それ、レプリケーションでよろしく。UDPともども。

ランサムウェア攻撃は、IT担当者にとって最も恐ろしい脅威の一つです。当ブログでもランサムウェア対策としてバックアップ データを保護する方法を繰り返し発信していますが、今回は視点を変えて、「ランサムウェア被害に遭った時にどうするか」についてのお話です。

この点については、JPCERT（※1）や IPA（※2）の Web サイトに基本的な対処策がとてもよくまとまっているので、ぜひ一度は目を通していただきたいところです。しかし、一方でこれらのサイトよりもさらに具体的な復旧方法について知りたいという声もあります。そこで、今回はランサムウェア攻撃を受けた際にやらなければいけない事のうち「復旧」に焦点を当て詳しく解説します。

なお、タイトルに「Arcserve UDP編」とありますが、他のバックアップ ソフトを使用している方にも役に立つものと考えています。さらに、いままさに復旧を試みている方だけでなく、これから対策を強化しようと考えている方もぜひお読みください。

-------------------
[目次]
# 0. 初動対応（バックアップ データの隔離と安全確認）
# 1. 二次バックアップからの復旧の検討
# 2. ランサムウェア感染したシステムをバックアップしていたらどうなる？
# 3. 感染/暗号化の確認はどう行うのか？
# 4. どこに復旧するのか？
# 5. 最後に
-------------------

PC のバックアップに無償版の Arcserve UDP（※1）を使っているのですが、先日、「デスティネーションにアクセスできません」という表示が出て、バックアップが行えないことがありました。出て来たメッセージはこんな感じ。

毎日の寒暖差が激しく、花粉や黄砂が飛散する時期ですが、皆さまいかがお過ごしでしょうか。

警視庁（マルウェア｢ランサムウェア｣の脅威と対策）にもあるように、依然としてサイバー攻撃の被害が増加傾向にあります。特に、ランサムウェアを含むマルウェアの感染経路として、VPNの脆弱性を突いた攻撃や、リモート デスクトップ（RDP）などのリモート管理ツールを悪用する手口が多く報告されています。

リモート管理ツールを通じて管理者になりすました攻撃では、エクスプローラー経由で重要なデータだけでなく、バックアップ データまでもが特定され、リカバリ不能な状態に陥る被害が発生します。

こうしたリスクを軽減する手段として、Arcserve UDP Agent for Windowsを単体で運用している環境でも活用できる「ドライブ レターを持たないボリューム」へのバックアップ保存方法をご紹介します。

ドライブ レターを持たないボリュームをバックアップの保存先とすることで、エクスプローラー上にボリュームが表示されなくなり、バックアップ データの存在を隠蔽し、攻撃の対象となるリスクを大幅に低減できます。

私ども Arcserve は法人向けのデータ保護ソリューションを販売している企業です。ここ数年「データ レジリエンス」を高めていきましょうというメッセージをお客様にお届けしていますが、お客様から「データ レジリエンスって何？」とご質問いただくこともあります。

そこで、今回はデータ レジリエンスとは何なのか、この考え方を身に着けていくことでどんな役に立つのか、を解説していきます。

# システム障害とデータ レジリエンス

下の図は、企業/組織におけるデータの活用度を表している模式図です。縦軸が活動レベルと書いてあります。これはデータがどれほど活用されているか、企業のビジネスに貢献をしているか、を表している概念的な指標だと思ってください。

普段はデータが 100% 活用されてビジネスに貢献していますが、自然災害やサイバー攻撃でシステムが停止するとデータの活用度が下がってしまいます。活用度が下がったままだと問題なので、時間をかけて復旧し、元通りの 100% に戻していきます。

今回は、ランサムウェア対策を強化する、Arcserve UDP 10.0 の新機能アシュアード セキュリティ スキャンについてです。Arcserve UDP 10.0 の発表以降大きく注目されている機能で、真剣に導入を検討されるお客様から深いご質問をいただくことも多くあります。

そこで、今回の記事では、よくいただくご質問とその回答をまとめてご紹介します。アシュアード セキュリティ スキャンの利用を検討されている方はぜひご覧になってください。

なお、アシュアード セキュリティ スキャンについては、以下の記事もあらかじめ読んでいただくと理解が深まります。

Arcserve UDP 10.0 新機能（1）：アシュアード セキュリティ スキャン

Q:マルウェア検知後、バックアップ データ（復旧ポイント）からマルウェアを削除したり、復旧ポイント自体を隔離しますか？

いいえ、マルウェアの削除や復旧ポイントの隔離は行いません。マルウェアを検知した場合、アシュアード セキュリティ ジョブは失敗扱いとなり、対象の復旧ポイントに記録が残ります。これにより、マルウェアを含む危険な復旧ポイントが把握できます。

Q:Microsoft Defender を無効にしている場合でも、アシュアード セキュリティ スキャンを利用できますか？

アシュアード セキュリティ スキャンはバックアップ対象サーバではなく、プロキシを導入する Windows Server で実施するため、該当プロキシで Microsoft Defender を有効にできれば利用できます。

