攻撃範囲を拡大するランサムウェアには“アフター対策”も不可欠！ MSYS主催「ランサムウェア対策のベストプラクティス」セミナーレポート

デジタルトランスフォーメンション（DX）の取り組みが加速し、ビジネスにおけるデジタル技術の活用が浸透したことで、企業を狙うサイバー攻撃も多様化・巧妙化してきている。特に企業の情報資産を暗号化して身代金を要求するランサムウェアは、規模や業種を問わずあらゆる企業にとって深刻な脅威となっている。2022年7月29日に東京で開催された丸紅情報システムズ（MSYS）主催のセミナー「ランサムウェア対策のベストプラクティス ～AI自動検知と瞬時復旧で企業のビジネスを守る～」では、従来のセキュリティ対策では対処できないランサムウェアの脅威から企業を守るためのアプローチが解説された。

バックアップデータを狙うランサムウェアが増加し、既存の手法だけでは対応が困難に

丸紅情報システムズ株式会社
IT基盤ソリューション事業本部
副事業本部長 　小澤 政弘氏

「Infinite Ideas」のコンセプトのもと、新しいビジネスの価値を創造し続けている丸紅情報システムズが開催した本セミナーは、同社の IT基盤ソリューション事業本部 副事業本部長 小澤 政弘 氏の言葉で幕を開けた。

「IPA（情報処理推進機構）が公開した『情報セキュリティ10大脅威 2022』では、前年度に続き「ランサムウェアによる被害」が1位となっています。国内の報告件数ベースでは、2021年度下半期のランサムウェアの被害は85件で、前年同期比で約4倍に増加しており、ランサムウェアの被害が拡大していることがわかります」（小澤氏）

感染が報告されているランサムウェアは一部に過ぎず、実際にはより多くの企業が感染していると小澤氏。業界別の統計でもほとんどの業種が被害を被っており、すべての企業にとってランサムウェア対策は喫緊の課題と解説する。さらに「昨今ではバックアップデータを狙うランサムウェアも増えてきており、バックアップを取得するだけでなく、データの保全から迅速な復旧までを見据えた対策が求められています」と現状を分析。ランサムウェアの攻撃範囲が拡大しているなか、感染を防ぐだけでなく感染を前提とした対策も講じる必要があると語り、次のセッションへとバトンを渡した。

データマネジメントの再定義を起点に推進する、Cohesityのランサムウェア対策とは

Cohesity Japan株式会社
技術本部　シニアセールスエンジニア
伊東 浩之氏

続いて登壇したのは、先進的なデータ保護・データ管理ソリューションを展開する Cohesity Japan株式会社の伊東 浩之 氏。「拡大するランサムウェアの攻撃に対して、目指すべきデータマネジメントとは」をテーマに話が展開された。

Nutanixの創業者であるモヒット・アロン 氏により、2013年に米国で設立されたCohesity（コヒシティ）は、ガートナー マジック・クアドラントの エンタープライズ・バックアップ/リカバリ・ソフトウェア・ソリューション部門において今年もリーダーに選出されるなど、データ保護・データ管理の領域で高い実績を持つ。2019年には日本法人も立ち上げた同社では、「データマネジメント」の観点からランサムウェア対策のベストプラクティスを提示する。

「Cohesityが考えるランサムウエア対策は、データマネジネントを再定義するところから始まります。ビジネスで使われているデータは、ミッションクリティカルなシステムで使われ、常に更新され続ける「プライマリデータ」と、バックアップやアーカイブ、オブジェクトストレージ、アナリティクスデータといった「セカンダリデータ」に分けられます。世界中に存在するデータ全体を俯瞰してみれば、プライマリデータはごく一部であり、9割近くはセカンダリデータです。多くの企業は膨大なセカンダリデータを保持していますが、プライマリデータと比較すると適切に管理されていないのが現状。この領域をカバーするのが、Cohesityのデータマネジメントソリューションになります」（伊東氏）

データマネジメントを再定義するにあたっては、「ランサムウェアの予防」「迅速な検知」「ビジネス損失を低減するための迅速な対応」「さらなる対策」という4つのセキュリティポイントを押さえることが大切と伊東氏。従来のセキュリティ対策が目指していた“防ぐこと”に加え、“知ること”、“戻せること”を考慮して対策を施す必要があると説明する。

「初期のランサムウェアは、プライマリデータを暗号化する攻撃が主流でしたが、最近ではバックアップデータの破壊をもくろむ攻撃も増加。さらに今後は、データを盗み出すランサムウェアが増加してくると考えられています。このため、バックアップデータへの攻撃に対する防御を考慮したセキュリティ対策を講じることが重要です。具体的には、ハードウェアの冗長化や論理的なコピー（クローン）の仕組みといった従来のデータロスト対策に加えて、データマネジメントに内包されるデータセキュリティの機能を実装するのが有効で、これらをトータルでカバーするのがCohesityのデータマネジメントソリューションになります」（伊東氏）

