それ、レプリケーションでよろしく。UDPともども。

ポイント１
バックアップデータの確認と復元

侵入者が業務データを暗号化する前にバックアップデータを発見した場合、まずこれを削除/破壊します。Arcserve UDPのバックアップデータはImmutableストレージのArcserve OneXafeに一次（直接）バックアップすることも、二次（レプリケート）バックアップすることもできます。

もしバックアップデータが攻撃者に発見されたとしても、Arcserve OneXafeなら攻撃者がアクセスできない領域にスナップショットとしてバックアップデータを保護しているので、バックアップデータが削除されたとしても、スナップショット領域から短時間でバックアップデータを復元することができます。

参考情報
Arcserve UDP & OneXafe 連携ガイド（プライベート OneSystem編）
※ バックアップデータのスナップショットからの復旧手順については上記URL資料のP. 56「6. ランサムウェア攻撃からの復旧」に記載しています。

ポイント2
バックアップサーバ（Arcserve UDPのインストール先）の復旧

業務サーバの復旧にはArcserve UDPを使用しますが、バックアップサーバ自身も被害を受けている可能性があります。上記URL資料ではバックアップサーバをOSからフレッシュインストールする手順で説明していますが、バックアップデータを除くArcserve UDP自身のバックアップを取得しておく方法も有効です。例えばArcserve UDP自身のバックアップだけはUDP側で重複排除を無効化して、Arcserve OneXafeの共有フォルダにバックアップしておけば、バックアップサーバ自身が被害を受けても、ベアメタル復旧による簡単操作でバックアップサーバを復旧できます。

参考情報
Agent 環境構築ガイド (インストールからベアメタル復旧の手順)
※ベアメタル復旧によるサーバの復旧操作は、上記URL資料の 38「5.2 ベアメタル復旧の実行」に記載しております

Arcserve UDP コンソールをバックアップする 3 つの方法 - 方法2 : Arcserve UDP Advanced Edition でバックアップする

ポイント3
バックアップデータのインポート

バックアップサーバを復旧した後は、Arcserve OneXafeで業務サーバのバックアップデータを含むスナップショットを共有フォルダとして復旧し、Arcserve UDPにインポートすることで、削除されたバックアップデータの復元が完了します。この後はArcserve UDPのリカバリ機能を使用し、暗号化されたサーバを復旧していきます。

ポイント4
ランサムウェア被害を受けた環境で、安全なバックアップデータを特定する

ランサムウェア被害を受けた環境では、業務データを暗号化する実行ファイルやマクロ、パスワードを盗むツールといった危険なツールが潜伏している可能性があります。これらはアンチマルウェアなどでシステムファイルに偽装したファイルを検知し駆除、もしくはこれらのファイルが存在しないバックアップ世代を特定する必要があります。

しかしバックアップデータのままでは、このような悪意のあるファイルを検知することができないので、ネットワークが隔離された安全な環境にバックアップデータをリストアし、これをアンチマルウェアなどで検査する必要があります。しかしデータ量が多い環境ではリストア時間も掛かるため、このような方法は現実的ではありません。そこで活用いただきたいのが仮想環境とArcserve UDPのインスタントVMです。

インスタントVMで作成された仮想マシンは、仮想ディスクとしてバックアップデータに透過的に直接アクセスできる仕組みを持ちます。つまりMicrosoft Hyper-VやVMware vSphereのような仮想環境さえあれば、バックアップデータにアクセス可能な仮想マシンをリストア不要で構築できます。その上、仮想スイッチで隔離されたネットワーク環境に仮想マシンを展開することもできるので、感染の可能性のあるバックアップデータも、安全に感染チェック用のVMとして起動させることができます。さらに同一サーバから取得した複数世代のバックアップデータを、異なるVMにそれぞれマウントして並列稼働させることもできます。この機能を使用すれば感染ファイル検知の大幅な時間短縮を行うことができます。

ポイント5
環境全体を被害前の状態に復旧する

チェックを終えたバックアップデータを使用してファイルリストアやシステム復旧を行います。一時な利用であればチェック済のインスタントVMを、社内ネットワークに繋がる仮想スイッチに接続して代替運用することも可能です。但し、インスタントVMは、バックアップデータを直接仮想ディスクとしてマウントする仕組みなので、そのまま長期運用するには不向きです。インスタントVMは縮退された代替VMの前提で利用し、本番環境としては「ベアメタル復旧」や「VMの復旧」などの方法で復旧することを推奨します。

以上のような各ポイントで説明した機能を使用して、ランサムウェア被害を受けた環境でも、Arcserve OneXafe + Arcserve UDP なら、安全で手間なく復旧できることをご説明しました。

Arcserve UDPに関しては、弊社セミナールームで実機操作で試せる無償ハンズオンセミナーの参加お申込みや、自席でいつでもセミナー動画を閲覧することも可能です。詳しくは以下のページをご参照ください。
Arcserve イベント/セミナー

Arcserve OneXafeやArcserve UDP に関する技術的な情報はカタログセンターにも多くの情報を掲載しています。カタログや紹介資料、事例についてはカタログセンターをご参照ください。
カタログセンター