多くの被害ケースでバックアップデータも標的に

ランサムウェア被害の多くのケースで、システム内に不正侵入され、業務サーバだけでなくバックアップサーバも攻撃されてしまっています。管理者やユーザのアカウントの乗っ取り、業務データの暗号化、さらには、バックアップデータまで暗号化や消去が行われています。
管理者アカウントが乗っ取られるということは、デバイスの初期化やソフトウェアのアンインストールも容易に行われてしまうということです。

アクセス権の設定などでは、ランサムウェアの被害は防げませんので、バックアップデータは、ランサムウェアに攻撃されない場所に保管する必要があります。

攻撃されることを前提とした対策　(※2024年2月19日時点)

社員が利用するPCは、Webページの参照やファイルのダウンロードなど、外部とのアクセス機会が多く、依然として感染リスクが高い状況です。不正広告が掲載された正規Webにアクセスして感染、 業務を装ったメールの添付ファイルやWebからダウンロードしたファイルを開いてしまい感染、 メール文中のURLへアクセスしてしまい感染、など、様々な感染ケースが挙げられています。

更にPCだけでなく業務サーバにも感染するタイプが存在します。標的となったサーバのOSから直接アクセス可能なディスク領域や、外部デバイスに置かれているデータは、暗号化の被害に遭うリスクが高くなっています。バックアップデータに対しても、攻撃が行われることが当たり前となってる状況です。

ランサムウェアや脅威からデータと企業を守る

WORMへのバックアップ保管とセキュリティ強化

WORM等の削除/更新されない場所にバックアップを保管し、さらに異常検知/多要素認証などのセキュリティ対策の検討が必要です。

バックアップの「3-2-1ルール」構成

バックアップサーバの感染まで想定して対策する場合は、バックアップデータへの攻撃ケースを考慮し、いわゆる「3-2-1ルール」の構成で、「2種類のデバイスへの保存」や「テープ媒体オフライン保管」を推奨しています。
例えば、バックアップ構成に「3-2-1ルール」を検討します。3-2-1ルールは、アメリカの国土安全保障省が公表したガイドラインに記載されている、データ保護の基本ポリシーのことです。保護したいデータを3箇所に保持し、2つの異なる形態のデバイスにバックアップを保存、バックアップの1つはオフサイトに保存する構成です。

「3-2-1ルール」を実現するバックアップ推奨構成

ランサムウェアの状況から、２種類以上のデバイスへの保存を推奨しています。

NetBackupは、REST APIのインターフェースを持つクラウドストレージへバックアップを保存することができます。
感染の可能性があるマシンのOSからアクセスできないクラウドストレージの領域へバックアップを保管します。

不変(WORM)ストレージにバックアップデータを保管

バックアップサーバへの不正侵入/不正操作や、バックアップデータへの攻撃(暗号化/削除アクセス)から、バックアップデータを保護します。

クラウドの不変ストレージへの保管

クラウドストレージ側で一定期間の更新を禁止する、S3オブジェクトロック機能と連携したストレージや、Azure Blob不変ストレージ、Veritas Alta Recovery Vaultにバックアップを保存することもでき、より安全性を高めることができます。

WORMストレージ（不変性及び削除不可性）と連携

NetBackup と WORMストレージによる保護の強化
WORMストレージに格納したデータに対するランサムウェアからの保護を、NetBackup から統合管理することができます。

物理的にアクセスできない場所への保管

ランサムウェア感染や不正侵入を想定して、マシンから物理的にアクセスできない場所にバックアップデータを保管します。

ランサムウェア攻撃時の不審な活動を早期検知

WORMやエアギャップを導入したバックアップの保管に加え、ランサムウェア被害の早期検知・マルウェア検出が重要です。

異常なバックアップの検出：Anomaly Detection(異常検出)

バックアップ時の異常を、これまでのバックアップ結果の統計からAI・機械学習によって検出し、お知らせします。
異常に気付かず、バックアップ保持世代を過ぎてしまうと、正常なデータが無くなってしまいます。
データの異常を早期に検出し、正常なデータをリカバリすることで、被害の拡大を抑制します。

異常検出について詳細は、NetBackup概要 - 統計的なバックアップ状況の異常検出をご確認ください。

バックアップデータのマルウェア検出機能

セキュリティソフトと連携し、マルウェアを検出します。
リストアを行う前に、感染しているとされるファイルを復旧対象から除外して、安全なデータのみをリストアできます。当該クライアントのバックアップ運用は一時停止することで、バックアップ運用を継続します。

NetBackupのマルウェア検出機能について詳細は、概要 - 復旧データの事前検査[ランサムウェア対策強化]をご確認下さい。

バックアップ結果の異常検出時にマルウェアスキャンを自動起動

バックアップ取得時に異常なバックアップを検出し、異常検出スコアが高い場合、そのバックアップに対して自動でマルウェア検出(ウイルススキャニングを起動・実行)を行います。

クリーンなデータでの復旧

その他のセキュリティ機能

不正アクセス防止

ID管理＆アクセス管理

NetBackupの管理コンソールへのログイン時にはシングルサインオン(SSO)の実現が可能で、盗み見や様々な脅威によるID/パスワードの盗用を避け、より安全なID管理を行うことができます。
なお、SSOではActive Directory、LDAP、およびSAML 2 .0をサポートしています。

組織内での役割(ロール)に基づいて、必要な権限やアクセス制御を定義した役割を設定します。
適切な権限管理による操作環境を実現することで、緊急時の復旧作業が担当者ベースで迅速に対応可能です。

多要素認証による不正アカウントのアクセスを防止

複数人での認証による不正操作の抑制

暗号化

バックアップやリストア実行時のNetBackupサーバ間やNetBackupクライアント等とのデータ転送時は、ベリタスまたはお客様が提供する TLS 1 .2 証明書を活用し、転送中のデータ暗号化を行います（2048 ビットの鍵をサポート）。

ランサムウェア等の侵入者がデータを入手できたとしても、あらかじめデータを暗号化することで悪用されることを防ぐことができますが、ベリタスはセキュリティ上の最高レベルの AES 256 ビット、FIPS 140-2 による暗号化をサポートし、デフォルトで独自のキーによる暗号化を行っています。
更なるセキュリティ向上のため、KMIP (Key Management Interoperability Protocol) を利用して、お客様が利用している外部キー管理サーバと連携、サーバが管理するキーを利用してバックアップデータを暗号化することもできます。

システム構成例

業務サーバのデータを、クラウドの不変ストレージに二次バックアップする場合の構成例です。

ランサムウェア対策のバックアップはご相談ください

ランサムウェア対策のバックアップについては、弊社営業までお問い合わせください。

関連ソリューション