6月5日のセッション2では、Arcserve Japanの近藤大介氏が「ランサムウェア攻撃からの早期復旧3つのポイント」と題し、ランサムウェア被害の現状と実践的なバックアップ戦略を解説した。


　警察庁のデータによると、ランサムウェア被害は高水準で推移している。しかも、被害からの復旧に1週間以上を要する企業が3分の2を占めるなど、莫大な機会損失を被っている。より深刻なのは、企業の79％がバックアップからの復元に失敗しており、その理由の67％がバックアップデータ自体を消去されていたり、すでに暗号化されているためだ。「本番データを守るだけではなく、バックアップデータも守る体制をつくらなくてはいけない」と近藤氏は強調し、その上で、早期復旧を実現するための3つのポイントを説明した。

　1つ目は「バックアップの複数世代保持」。潜伏したマルウェアは管理者が気づかないうちにデータを不正に暗号化するので、世代管理が不十分だと、いざ復旧しようとしても既に暗号化されたデータのバックアップしか残っていない恐れがある。暗号化前のデータをリストアできるように、十分な世代のバックアップを保持しなくてはならない。イメージバックアップを採用する同社の「Arcserve UDP」は、OSを含めてディスク全体を丸ごと高速バックアップする。継続的増分バックアップとマージ処理も行うため、低用量かつ自動的に複数世代のバックアップデータを保管することも可能だ。また、「インスタントVM」により、バックアップデータを参照しつつ健全な時点のデータを容易かつ迅速に特定可能で、近藤氏は「わずか数分で起動できる」とアピールした。上位版の「Premium Edition」以上であればリストア前のマルウェアスキャン機能や、AIによる異常検出機能も備える。

　2つ目は「バックアップ環境の保全」。初期設定のままのNASをバックアップ先にすることは危険で、アクセス権の厳格化やパッチの適用が欠かせない。UDPでは本番環境と切り離したバックアップ専用LANの構築や、管理コンソールへの多要素認証（MFA）などで、攻撃者がバックアップデータにたどり着く経路を遮断できる。

　3つ目は「バックアップデータのオフライン保管と二重化」。テープやRDXといった物理的に切り離せるメディアや、クラウド保管が有効だ。そして、ランサムウェア対策の決定版として紹介したのが、たとえ管理者であっても削除できない"不変のスナップショット"を定期的に取得する、イミュータブル（不変）ストレージの「Arcserve Cyber Resilient Storage（CRS）シリーズ」だ。「万が一、データを削除できても、この不変のスナップショットを使って破壊前の時点に巻き戻しできる」（近藤氏）

　最後に近藤氏は、最近のメモリ不足に起因するサーバの納期遅延への解決策として、出来合いのバックアップサーバーであるアプライアンス製品「Arcserve UDP Appliance」の利用を提案した。