1.
ランサムウェア対策 "最後の砦"
データ保護からみる感染対策セミナー
5/17(火) 15:00～

2.
クライムとは
• 主な事業内容
ソフトウェアの販売とサポート
海外ソフトウェアの日本語対応
• 弊社製品サイト
https://www.climb.co.jp/soft/
• お問い合わせ
東京：03-3660-9336
大阪：06-6147-8201
https://www.climb.co.jp/soft/contact/contact.php
2

3.
ランサムウェアとは？
Ryuk(リューク)
WannaCry(ワナクライ) Phobos(フォボス)
Sodinokibi(ソディノキビ)
・ファイルやストレージを暗号化するために、
悪意をもって開発されたマルウェア
→元に戻すことと引き換えに高額な身代金を要求
Emotet(エモテット)

4.
ランサムウェアの攻撃手口
• ランサムウェア攻撃は、より頻繁、より巧妙に
• 身代金の要求額が上昇している
• データシステムの複雑化に伴い、攻撃後のダウンタイムが増加
• バックアップデータを削除し、復旧できない状態に
© 2022 Climb Inc. 4
初期侵入 内部活動
データ
持ち出し
ランサム
ウェア実行
（暗号化）
身代金要求
潜伏期間 発覚

5.
バックアップシステムのリスク
• バックアップデータが暗号化／削除される恐れ
• どのスナップショット（バックアップデータ）から
復旧すれば良いか分からない
• 感染したデータによる再感染や封じ込めの策が不足
© 2022 Climb Inc. 5

6.
データ保護からみるランサムウェア対策
1. クラウドのイミュータブルポリシーによる対策
2. Veeamによる対策
3. Druvaによる対策
© 2022 Climb Inc. 6

7.
データ保護からみるランサムウェア対策
1. クラウドのイミュータブルポリシーによる対策
2. Veeamによる対策
3. Druvaによる対策
© 2022 Climb Inc. 7

8.
イミュータブルポリシー
• イミュータブル（Immutable）=書き換え不能
• AWSやAzureのオブジェクトストレージで有効化
• 一定期間、データの変更、削除ができない不変ストレージに
© 2022 Climb Inc. 8

9.
バックアップを書き換え不能に
© 2022 Climb Inc. 9
VMware/Hyper-V/AWS/Azure間の
リアルタイムレプリケーションとバックアップ
AWS上のEC2インスタンスやRDSを
高速バックアップ、リストア
Kubernetes環境の
バックアップとモビリティ

10.
バックアップを書き換え不能に
© 2022 Climb Inc. 10
VMware/Hyper-V/AWS/Azure間の
リアルタイムレプリケーションとバックアップ
AWS上のEC2インスタンスやRDSを
高速バックアップ、リストア
Kubernetes環境の
バックアップとモビリティ

11.
データ保護からみるランサムウェア対策
1. クラウドのイミュータブルポリシーによる対策
2. Veeamによる対策
3. Druvaによる対策
© 2022 Climb Inc. 11

12.
Veeam Backup & Replicationとは
レプリケーション
バックアップ
Veeamインストール要件
・Windows 64bitマシン
・物理/仮想問わず
・Microsoft SQL Server
(SQL 2016 Expressバンドル)
・Microsoft .NET Framework
レプリケーション
Windows
Linux
AWS/Azure
GCP

13.
Veeamによるランサムウェア対策
1. バックアップの保持手法
2. バックアップデータの健全性確認
3. ランサムウェア事前検知
© 2022 Climb Inc. 13

14.
Veeamによるランサムウェア対策
1. バックアップの保持手法
2. バックアップデータの健全性確認
3. ランサムウェア事前検知
© 2022 Climb Inc. 14

15.
Hardened Repository(堅牢化リポジトリ)
バックアップ 攻撃
不変性
ランサムウェア
変更不可
Linuxリポジトリ
（保存先）
 Linuxリポジトリ(保存先)の不変設定
→ランサムウェア等による暗号化や削除を防ぐ
 シングルユース(使い捨て)認証情報の使用
→リポジトリへ接続する認証情報をVeeamで保存しない
 SSHプロトコルへの依存なし
→導入時とアップデート時のみSSH接続を使用

16.
クラウドへのアーカイブ
 クラウドオブジェクトストレージへバックアップをアーカイブ
→オンプレミス環境に何かあってもクラウド保存データから復旧
 VPN等の構成不要
→クラウドアーカイブはhttps通信で実施可能。インターネット接続さえできればOK
 Amazon S3(互換)でのイミュータブル化(不変性)
→不変性設定が可能
バックアップ
1次バックアップリポジトリ
クラウドアーカイブ
Azure
オブジェクトストレージ

17.
テープへのアーカイブ
バックアップ テープバックアップ
 1次バックアップデータを2次バックアップとしてテープへ保存
→運用環境に何かあってもテープから復旧
外部保管
１次バックアップリポジトリ
テープデバイス

