【全6回シリーズ4/6 新時代のデータ保護】

ITジャーナリスト 大西高弘

 

数年前からITセキュリティの世界で「複合防御」という言葉が頻出するようになってきた。何を「複合化」するのかというと、「マルウェアなどのセキュリティ侵害を遮断する」という手法と、「侵入された場合に被害を最小限に食い止める」手法を合わせて対策をとるということだ。何が何でも水際でシステムを守る、という発想では、セキュリティ対策としては万全とはいえない、ということは、かなり以前から専門家の間で言われてきたことである。

 

そんな矢先、ランサムウェアの被害が世界中で報告されるようになり、日本企業にも被害が出た。ランサムウェアは、OSなどの脆弱性をついてシステムに侵入する、という点では従来のマルウェアと変わらないが、データをコピーして盗みだすということはしない。データを暗号化して乗っ取り、復号キーと引き換えに金を出せ、という手法を使う。

 

しかし、言い方は悪いがこのやり口ならまだましだ。金さえ払えばデータは復号できる。もっと悪質なのは、結局金銭を払っても復号キーを渡さなかったり、中には、金銭の要求も何もせず、ただデータを破壊してしまうだけのケースや、復号手段がない暗号化をしまうケースも出現しつつある。つまり、愉快犯のような攻撃者もいるということだ。

 

サイバー犯罪者の中には、ある種の思想信条の下に攻撃相手を定めて悪事を働く者もいるようだが、それだけではなく、金銭を詐取するという目的もなく、ただ世間を騒がせたいというタイプもいる。しかも、特別なスキルがなくてもマルウェアを入手して、改良を加えてどこかに侵入させる、というケースもある。

 

ランサムウェアの「流行」のせいで、データを乗っ取り、破壊するという行為をもっと高度な技術を使って行う攻撃者も今後出てくるだろう。

 

いまの時代、企業の重要なデータは、紙で記録されていない。ほとんどが電子化されている。すべて丸のみされてしまえば、その瞬間から会社はすべての機能がストップしてしまう。

 

●「ランサムウェア対策にはバックアップしていれば大丈夫」というのは昔の話?

 

「複合防御」の考え方からすれば、ランサムウェアに侵入されてしまったときの対策をどう打つかがポイントになる。本番データが乗っ取られても、バックアップデータから復旧、またはDRサイトへ切り替えての運用をすればビジネスは継続できる。

 

しかし、この方策も実は危うい、ということが分かってきた。最近では、攻撃者は先回りしてバックアップデータやDRサイトから先に乗っ取り、あるいは破壊する手口を使うようになってきたからだ。

 

では、どうすればいいのか。

 

データ保護ソリューションに詳しい、Dell EMC(EMCジャパン株式会社)DPS事業本部 事業推進部 シニア ビジネス ディベロップメント マネージャー の西頼大樹氏は、次のように話す。

 

「まず、データの乗っ取りを防ぐには、バックアップデータへのアクセス方法を複雑・堅牢化することで、侵入「検知」から「対応」までの間、乗っ取られるリスクを抑えること。そして、データそのものを、外部からアクセスしにくい場所(条件下)に置くことです」

 

狡猾な攻撃者は、システムに侵入するとまずその全体像を把握し、バックアップデータなどの復旧手段のありかを探し当て、システム管理者に成りすますなどして、データにアクセスする。誰か1人のアカウントを乗っ取ればバックアップデータに簡単にアクセスできる体制を変え、複数の承認を得ないとデータそのものにアクセスできないようにすることで、簡単にはデータを破壊・暗号化してしまうことはできない。

 

また、バックアップデータの格納場所が常にネットワークでつながっていることは、攻撃者にとってこれほどいい環境はない。そこで、最後の砦となるバックアップデータは、やり取りをするときだけネットワークにつながり、普段は、遮断されている環境に置いておけば、リスクは大幅に軽減されるというわけだ。

 

西頼氏は、ある海外の海運会社の例を話す。

 

