データ保護企業のIndex Enginesによると、データ復旧チームはより厳しい試練に直面している。同社は、新しいランサムウェアがファイルを完全に暗号化せずに破損させることが多いと指摘している。これは些細な技術的違いのように聞こえるが、復旧の仕組みを変えてしまう。バックアップに頼っている人にとって、ランサムウェアによるデータ破損とバックアップは今や理解しておく価値のある組み合わせだ。

元のレポートは簡潔であるため、本記事はIndex Enginesが述べた内容に限定し、ファイルの損傷とバックアップの実践がどのように機能するかについて一般的な背景を補足する。仕組みを説明する箇所では、レポートの主張ではなく、一般的な技術的論理を述べている。

なぜランサムウェアは暗号化ではなくファイルを破損させるのか

レポートはこの傾向を述べているが、入手可能な要約ではその背後にある動機を詳しく説明していない。攻撃者が完全な暗号化よりも破損を好む理由を説明するのに役立つ一般的な点がいくつかある。

すべてのファイルを完全に暗号化するには時間とコンピューティングリソースがかかる。ファイルの一部だけを損傷させたり、データを使用不能な方法で上書きしたりする方が迅速でありうる。また、発見されにくくすることもできる。多くの防御は、ファイルの名前変更や身代金要求メモの出現など、大量暗号化の見慣れたパターンを探すように調整されている。通常のファイルエラーのように見える損傷は、最初はあまり注目を集めないかもしれない。

被害者にとっての実用的な帰結もある。ファイルが暗号化されている場合、復号キーで復元できることがある。ファイルが破損している場合、復号すべきものが何もない可能性がある。唯一信頼できる復旧経路はクリーンなコピーである。

部分的な破損がデータ復旧に意味するもの

Index Enginesは、その結果として復旧チームがより困難な作業に直面すると述べている。理由は単純である。通常の復旧の前提が崩れるのだ。

  • ファイルは存在するように見えても使用不能な場合がある。 文書が存在し、通常のサイズを表示していても、開くことができないことがある。
  • 損傷がバックアップに広がる可能性がある。 バックアップソフトウェアが破損したファイルを定期的にコピーすると、良好なバージョンが時間の経過とともに不良なものに上書きされる可能性がある。
  • 範囲の測定がより困難になる。 完全な暗号化では、何が影響を受けているかが明確である。部分的な破損では、チームは各ファイルを確認しない限り、どのファイルが損傷し、どれが無傷かを把握できない場合がある。

最後の点が最も重要である。バックアップは、どの復元ポイントがクリーンかを把握している場合にのみ有用である。その知識がなければ、復旧は遅い試行錯誤になりかねない。

破損攻撃からバックアップを保護する方法

目標は、攻撃者が到達または変更できない、少なくとも1つのクリーンで手つかずのデータコピーを保持することである。いくつかの習慣が、個人や小規模組織の実現を助ける。

バージョン管理されたバックアップを保持する。 バージョン管理は、最新のものだけでなく、ファイルの複数の履歴コピーを保存する。今日のバージョンが破損しても、昨日や先週のものはまだ無事かもしれない。保持期間を十分に長く設定し、ゆっくりとした静かな損傷が、気づく前に良好なコピーを期限切れにしないようにする。

オフラインまたは切断されたコピーを保持する。 常に接続されているバックアップドライブは、コンピュータに到達するものなら何でも到達できる。各バックアップ後に切断されるドライブをローテーションすることで、その露出を制限できる。

可能な限りイミュータブルストレージを使用する。 イミュータブルバックアップは、管理者アカウントであっても、設定された期間変更または削除できない。これにより、暗号化と破損の両方に耐性がある。 ランサムウェアに対する最後の防衛線としてのイミュータブルバックアップに関する解説では、この仕組みと、攻撃者が今や復旧システムを直接標的にする理由を説明している。

認証情報を分離する。 バックアップシステムは、日常的なアカウントと同じログインを共有すべきではない。攻撃者が日常使用のアカウントを乗っ取った場合、自動的にバックアップへのアクセス権を得るべきではない。

バックアップだけでなく、復元をテストする。 成功を報告するバックアップジョブは、データがコピーされたことだけを伝える。定期的にファイルのサンプルを復元して開く。これが、データが必要になる前に静かな破損を捉える最も簡単な方法である。

予期しないファイル損傷の初期警告サイン

破損は暗号化よりも静かな場合があるため、早期発見が重要である。以下のようなサインに注意する。

  • ファイルが突然開けなくなったり、エラーを表示したりする。特に一度に複数発生する場合
  • 文書、写真、データベースが開くが、内容が文字化けしていたり欠落していたりする
  • 多くのファイルにわたるファイルサイズや変更日の原因不明の変化
  • バックアップジョブが通常より明らかに長くまたは短くかかる、または警告を報告し始める
  • 誰もシステムを集中的に使用していないのに、異常なディスク活動や速度低下が発生する

組織は、短時間に多数のファイルが変更されたときに警告する監視を追加できる。個人は、重要なフォルダをスポットチェックし、バックアップソフトウェアの通知を無視せずに読むことで、その利点の多くを得ることができる。

損傷が疑われる場合は、影響を受けたデバイスをネットワークから切断し、良好なバージョンを不良なもので上書きする前にバックアップジョブを停止する。その後、最後に確認されたクリーンな復元ポイントを特定する。

これがあなたにとって意味するもの

Index Enginesのレポートは、復旧計画がランサムウェアは常に身代金要求メモとロックされたファイルで自らを知らせるとは仮定できないことを思い出させる。損傷が部分的で静かな場合、バックアップの品質がどれだけ復旧できるかを決める。

家庭ユーザーにとっては、重要なもののコピーを複数持ち、少なくとも1つをオフラインで保持することを意味する。小規模組織にとっては、バージョン管理されたイミュータブルなコピー、バックアップシステム用の別個の認証情報、定期的な復元テストを意味する。これらのいずれも大きな予算を必要としないが、何か問題が起きる前に注意を払う必要がある。

要点：今週、バックアップ設定を見直そう

  • バックアップが最新コピーだけでなく複数のバージョンを保持していることを確認する。
  • 最も重要なデータのオフラインまたは切断されたコピーを追加する。
  • 重要なバックアップにはイミュータブルストレージを検討する。
  • バックアップからいくつかのファイルを復元し、正しく開くことを確認する。
  • バックアップの警告と予期しないファイルエラーに注意を払う。

ランサムウェアによるデータ破損とバックアップは、いくつかの意図的なステップで備えられる問題である。今週時間を取って設定を確認し、依存するシステムを保護するより深い理解のためにイミュータブルバックアップガイドを読んでほしい。