マルチクラウドデータプラットフォームである「Cohesity Helios」を中心に構成されるCohesityのデータマネジメントソリューションは、分散ファイルシステム＋HCIのスケールアウトアーキテクチャを活用してデータマネジメントの一元化を実現する。その機能は多岐にわたり、データセキュリティ領域ではデータプロテクトやバックアップ、ファイルサービス、クラウド連携、テスト・開発環境向けクローンコピー、災害対策といった機能を搭載。「保護」「検知・特定」「復旧」といったデータセキュリティの領域を網羅しており、前述した“防ぐこと”、“知ること”、“戻せること”のすべてに対応する。

「Cohesity上で取られたバックアップデータやファイルサーバーで取得したスナップショットは誰であっても書き換えできないイミュータビリティ（不変性）を備えています。暗号化、データロック、アクセス権限といった機能も搭載されているほか、AirGapというデータを遠隔に置いて隔離する技術も実装しています。バックアップ時にはメタデータ（統計情報）も取得しており、日々の変化率や過去のパターンとの比較を機械学習で分析し、ランサムウェアの感染を迅速に検知。さらにスナップショットによりバックアップの世代を管理しており、リストアしたいイメージを選択するだけで、ユーザーはすぐに仮想マシンにアクセス可能。一般的なバックアップと比べて業務を再開するまでの時間が圧倒的に短く、ランサムウェア感染による影響を最小限に抑えられます」（伊東氏）

セッション後半では、実際にCohesityのデータマネジメントソリューションを導入し、ランサムウェアの攻撃を受けた企業が身代金を払うことなくリストアに成功した事例も紹介。「ランサムウェアの影響範囲が拡大し、バックアップデータの破壊やデータ盗用への対応が求められるようになった現状において、Cohesityのデータマネジメントソリューションは、企業のデータを守る“最後の砦”となるはずです」と伊東氏は語り、講演を締めくくった。

「データの復旧」「データ漏えいの有無」「原因追求と根絶」をカバーするアフターランサムウェアソリューション

丸紅情報システムズ株式会社
IT基盤ソリューション事業本部
事業推進部長　岩佐 大樹氏

伊東氏の講演に続いて登壇したのは丸紅情報システムズ IT基盤ソリューション事業本部 事業推進部長 岩佐 大樹 氏。「ランサムウェア対策の現実解！～シナリオから想定するソリューションのご提案～」をテーマに、ランサムウェア対策における有効なアプローチが紹介された。

「現在のセキュリティ対策技術では、ランサムウェアをはじめ、多様化・複雑化したサイバー攻撃を100％防ぐことはできません。このため、ランサムウェア対策を考えるうえでは、感染してしまった場合のアフター対策までを視野に入れる必要があります」（岩佐氏）

岩佐氏は、2011年の東日本大震災後に事業継続計画（BCP）の需要が高まり、計画・訓練・実施の見直しを図る企業が増加したことを例に、ランサムウェア対策においても感染を想定した準備を行うことが重要と話を展開。多くの企業がサイバーセキュリティ対策の指針として活用しているNISTのサイバーセキュリティフレームワークのコア機能である「防御」「検知」「対応」「復旧」を踏まえ、アフター対策のポイントとして「データの復旧」「データ漏えいの有無」「原因追求と根絶」の3つを挙げる。

「データ復旧」では、バックアップの範囲と頻度をどう定めるかが重要になると岩佐氏。ワークロードの重要度によって判断するのも有効とアドバイスする。さらに管理者権限が乗っ取られる事態を想定して、バックアップファイルのアクセス権を設定することや、ランサムウェアに感染していない状態に戻すための復旧ポイントの見極めも必要と解説する。

「データ漏えいの有無」を確認するには、ログの取得が不可欠。岩佐氏は「ファイアウォールの許可ログなど、データ漏えいの証拠となるログを確実に取っておくための準備をしておくことが大切です」と語り、ログを削除して痕跡を消しにかかる脅威に対しては、インターネット出入口のログ監視が有効と説明する。

「原因追及と根絶」に関しては、CSIRTのような自社組織を立ち上げたり、サイバーセキュリティの専門業者に依頼したりといった準備が効果的と岩佐氏。セッション後半では、これら3つのポイントの準備・対策をソリューション化した「MSYS アフターランサムウェアソリューション」が紹介された。

「MSYS アフターランサムウェアソリューションは、当社がランサムウェアのアフター対策のポイントと考える「データの復旧」「データ漏えいの有無」「原因追求と根絶」をカバーします。前のセッションで解説されたCohesityのソリューションを組み込み、クラウド型のログ取得により確実な証跡確保を実現。取得・保全したログは即座に専門チームに送られ、フォレンジック分析が実行されます。分析にかかる費用はサイバー保険でカバーされるため、計画コストの範囲内で即時対応が可能になります」（岩佐氏）

• 
  伊東氏、講演の様子。講演時にはマスクを着用

2つのセッションから、多様化・複雑化して攻撃範囲を広げるランサムウェアへの対策手法が解説された本セミナーでは、これからのセキュリティ対策における指針が示されていた。Cohesityが展開するデータマネジメントソリューションと、その機能を取り入れたMSYS アフターランサムウェアソリューションは、ランサムウェア対策のベストプラクティスとなるはずだ。

[PR]提供：丸紅情報システムズ