「その会社は大手の海運会社で、貨物管理に関わる本番システムだけでなく、バックアップデータのあるDRシステムも乗っ取られてしまいました。世界中の海で船に積んでいる荷物を一体どこに運べばいいのかもわからなくなってしまったんです。しかし、複数あるDRサイトのうち1カ所だけ、システムメンテナンスのためネットワークから遮断されていて、乗っ取られていなかった。そこでそのデータを使って事なきを得たということです。」

 

偶然とはいえ、まさに不幸中の幸いで、その会社はビジネスを復旧できたのである。ただ、このような規模のビジネス危機に直面することを考えた場合、「幸運」に頼る企業はいないはずだ。

 

●バックアップはあくまで手段、「サイバー復旧」の発想こそビジネス継続の要

 

昨今、ランサムウェアの被害が注目されているが、セキュリティ侵害はそれだけではなく、外部、内部からのさまざまな攻撃によって起こされる。「ランサムウェア対策にはデータバックアップ」という観点だけで対策を考えていくのではなく、もっと広い視野からセキュリティ対策を打つべきなのだろう。

 

「国内外の専門機関からは、ITセキュリティのフレームワークに、Recovery(復旧)という発想が重要だというメッセージが出されています。現にセキュリティの専門家がその動向をもっとも注視している米国国立標準技術研究所(NIST)は、サイバーセキュリティのフレームワークにおいて、『復旧』という機能を5大重要施策のひとつとして位置付けていますし、他の同様機関から同じようなメッセージが出始めています。」(西頼氏)

 

Dell EMCでは、すでに2015年からこの「サイバー復旧」に関するソリューションに力を入れているという。

 

まず、前述したバックアップデータへのアクセス方法を複雑化することと、データそのものを、外部からアクセスしにくい場所に置くこと、については、すでに同社ではデータ保護ストレージ「Dell EMC Data Domain」で実際に提供している。

 

アクセス方法を複雑化は、もともとData DomainにはRetention Lock機能というものがあり、これで実現できる。データの改変に関してのみ、システム管理者よりも高い権限を持ったセキュリティ管理者を複数名設定し、たとえシステム管理者、あるいはシステム管理者がアクセスを認めた人物がバックアップデータにアクセスしようとしても、そのセキュリティ管理者が認めなければ、誰もデータにアクセスや変更ができない仕組みだ。また、一度保存されたデータの閲覧はできても、改ざんできないようにすることも可能だ。

 

さらにアクセスしにくい場所にデータを置きたいというニーズについては、「エアギャップ」という仕組みがあり、Data Domainを活用してグローバルで100社以上の企業が導入している。「エアギャップ」自体は米国連邦金融検査協議会(FFIEC)が提唱したデータ転送時のみネットワーク接続を限定させる機能で、普段は利用企業のネットワークからは隔離されている。

 

DD.png                                         

※データギャップ機能の仕組み

 

「エアギャップ機能を使っても理論的には、転送時に攻撃を受ける可能性はあります。ですから、転送時間をできるだけ短くすることが大切です。Dell EMCがData Domainを前提とした理由はそこにあります。優れた重複排除機能が、転送するバックアップデータを重複排除された差分データに限定することで、接続時間≒転送時の攻撃リスクを極小化します。ケースバイケースですが、大規模なデータをバックアップしているユーザーでも、転送は一回に数分、数秒ということがほとんどです。」(西頼氏)

 

また隔離する仕組みを持つことで、隔離したData Domain内のデータを活用し、サイバー脅威に対する攻めの施策を検討することも可能になる。健全なデータの堅牢な保管・蓄積もさることながら、隔離されたバックアップデータを使い、最低限の再現環境を配備したうえでのサイバー災害対策テストの実施、隔離されたデータをオフラインでセキュリティ担当に、侵害の兆候や感染の有無を調べるテストデータとして提供することなど、応用できる範囲は多彩だ。

 

またDell EMCのテクノロジーを使うと、この仕組みを作るプラットフォームにパブリッククラウドを活用することも検討できるのがさらなるメリットだ。中核となるData Domainは、AWSやAzureでネイティブに動く仮想アプライアンス版を持っている。つまり、エアギャップで隔離するデータをクラウドに保存するという方法も検討できるのだ。また、隔離データとは別にクラウド内のData Domainアプライアンスを使ってデータの健全性を確認し、確認できたらデータを消去する形でのテストなど、低コストで「最後の砦」ともいうべきデータの健全性を保つことができる。