Q:バックアップ対象の PC / サーバにアンチ ウイルス製品を導入しています。この場合でも、アシュアード セキュリティ スキャンを利用できますか？

はい、バックアップ対象マシンではなく、Windows プロキシ サーバでスキャンが行われます。このため、バックアップ対象マシンに導入されているアンチ ウイルス ソフトと Microsoft Defender の競合は起こりません。

Q:アシュアード セキュリティ スキャンの Windows プロキシ サーバにサード パーティのアンチ ウイルス製品を導入しても競合することはありませんか？

この場合は競合の可能性がありますので、アンチ ウイルス製品のベンダーに同居可否をご確認ください。または、Windows プロキシ サーバの保護に Microsoft Defender をご利用いただくことをお勧めいたします。

Q:アシュアード セキュリティ スキャンの Windows プロキシ サーバを Arcserve UDP 復旧ポイント サーバ（RPS）と同居させることで、バックアップ時間が長くなってしまう事はありませんか？

アシュアード セキュリティ スキャンは Windows プロキシ サーバの CPU リソースを使用するため、RPS とプロキシが同居している環境でスキャンを常に実行していると、CPU がボトルネックとなりバックアップ時間が長くなる可能性はございます。以下の記事も一つの事例としてご覧ください。

Arcserve UDP：アシュアード セキュリティ スキャン中にバックアップを実行してみた

Q:復旧ポイントサーバがアシュアード セキュリティ スキャンの Windows プロキシ サーバを兼務する場合、どの程度のスペックが必要ですか？

使用する復旧ポイントサーバのシステム要件（CPU やメモリの要件は Arcserve UDP 10.x 動作要件を参照）に以下の Windows プロキシ サーバのシステム要件を合算したサーバをご利用ください。

[Windows プロキシ サーバのシステム要件]
サーバ： Windows Server 2012 以降
CPU： 4 コア 2.2 GHz 以上のプロセッサ
RAM： 8 GB 以上

Q:古い OS を利用していますが、アシュアード セキュリティ スキャンを利用できますか？

アシュアード セキュリティ スキャンは、プロキシという代理サーバをたて、Microsoft Defender の機能を使ってウイルス スキャンを実施します。このため、プロキシを導入する Windows Server が 日本マイクロソフト株式会社のサポート対象バージョンであれば 、古い OS のバックアップ データでも最新の定義ファイルでスキャンできます。

Q:アシュアード セキュリティ スキャンで Microsoft Defender 以外のアンチ ウイルス製品を利用することはできますか？

いいえ、アシュアード セキュリティ スキャンで利用できるアンチ ウイルス ソフトは Microsoft Defender のみです。

Q:Microsoft Defender の定義ファイルの更新はどのように行いますか？

Windows Update などを利用し、定義ファイルを更新できます。

Q:アシュアード セキュリティ スキャンで、Linux 用の Microsoft Defender と連携できますか？

いいえ、アシュアード セキュリティ スキャンのプロキシとして使用できるのは Windows サーバのみです。そのため、Linux サーバをプロキシとしたり、Linux サーバのバックアップ データをスキャンすることはできません。

Q:スキャンは増分で行われますか？つまり、前回のスキャンから変更のあった部分のみスキャンされますか？

いいえ、アシュアード セキュリティ スキャンでは Microsoft Defender のフル スキャンが行われます。これは、増分バックアップで取得した復旧ポイントに対するスキャンでも同様です。

Q:スキャンにはどれくらいの時間がかかりますか？

バックアップ対象ノードのデータ量やファイル/フォルダ数、ファイル パスの深さなどにもよってスキャン時間は変わるため、一概には申し上げられません。

リストア前のスキャンが予想以上に時間がかかる、という事態を避けるため、平時にあらかじめスキャンを実行し、必要な時間を調べていただくことをお勧めします。

Q:アシュアード セキュリティ スキャンを試す方法はありますか？

30日間の無償トライアル版（評価版）をご利用いただくことでアシュアード セキュリティ スキャンをお試しいただけます。

Arcserve 製品無償トライアル

アシュアード セキュリティ スキャンの操作を知りたいという事であれば、Arcserve が開催している無償ハンズオン トレーニングの参加もご検討ください。以下のコースで、アシュアード セキュリティ スキャンの手動実行をお試しいただけます。

Arcserve UDP ＜後編＞ 災害対策、業務継続を適切なコストで実現

以上、ホテがお伝えしました。

本日は Arcserve UDP 10.0 新機能の中で最も注目されている（※1）アシュアード セキュリティ スキャンについてです。

アシュアード セキュリティ スキャンは Windows プロキシ サーバ（以下「プロキシ」と省略）が復旧ポイントをマウントして、その中にマルウェアが含まれていないかどうかをフル スキャンする機能です。

プロキシはバックアップ データをマウントしやすいように Arcserve UDP 復旧ポイントサーバ（以下、「RPS」と省略）に同居させることが多いのですが、この構成についてよくいただく質問のひとつに以下があります。

