多くの被害ケースでバックアップデータも標的に

従来のランサムウェアは、メールの添付ファイルを開いたりWebページへアクセスすることで感染するような、いわゆる「ばらまき型」でしたが、現在のランサムウェアはサイバー攻撃によって侵入される、いわゆる「標的型」と呼ばれるものが多く出現しています。データの暗号化によって身代金を要求する脅迫と、盗み出した機密データを公開されたくなければお金を払えといった「二重の脅迫」が行われる被害が出ています。

感染先はPCだけではなくサーバやシステム全体に広がり、標的は業務のデータのみではありません。システム内に不正侵入され、バックアップサーバも攻撃されるケースが多くなっています。
管理者権限を持つユーザであってもバックアップデータを消去・変更できないといった、バックアップデータを保護する対策が必要です。

攻撃されることを前提とした対策　(※2024年2月19日時点)

社員が利用するPCは、Webページの参照やファイルのダウンロードなど、外部とのアクセス機会が多く、依然として感染リスクが高い状況です。不正広告が掲載された正規Webにアクセスして感染、 業務を装ったメールの添付ファイルやWebからダウンロードしたファイルを開いてしまい感染、 メール文中のURLへアクセスしてしまい感染、など、様々な感染ケースが挙げられています。

更にPCだけでなく業務サーバにも感染するタイプが存在します。標的となったサーバのOSから直接アクセス可能なディスク領域や、外部デバイスに置かれているデータは、暗号化の被害に遭うリスクが高くなっています。バックアップデータに対しても、攻撃が行われることが当たり前となってる状況です。

「3-2-1ルール」の構成の対処 ＋ 2つの最新対策

ランサムウェア対策では、複数箇所・複数種類のデバイスにデータを保持するいわゆる「3-2-1ルール」のバックアップシステム構成が推奨されています。「3-2-1ルール」はバックアップシステムの ”構成”を示すもので、引き続き、ランサムウェア対策として有効な手法です。

この「3-2-1ルール」の構成に加え、WORM等を導入したバックアップデータの保存の検討が必要です。更に最近のランサムウェア商談においては、セキュリティ面での検討も重要です。

バックアップの「3-2-1ルール」構成

バックアップサーバの感染まで想定して対策する場合は、バックアップデータへの攻撃ケースを考慮し、いわゆる「3-2-1ルール」の構成で、「2種類のデバイスへの保存」や「テープ媒体オフライン保管」を推奨しています。
例えば、バックアップ構成に「3-2-1ルール」を検討します。3-2-1ルールは、アメリカの国土安全保障省が公表したガイドラインに記載されている、データ保護の基本ポリシーのことです。保護したいデータを3箇所に保持し、2つの異なる形態のデバイスにバックアップを保存、バックアップの1つはオフサイトに保存する構成です。

「3-2-1ルール」を実現するバックアップ推奨構成

ランサムウェアの状況から、２種類以上のデバイスへの保存を推奨しています。

NetBackupは、REST APIのインターフェースを持つクラウドストレージへバックアップを保存することができます。
感染の可能性があるマシンのOSからアクセスできないクラウドストレージの領域へバックアップを保管します。

不変(WORM)ストレージにバックアップデータを保管

バックアップサーバへの不正侵入/不正操作や、バックアップデータへの攻撃(暗号化/削除アクセス)から、バックアップデータを保護します。

クラウドの不変ストレージへの保管

クラウドストレージ側で一定期間の更新を禁止する、S3オブジェクトロック機能と連携したストレージや、Azure Blob不変ストレージ、Veritas Alta Recovery Vaultにバックアップを保存することもでき、より安全性を高めることができます。

WORMストレージ（不変性及び削除不可性）と連携

NetBackup と WORMストレージによる保護の強化
WORMストレージに格納したデータに対するランサムウェアからの保護を、NetBackup から統合管理することができます。

物理的にアクセスできない場所への保管

ランサムウェア感染や不正侵入を想定して、マシンから物理的にアクセスできない場所にバックアップデータを保管します。

ランサムウェア攻撃時の不審な活動を早期検知

WORMやエアギャップを導入したバックアップの保管に加え、ランサムウェア被害の早期検知・マルウェア検出が重要です。

異常なバックアップの検出：Anomaly Detection(異常検出)

バックアップ時の異常を、これまでのバックアップ結果の統計からAI・機械学習によって検出し、お知らせします。
異常に気付かず、バックアップ保持世代を過ぎてしまうと、正常なデータが無くなってしまいます。
データの異常を早期に検出し、正常なデータをリカバリすることで、被害の拡大を抑制します。

異常検出について詳細は、NetBackup概要 - 統計的なバックアップ状況の異常検出をご確認ください。

バックアップデータのマルウェア検出機能

セキュリティソフトと連携し、マルウェアを検出します。
リストアを行う前に、感染しているとされるファイルを復旧対象から除外して、安全なデータのみをリストアできます。当該クライアントのバックアップ運用は一時停止することで、バックアップ運用を継続します。

NetBackupのマルウェア検出機能について詳細は、概要 - 復旧データの事前検査[ランサムウェア対策強化]をご確認下さい。

バックアップ結果の異常検出時にマルウェアスキャンを自動起動

バックアップ取得時に異常なバックアップを検出し、異常検出スコアが高い場合、そのバックアップに対して自動でマルウェア検出(ウイルススキャニングを起動・実行)を行います。

クリーンなデータでの復旧

その他のセキュリティ機能

不正アクセス防止

ID管理＆アクセス管理

NetBackupの管理コンソールへのログイン時にはシングルサインオン(SSO)の実現が可能で、盗み見や様々な脅威によるID/パスワードの盗用を避け、より安全なID管理を行うことができます。
なお、SSOではActive Directory、LDAP、およびSAML 2 .0をサポートしています。

組織内での役割(ロール)に基づいて、必要な権限やアクセス制御を定義した役割を設定します。
適切な権限管理による操作環境を実現することで、緊急時の復旧作業が担当者ベースで迅速に対応可能です。

多要素認証による不正アカウントのアクセスを防止

複数人での認証による不正操作の抑制

暗号化

バックアップやリストア実行時のNetBackupサーバ間やNetBackupクライアント等とのデータ転送時は、ベリタスまたはお客様が提供する TLS 1 .2 証明書を活用し、転送中のデータ暗号化を行います（2048 ビットの鍵をサポート）。

ランサムウェア等の侵入者がデータを入手できたとしても、あらかじめデータを暗号化することで悪用されることを防ぐことができますが、ベリタスはセキュリティ上の最高レベルの AES 256 ビット、FIPS 140-2 による暗号化をサポートし、デフォルトで独自のキーによる暗号化を行っています。
更なるセキュリティ向上のため、KMIP (Key Management Interoperability Protocol) を利用して、お客様が利用している外部キー管理サーバと連携、サーバが管理するキーを利用してバックアップデータを暗号化することもできます。

システム構成例

業務サーバのデータを、クラウドの不変ストレージに二次バックアップする場合の構成例です。

ランサムウェア対策のバックアップはご相談ください

ランサムウェア対策のバックアップについては、弊社営業までお問い合わせください。

関連ソリューション