 

DD2.png

※クラウドを活用したバックアップデータの隔離

 

●大規模なバックアップデータをどう生かせばいいのか

 

「Retention Lock」や「エアギャップ」の機能を使った仕組みは、Data Domainでないと構築できない、というわけではない。しかし、Data DomainベースのCyber Recovery Solutionであれば、標準機能を活用することが前提となっているので、余分な構築作業などにコストをかけることなく、導入してすぐに利用開始できると西頼氏は話す。

 

「Data Domainは重複排除機能を世界で初めて備えたバックアップストレージです。もちろん、重複排除率は他社製品と比較してもトップクラス。エアギャップのメリットを最大化するには、バックアップデータの転送時間を可能なかぎり短くすることが必要なので、重複排除が重要なのです」(西頼氏)

 

バックアップデータを隔離した環境に置く、というならテープなどの別媒体を使うという手段も考えられるのではないか、と少しいじわるな質問をしてみると、西頼氏は次のように話してくれた。

 

「隔離した環境に置く、という意味でなら、そうした方法も否定するものではありません。しかしテラバイト、ペタバイト単位のデータを別媒体にとって置くという場合、果たしてそれが安全かどうか。テープ管理作業の工数負荷も考えなくてはいけないし、紛失、盗難などの心配も出てくる。それからテープには常に、メディア規格への追随や、データ自体が劣化してしまうリスクが付きまといます。そしてなによりも、そうして保存したデータを使って復旧する場合、いったいどれくらいの時間でビジネスを再開できるのか、ということも考えておくべきでしょう」

 

確かにサイバー復旧は、それが可能かどうか、だけではなく、どれくらいの時間でできるのか、ということも重要な要素だ。ディスクベースでの復旧がテープより速いのは想像がつくが、Data Domainを使えば、標準でDIA(非脆弱性アーキテクチャ)という自己修復機能が備わっているので、テープやディスクにおけるデータ破損など、リストアを実施した時にはじめて復旧できないことが判明するといった事態の事前防衛もできているという。

 

  

 

これまで、企業や組織・団体のIT担当者は、主として「このデータが盗まれたら」と考えてデータ保護関連のセキュリティ施策を講じてきた。しかし、これからは同時に「このデータが利用不可能にされたら」というケースも想定しなくてはならなくなった。

 

データを盗まれることは、損害賠償しなくてはならないこともあり、大きな損失だ。しかし、それ以上にデータが利用不可能にされることは「最大の悪夢」といえるだろう。ビジネスを動かすことができなければ、会社の存亡にかかわってくる。西頼氏によれば、海外の企業の中には、データを破壊されたことで、発覚してから数時間で倒産したケースもあるという。

  

そのような時代に入り、各ITベンダーもセキュリティについて新しいアプローチをとりつつある。たとえばDell EMCはDell Technologiesグループの一員だが、セキュリティ分野においては、同じグループ内のRSA、SecureWorksといった専業組織の技術を統合し、エンドポイントからバックアップまでデータ保護ソリューションを総合的に提供する体制を整えている。

 

ユーザーが求めるのは、オンプレミス、クラウドの区別なく効果的な「複合防御」を実践できる仕組みだ。どんな新手のサイバー攻撃が登場しても、ビジネスの継続は担保したい。その意味で、今後、「サイバー復旧」という視点は、ITセキュリティの分野でますます重要なものとなっていくだろう。

 

  

【シリーズ:新時代のデータ保護】

1回:DellEMCDNAを融合させたData Domainシリーズの最新版「Data Domain DD3300」の魅力とは?

2回:最新のデータ保護アーキテクチャを適正なコストで構築するための秘訣

3回:今後、データ保護ルールの新デファクトスタンダードになる可能性もあるEU一般データ保護規則(GDPR)

4回:サイバー対策の最新トレンド「サイバー復旧」とは何か?

5回:近日公開予定

6回:近日公開予定