を比較する運用も可能だ。

　さらに、バックアップされた復旧ポイントを仮想ディスクとしてマウントし、マルウェアや悪質なファイルが含まれていないかを事前にスキャンできる「アシュアード セキュリティ - マルウェア スキャン」という機能も備わっている。リストア前の検出結果をもとに、復旧候補となるバックアップの健全性を判断できるというわけだ。スキャンはバックアップまたはレプリケーションのプランに組み込まれ、定期的な実行に対応している。

　こうした機能群により、多世代にわたり保持したバックアップを迅速に起動・検証しながら、必要に応じてマルウェアスキャンも行うことで、被害発生後に復旧ポイントを探す時間を抑え、より早期の業務再開につなげられるのがArcserve UDPなのである。

イミュータブルストレージが、復旧可能性の確度をさらに高める

　なお、侵入型のランサムウェアには、攻撃者が管理者権限を奪取し、正当な権限を悪用して、復旧ポイントサーバー（RPS）が管理するバックアップデータの削除・暗号化を試みるケースもある。RPS側のバックアップデータが利用できなくなれば、同じく復旧作業は大きく難航する。

　バックアップを本番環境から分離して保管する方法としては、テープなどの可搬メディアによるオフライン保管、別環境やクラウドへのコピー保管などがある。ただし、可搬メディアの運用には搬送・保管・交換といった手作業がともない、クラウド保管の場合は、データ量や回線帯域に応じて転送時間・コストを考慮する必要がある。

　こうした分離保管を補う選択肢として、福田氏はイミュータブルストレージの有効性を訴えた。これは、あらかじめ定めた保持期間中、バックアップデータを「変更・削除できない状態」で保持する仕組みだ。Arcserveは、この仕組みを備えた「CRS（Arcserve Cyber Resilient Storage）」と、クラウド型の「クラウド CRS（Arcserve Cloud Cyber Resilient Storage）」を提供する。前者はオンプレミス環境で、後者は既存のRPSからArcserveのクラウドストレージへバックアップデータを保存する形態となっている。いずれもArcserve UDPと連携し、バックアップデータの保管先として利用できる。

　RPSからCRSへバックアップデータが保存されると、CRSは設定した取得時刻と保存期間に従い、データストアのイミュータブルスナップショットを自動で取得する。保持期間中は、万が一バックアップ管理者の認証情報が侵害された場合でも、通常の管理操作ではイミュータブルスナップショットを変更・削除できないよう設計されている。また、RPS側のデータストアが破壊される事態になっても、RPSを復旧または再構築したうえで、CRS側のデータストアをインポートし、保護されたスナップショットを使って復旧作業を進められる。

　繰り返しになるが、攻撃者はバックアップデータを狙い、復旧の手段を断つ。これに対抗し、復旧可能性を確保するためには、RPSとは分離され、変更・削除を防止する保管先を用意することが重要だ。