ランサムウェアに備えるバックアップの取り方と復元テスト

バックアップがあっても復旧できない理由

ランサムウェアに感染した会社が「バックアップは取っていたのに戻せなかった」となる例は多くあります。原因の大半は、バックアップの保存先が、感染したパソコンやサーバーから書き込める場所にあったことです。

ランサムウェアは、感染したパソコンから見えるドライブを順に暗号化します。共有フォルダー、ネットワークドライブとして割り当てた NAS、常時接続している外付けディスクは、すべて「見えるドライブ」です。さらに最近の攻撃では、侵入者が数日から数週間かけて社内を調べ、バックアップのサーバーや管理画面を見つけて先に消してから暗号化を始めます。

ランサムウェアに備えるバックアップの条件は、感染したパソコンから消せない場所にあることです。

3-2-1 の考え方

バックアップの基本として広く使われているのが 3-2-1 です。

• データのコピーを3つ持つ(元データと、バックアップ2つ)
• 2種類の異なる媒体に保存する(例: NAS と クラウド、NAS と外付けディスク)
• そのうち1つは別の場所に置く(社外、またはクラウド)

3-2-1 はもともと、ディスクの故障や火災に備える考え方です。ランサムウェアを相手にするときは、これに「1つは社内ネットワークから切り離されているか、書き換えられない状態にする」という条件を加えます。

社内ネットワークから切り離す方法

少人数の会社で現実的な方法は、次の3つです。

外付けディスクを交代で使う

外付けディスクを2台用意し、週1回など決まった日にバックアップを取ったら、パソコンから外して鍵のかかる場所に保管します。次の週はもう1台を使います。1台は常に外れているので、感染しても少なくとも1週間前の状態は残ります。

費用は安く、仕組みも単純です。弱点は、人が外し忘れることです。外し忘れたディスクは常時接続と同じなので、担当者と曜日を決め、作業の記録を残します。持ち出し先で紛失したときのために、ディスクは暗号化しておきます。

クラウドのバックアップで、削除の保護を有効にする

クラウドストレージやクラウドのバックアップサービスの多くには、保存したデータを一定期間は削除も上書きもできなくする機能(イミュータブル、オブジェクトロックなどと呼ばれます)や、削除したデータを一定期間取り戻せる機能があります。これを有効にしておくと、攻撃者がバックアップの管理画面に入っても、保護期間中のデータは消せません。

クラウドのバックアップ用アカウントは、普段の業務で使うアカウントと分け、二要素認証を必ず設定します。業務用のパソコンにそのパスワードを保存しないことも条件です。管理画面に入られた時点で、設定を変えられてしまうからです。

バックアップ専用の機器を、業務ネットワークから分ける

バックアップを受け取る機器(NAS など)を、業務用パソコンから共有フォルダーとして見えない設定にし、バックアップソフトだけが専用のアカウントで書き込む形にします。NAS の多くにはスナップショット機能があり、これを使うと、ファイルが暗号化されても数時間前や前日の状態に戻せます。スナップショットの削除には NAS の管理者権限が必要なので、管理者パスワードは業務で使うパスワードと分けます。

この方法は外付けディスクより手間が少なく、復元も速い一方、NAS の管理画面に侵入されると消されます。外付けディスクかクラウドのどちらかと組み合わせてください。

NAS への同期はバックアップではない

よくある誤解が、パソコンのフォルダーを NAS やクラウドストレージと同期していれば安心、というものです。

同期は、片方で起きた変更をもう片方にそのまま反映する仕組みです。パソコン上のファイルがランサムウェアに暗号化されると、暗号化されたファイルが NAS やクラウドにも同期されます。誤って削除したときも同じで、削除が同期先に伝わります。

同期サービスの中には、過去の版を一定期間残す機能があるものもあります。それを使えば戻せる場合はありますが、保存期間や対象を確認していなければ当てにできません。同期は、複数の場所で同じファイルを使うための仕組みです。過去の版を残す機能は、あれば助かるおまけとして扱ってください。

世代管理

バックアップは、最新の1つだけでは足りません。侵入から暗号化までに時間がかかる攻撃では、直近のバックアップに既に侵入者の仕掛けが入っていたり、気づかないうちに壊れたファイルがバックアップされていたりします。

少人数の会社なら、次のような持ち方が扱いやすい形です。

• 毎日のバックアップを7日分
• 毎週のバックアップを4週分
• 毎月のバックアップを3〜12か月分

保存容量は増えますが、多くのバックアップソフトは前回からの差分だけを保存するので、単純に日数倍にはなりません。どこまで遡れれば業務を再開できるかを、経理の月次締めや決算の時期を基準に決めます。

何をバックアップするか

ファイルサーバーや NAS の共有フォルダーは、多くの会社で対象になっています。漏れやすいのは次のものです。

• 会計ソフトや販売管理ソフトのデータ(パソコンにインストールする型のもの)
• 各自のパソコンのデスクトップやドキュメントに置かれた業務ファイル
• メール(パソコンのメールソフトにだけ保存している場合)
• Web サイトのファイルとデータベース
• 複合機やネットワーク機器の設定

クラウドの業務サービス(Google Workspace や Microsoft 365 など)のデータは、サービス側が機器の故障に備えて保存していますが、利用者が削除したデータや、乗っ取られたアカウントで消されたデータを長期間戻せるとは限りません。各サービスの削除済みデータの保持期間を確認し、重要なものは別に書き出しておきます。

復元テストのやり方

バックアップの価値は、戻せるかどうかで決まります。戻せると思い込んでいたバックアップが使えなかった場合、身代金を払うかどうかといった判断を、準備のないまま迫られます。

少なくとも年に1回、できれば四半期に1回、次の手順で試します。

1. 復元する対象を決める(例: 経理フォルダー全体と会計ソフトのデータ)
2. 本番とは別のパソコンか別のフォルダーを用意する
3. 一番新しいバックアップと、1か月前のバックアップの両方から戻す
4. 戻したファイルをいくつか開き、壊れていないか、日付が想定どおりかを見る
5. 会計ソフトのデータは、実際にソフトで開いて帳簿が表示されるか確かめる
6. 作業にかかった時間を記録する

6番目が大事です。全データを戻すのに丸2日かかると分かれば、その間の業務をどうするかを先に考えておけます。外付けディスクから数百GBを戻すと、数時間から半日はかかります。クラウドからの復元は回線の速さに左右され、さらに時間がかかることがあります。

テストの結果は日付と担当者を書いて残します。バックアップを取る担当者と、復元を試す担当者を別の人にすると、手順書が担当者の頭の中にしかない状態を防げます。

感染したときの最初の判断

感染に気づいたら、感染したパソコンを LAN ケーブルを抜く、Wi-Fi を切るなどしてネットワークから外します。電源は切らずにおくと、後で原因を調べる材料が残ります。

外付けディスクのバックアップは、感染したパソコンにはつながないでください。復元先のパソコンを初期化したうえで、そこにつなぎます。攻撃者がまだ社内のネットワークに残っている可能性があるため、復元は侵入経路を塞いでから行います。

自社の状態を確かめる

バックアップの有無や保管のしかたは、組織の自己診断の設問で確認できます。顧客データを扱う会社は、顧客データの自己診断で、顧客情報のバックアップと保管場所もあわせて点検してください。

確認に使えるツール

• 組織の自己診断: バックアップと復旧の備えを設問で点検します
• 顧客データの自己診断: 顧客情報の保管とバックアップを点検します
• パスワード生成: バックアップ用アカウントと NAS 管理者のパスワードを作ります