【ランサムウェア対策】バックアップ全滅から企業を救う「データ隔離」と真のサイバーレジリエンス

ランサムウェア被害組織の100％がバックアップを標的にされる時代。「イミュータブル（不変性）」の過信に警鐘を鳴らして、絶体絶命の窮地から事業を復旧させるための防御策とレジリエンスをQ&A形式で解説します。

PR／ITmedia

PR

この記事の概要

• ランサムウェア被害に遭った組織の100％がバックアップデータを標的にされている
• ソフトウェアベースの「イミュータブル（不変性）」機能だけでは、管理者権限の奪取で突破される危険性がある
• 確実な復旧には「デバイス保証を含むイミュータビリティー」「物理的・論理的なデータ隔離」「AIを使ったデータ衛生分析」の3要素が不可欠である

　昨今のランサムウェア攻撃は、単なるデータの暗号化にとどまらず、企業の「復旧能力そのものを意図的に破壊する（Recovery Denial）」手法へ進化しています。攻撃者が初期侵入からネットワーク内で横展開を開始するまでの時間はわずか「62分」とされ、防衛側にはほとんど猶予がありません。本記事では、バックアップを過信して窮地に陥った企業の事例から、デル・テクノロジーズが提唱する真のデジタルデータ・レジリエンスの在り方をQ&A形式で詳しく解説します。

バックアップへの攻撃と復旧能力の破壊

Q　ランサムウェア攻撃では、企業のバックアップデータはどのように狙われているのですか？

A　攻撃者は身代金要求を確実にするため、本番環境への攻撃前に企業の命綱であるバックアップデータを特定して破壊し、復旧能力そのものを奪いに来ます。

　デル・テクノロジーズの調査によると、「ランサムウェア被害に遭った組織の100％が、バックアップを標的にされていた」厳しいことが明らかになっています。また、横展開を開始するまでの時間はわずか「62分」だったとされています。攻撃者は数週間前からネットワーク内に潜伏して、Active Directoryのドメインコントローラーを掌握した上で、バックアップデータを破壊してから本番環境へ一斉攻撃を仕掛けます。したがって、「バックアップを取っているから安心」とする事業継続計画（BCP）の常識はもはや通用しなくなっています。

イミュータブル（不変性）機能の限界と適切なレベル

Q　バックアップストレージの「イミュータブル機能」を有効にしていれば、データは絶対に安全ですか？

A　ソフトウェアベースの不変性機能だけでは、特権IDやデバイス側の高い権限が奪われた際に裏口から全データを破壊されるリスクがあるため、絶対に安全とはいえません。

　イミュータビリティー（不変性）には、以下のような制御モデルの「レベル」の差が存在します。

• Level 2（ソフトウェアベース）：操作ミス防止には有効ですが、特権IDが奪われると管理者権限で容易に突破されてしまいます。
• Level 3（保守要員のみ解除可能）：保守サービス要員しか解除できない対策でも、そのバックドアを悪用されるリスクがあり得ます。
• Level 4（デバイス保証を含む）：デバイス制御層まで防御範囲を拡張して、管理者であっても設定期間中は絶対にデータを削除・上書きできない強固な仕様です。デル・テクノロジーズには「Dell PowerProtect Data Domain」と「Retention Lock Compliance」機能があって、システムの時計をずらすNTPポイズニングや遠隔管理チップを狙った攻撃も防ぎます。

最終防衛線としてのデータ隔離手法

Q　あらゆる防御システムが突破されるゼロトラスト環境で、バックアップデータを守るための最終防衛線は何ですか？

A　ネットワークから物理的・人為的にオフライン状態を保つ「データ隔離（エアギャップ型データ隔離）」が最終防衛線です。

　現場の偶然で起きた物理的なネットワークからの隔離（LANケーブルを抜くなど）が企業を救うケースもありますが、毎回このような奇跡に頼るわけにはいきません。これを意図的かつ自動的に実施するのがデル・テクノロジーズの「Dell PowerProtect Cyber Recovery」です。本番環境やバックアップ環境とは別のデータ隔離空間「Cyber Recovery Vault（金庫）」を設けて、データ取り込み時だけネットワーク接続と一方向通信を許可する実践的な物理エアギャップを実現します。このVaultは本番環境の認証基盤からも完全に分離されているため、攻撃者に権限を掌握されてもデータに到達できない強固な仕組みを構成できます。

分析エンジンを使った安全な復旧データの確保

Q　ランサムウェアの脅威から確実にシステムを復旧するためには、隔離されたバックアップデータをどのように管理すべきですか？

A　専用の分析エンジンを使用して、隔離空間内のデータを「ファイルのフルコンテンツ」で自動スキャンして、「有事の際に確実に復旧できるクリーンなコピー」を事前検証して準備しておくべきです。

　デル・テクノロジーズが提唱するレジリエンスでの「インテリジェンス（データ衛生）」の役割として、専用分析エンジン「CyberSense」が活躍します。AIや機械学習を用いて、暗号化や不審な変更など、ランサムウェアの兆候がないかどうかを隔離空間内で自動スキャンします。さらに、PowerProtectポートフォリオに特化した検知サービス「Dell MDR for PowerProtect」を利用して、EDRでは見落としがちな正規動作を悪用した巧妙な攻撃予兆を専門チームが監視・発見して、バックアップの健全性を担保します。

実践的な復旧演習と新しいBCPの形

Q　サイバーインシデントからの復旧で、企業はどのような目標状態を設定して、どのように訓練すべきですか？

A　「1秒でも早く元通りにする」状態から脱却して、最低限かつ最重要なサービスを立ち上げる「MVC（Minimum Viable Company）」への復旧を着地点とした上で、隔離空間内の安全な領域で実践的な復旧訓練を頻繁に実施すべきです。

　復旧能力を鍛える最大の鍵は「頻繁な演習」ですが、本番環境への影響を懸念してテストが実施しにくい課題があります。

　デル・テクノロジーズの隔離システムを利用すれば、隔離空間内に安全な区画「クリーンルーム」を用意できます。この環境を使えば、有事の緊急再起動だけでなく、平時でも本番環境に影響を与えることなく、実践的な復旧訓練を何度でも繰り返せるようになります。

まとめ

　ランサムウェア攻撃から企業を守るには、「イミュータブル」という言葉だけを過信せず、真のサイバーレジリエンスの構築が求められます。「デバイス保証を含むイミュータビリティー（データ防御）」「エアギャップを用いたアイソレーション（データ隔離）」「AIを使ったインテリジェンス（データ衛生分析）」という3つの“I”を備えて、いざというときにMVCに確実かつ速やかに復旧できるプロセスを確立しておきましょう。

記事の全文はこちら：