一度も試したことのないバックアップは、バックアップではない
ランサムウェアの集団が最初に狙うのはバックアップです。復旧できれば交渉材料が消えるからです。多くの組織は、自分の復旧時間をインシデントの最中に初めて知ります。
One stopwatch, nothing else
A single mechanical stopwatch on a seamless bone-white surface, viewed slightly from above. Vast empty space around it. Nothing else in frame.
2400×1350 · WebP · <350KB
当社がランサムウェア対応に付き添ったすべての組織に、バックアップはありました。違いはそこではありません。違いは、いつもの担当者が不在で、ドメインコントローラも暗号化されている状況で、そのバックアップから実際に復旧したことがあるかどうかです。
攻撃者は意図的にバックアップを狙う
現代のランサムウェア運営者は、たまたまファイル共有を暗号化した日和見犯ではありません。彼らはまずネットワーク内に数日潜み、最初の標的の一つがバックアップ基盤です。復旧できる顧客は身代金を払わないからです。スナップショットを削除し、リポジトリを破壊します。バックアップサーバがドメイン参加していて、サービスアカウントがドメイン管理者なら、あなた自身の認証情報でそれを行います。
ドメイン管理者権限を持つ攻撃者にバックアップを削除できるなら、それはバックアップではありません。単なるコピーです。
3-2-1-1-0 と、誰もが飛ばす桁
- データのコピーを 3 つ
- 異なる媒体を 2 種類
- 遠隔地に 1 つ
- 改ざん不可またはエアギャップのコピーを 1 つ。完全な制御権を得た攻撃者でも消せない、オブジェクトロック付きストレージ
- 復旧検証のエラーは 0
最後のゼロが落ちるのは、それだけが購入ではなく継続的な努力を要求するからです。それ以前はすべてアーキテクチャです。最後の一桁は習慣です。
本当の復旧テストとは
成功を報告したバックアップジョブのことではありません。隔離されたインフラへの、本当に重要なシステムの、時間を計った実際の復旧。しかも構築した本人以外が実施すること。同時に三つを試しています。データが健全であること、手順書が正確であること、そしてチームの普通のメンバーがそれをたどれることです。
手順書は印刷して実施してください。本物のインシデントでは、wiki が暗号化され、SSO が落ち、パスワード管理システム自体が復旧対象になっているかもしれません。
即答できるべき数字
システムの階層ごとに、どれだけのデータ損失を許容できるか（RPO）、どれだけの停止に耐えられるか（RTO）、そして別途、実際に測定した復旧時間。後者二つの差があなたの実際のエクスポージャーであり、この記事で唯一取締役会に持っていく価値のある数字です。
当社が評価した組織の多くで、この差は 3 倍以上でした。技術が間違っていたからではありません。アプリケーションサーバより先に Active Directory を復旧するのに何時間かかるかを誰も数えておらず、遠隔地コピーの復旧経路が 1 テラバイトの転送に 11 時間かかることに誰も気づいていなかったからです。