Q. アシュアード セキュリティ スキャンの Windows プロキシ サーバを RPS と同居させることで、バックアップ時間が長くなってしまう事はありませんか？

この質問への回答は、「環境によってバックアップ時間が長くなってしまう事はあります。」です。

アシュアード セキュリティ スキャンはプロキシの CPU リソースを使用するため、RPS とプロキシが同居している環境でスキャンを常に実行していると、CPU がボトルネックとなりバックアップ時間が長くなる可能性があります。

そこで、本日はアシュアード セキュリティ スキャンによってバックアップ時間がどれほど影響を受けるのか、検証してみました。

# 検証環境

用意した検証用マシンは Arcserve UDP Appliance の売れ筋モデル 9200 v2 です。プロキシと RPS を同居させるだけではなく、バックアップ対象サーバの役割も持たせ、1台3役の構成にしています。

このマシン上でアシュアード セキュリティ スキャンとフル バックアップを同時に実行し、バックアップ時間への影響を調べます。

【バックアップ対象 兼 プロキシ 兼 RPS サーバのスペック】
Arcserve UDP Appliance 9200 v2（※2）
・ CPU ： Intel Xeon Silver 4310T, 10コア 20スレッド, 2.30GHz
・ RAM ： 32 GB

【Arcserve UDP のバージョン】
Arcserve UDP 10.0　

【RPS データストアの設定】
・ デデュプリケーション ： 無効（※3）
・ 暗号化 ： 無効

【バックアップ/スキャン対象のテスト データ】
・ 8.98 GB、 3,147 ファイル
・ Arcserve UDP Appliance 9200 v2 上に S ドライブを作成し、そこにテスト データを保管。

皆様、こんにちは！

2024 年 11 月 7 日より、Arcserve UDP 10.0 の出荷が始まりました！これから 8 回にわたって、Arcserve UDP 10.0 の新機能を紹介してまいります。第１回の今回は、サイバー攻撃からの復元力『サイバー レジリエンス』を大幅強化する「アシュアード セキュリティ スキャン」について解説します。

--------------------------------------------
(1) アシュアード セキュリティ スキャン （←本日はここ）
(2) AlmaLinux 9 Live CD を使った RHEL 9 系の BMR
(3) MS SQL Server データベースのバックアップ データのマウント
(4) １対多のレプリケート
(5) アドホック仮想スタンバイを使った IaaS の保護
(6) Google Cloud への仮想スタンバイ
(7) 読み取り専用データストアのインポート
(8) その他
--------------------------------------------

Arcserve UDP が2014年に発売されて10年、今秋 Arcserve UDP 10 を、お披露目することになりました。

昨今、地震や台風といった自然災害、ランサムウェアといったマルウェアが、企業の脅威となっています。

企業には、それら脅威から被害を最小限にする力「サイバーレジリエンス」が求められています。

サイバーレジリエンス：
サイバー攻撃や災害に合うことを前提に、データの可用性、アクセシビリティ、完全性を維持したり迅速に復旧したりする能力

今回の Arcserve UDP は、節目となる（※1）メジャー バージョン「10」に相応しく、操作感はそのままにサイバーレジリエンスを実現する、強力な新機能が追加されています。

それらの新機能の詳細については、本記事以降、以下のタイトルで順次、紹介記事を掲載する予定です。

（1）アシュアード セキュリティ スキャン
（2）AlmaLinux 9 Live CD を使った RHEL 9 系の BMR
（3）MS SQL Server データベースのバックアップ データのマウント
（4）1対多のレプリケート
（5）アドホック仮想スタンバイを使った IaaS の保護
（6）Google Cloud への仮想スタンバイ
（7）読み取り専用データストアのインポート
（8）その他

記事が公開される際は、メールマガジンで順次ご案内いたしますので楽しみにしていてください。

皆様、こんにちは。
いま、データ レジリエンスにおける重要な課題としては、災害対策とランサムウェア対策の２つが真っ先に挙がるかと思います。
どちらか一方に対策すればいいというわけではなく、両方に対策をしなくてはならないのが悩ましいですよね。もちろん、導入/運用にかかる手間/コストも考慮が必要です。
今回は、Arcserve UDP のご利用を前提に、災害対策とランサムウェア対策を両立するにあたって、どういった構成があるのかを考えていきたいと思います。
これから構成を考える上での参考としていただければと思います。

皆様、こんにちは。
こちらのブログでは弊社製品の最新情報をご案内することが多いのですが、今回はちょっと趣向を変えて、Arcserve UDP登場時からの基本機能である「仮想スタンバイ」についてあらためてご紹介をしたいと思います。
というのは、この仮想スタンバイという機能、本来は災害対策のための機能として開発されたのですが、わたくし共Arcserve のスタッフの中でもノウハウが蓄積されてくるにつれ、実は災害対策以外にも様々な用途に応用ができることがわかってきました。
あらためて、仮想スタンバイの魅力についてお伝えしたいと思います。