18.
Veeamによるランサムウェア対策
1. バックアップの保持手法
2. バックアップデータの健全性確認
3. ランサムウェア事前検知
© 2022 Climb Inc. 18

19.
SureBackup -隔離環境へのリストア-
 隔離環境に実際にVMを起動させることでバックアップの健全性保証
→バックアップ実施後に自動的に実施させることも可能
 自動的なウィルススキャンの実施
→ランサムウェアの脅威を排除
 任意のスクリプト実行
→サービスやアプリケーションの状態チェックも
リストア
Virtual Lab
隔離環境
バックアップリポジトリ

20.
セキュアリストア -ウイルススキャン-
リストア
バックアップリポジトリ
ウィルススキャン
 リストア前にバックアップをウィルススキャン
→最新のウイルス定義による未知のウイルスへの対応
 感染が検出されたら・・
→その時点でリストアを中止
→ネットワークに接続せずにリストア
 Windows OSのみ使用可能
→Linuxなどの他のOSは不可
注意事項

21.
Veeamによるランサムウェア対策
1. バックアップの保持手法
2. バックアップデータの健全性確認
3. ランサムウェア事前検知
© 2022 Climb Inc. 21

22.
Veeam ONEによる監視
 姉妹製品の監視ツールVeeam ONEを使用
→監視による不自然なアクティビティの検知
 仮想環境のリソース状況の監視
→通常に比べCPUの使用状況、データストアI/O、
ネットワーク転送率等が高い場合にアラーム
 Veeam Backup & Replication保護データの監視
→バックアップの差分データに
異常な変化が発生していないかレポート
ランサムウェアアクティビティに関するアラーム設定
バックアップデータ推移のレポート

23.
Veeamによるランサムウェア対策
1. バックアップの保持手法
クラウド、テープ、Linux不変ストレージでバックアップを保護
2. バックアップデータの健全性確認
隔離環境でバックアップの復旧可能性を確認
3. ランサムウェア事前検知
リソースの高騰や不自然なアクティビティを監視
© 2022 Climb Inc. 23

24.
データ保護からみるランサムウェア対策
1. クラウドのイミュータブルポリシーによる対策
2. Veeamによる対策
3. Druvaによる対策
© 2022 Climb Inc. 24

25.
Druva inSync/Phoenix
© 2022 Climb Inc. 25

26.
ランサムウェア保護向けの多層防御
• データの完全性と可用性
• 運用面のセキュリティ
• リカバリの迅速化
© 2022 Climb Inc. 26

27.
データの完全性と可用性
• エアギャップのあるバックアップ
• ランサムウェアはDruva環境上で実行できない
• 多要素認証
• ランサムウェアは盗んだ認証情報を使って暗号化や削除できない
• 遅延削除
• データが削除されたとしても、一定期間は復旧可能
© 2022 Climb Inc. 27

28.
運用面のセキュリティ
• Druvaがセキュリティを代行
• 脆弱性スキャンと侵入テスト
• 定期的なパッチ適用とアップグレード
• Druva開発者は自社運用環境へのアクセスが制限される
• 専任のSecOps担当者
• 24時間365日の環境/脅威の監視とレスポンス
© 2022 Climb Inc. 28

29.
リカバリの迅速化
© 2022 Climb Inc. 29
隔離
マルウェア拡散を防止
異常データ操作
攻撃期間と異常なデータセットを識別
リカバリ時のスキャンと
キュレートスナップショット
クリーンかつ感染していない
データでリカバリ

30.
キュレートスナップショット
© 2022 Climb Inc. 30
ファイル1 v1
ファイル2 v1
ファイル3 v1
v2
v2
v1
v3
v2
v2
v4
v2 v3
日次
バックアップ
2日 3日 4日 5日 6日 7日
攻撃前の時点から復旧
攻撃後に作成されたデータは
復旧されない
・ファイルが徐々に暗号化
・攻撃前の時点に一括で復旧すると正常なデータも失われる

31.
キュレートスナップショット
© 2022 Climb Inc. 31
ファイル1 v1
ファイル2 v1
ファイル3 v1
v2
v2
v1
v3
v2
v2
v4
v2 v3
日次
バックアップ
2日 3日 4日 5日 6日 7日
・最新の正常なファイルを検索し、単一のスナップショットに
ファイル1
ファイル2
ファイル3 v2
v4
v3

32.
ランサムウェア保護向けの多層防御
• データの完全性と可用性
AWS上で構成されたサービスのため、ユーザー環境の影響を受けない
• 運用面のセキュリティ
Druvaがセキュリティを代行、運用の負荷軽減
• リカバリの迅速化
キュレートスナップショットでクリーンかつ最新のデータ
© 2022 Climb Inc. 32

33.
まとめ
1. クラウドのイミュータブルポリシーによる対策
Amazon S3の不変ストレージを活用、S３上のバックアップを変更不可
2. Veeamによる対策
独自のLinux不変ストレージやバックアップデータの健全性確認、
ランサムウェアの事前検知も
3. Druvaによる対策
サービスならではの運用面のセキュリティ、クリーンなデータで迅速な復旧
© 2022 Climb Inc. 33

34.
お問合せ
東京：03-3660-9336
大阪：06-6147-8201
https://www.climb.co.jp/soft/contact/contact.php
使用したプレゼンはSlideShareにもアップ予定です。
https://www.slideshare.net/climb_soft/
© 2022 Climb Inc. 34