今さらですが
ランサムウェアネタで、先日飛び込みで来たベンダーに煽られました(笑)
この営業マン、話が上手かったんです。
普段煽られない私も怖くなりました。今までの考え方が甘かったです。
この営業マン、話が上手かったんです。
普段煽られない私も怖くなりました。今までの考え方が甘かったです。
対策前のファイルサーバ周りのバックアップ体制は以下の通りです。
VSS（①）とNASへの毎日のバックアップ（②）の二段構えです。
ファイルサーバのディスクもミラーリングしています。
当社のレベルならこれで十分だろうと思っていました。
話の上手いベンダー営業によると、PCがランサムウェア感染すると、
ドライブのマップを伝って、ファイルサーバにも感染し、ファイルだけでなくVSSも壊し、
NASにも入り込んでデータを全て暗号化する可能性があることがわかりました。
（下図グレー部分が暗号化されたファイルを表しています）
こうなると社内のデータが全滅です。
ベンダーの提案
話の上手いベンダー営業は当然提案をしてきました。対象のファイルサーバにエージェントを入れ、
社内ネットワークに設置した1次バックアップ機器にデータを吸い上げ、
クラウド上にあるベンダーのデータセンターにバックアップを取り、
そのバックアップを世代管理するというものでした。
仮に社内の全てのデータがやられても、クラウド上の世代管理しているファイルは生き残ります。
（感染に気づくのが遅れると、新しい世代のファイルはやられる可能性があります）
ああ完璧な対処法だ(笑)
見積は、初期費用で20万以上、月額費用で2万円程度かかるものでした。
この見積はあくまで最小プランで、
当社のファイルサーバのデータ全てをバックアップするには、もっと上のプランにする必要がありました。
普通ならこのくらいの投資、保険としては安いものだと思うのですが、
IT予算の提示もない当社では、「高い」の一言で片付けられるのでした・・・
ベンダーに煽られない
ベンダーの話を聞いた直後は恐怖におののきました(笑)
でも恐れてばかりもいられないので、冷静に考えてみました。
ベンダーの話をまとめると、
・バッチファイルなどでバックアップできるということは、バックアップ先にランサムウェアが入り込む余地がある
・VSS、NASへの退避も絶対ではない
・予防は限界がある
・世代管理が有効である（1世代だとやられたらおしまい。エクスプローラ上でフォルダを分けて保存しても意味なし）
ということだと理解しました。
当社は扱うデータ量が、他社に比べそれほど多くはありません。
なのに起きるか分からない障害のために大掛かりな仕組みを構築したくありません。
もっと安くあげる方法はないか・・・
そこで思いついたのが、
・世代管理を自動で行う代わりに、オフラインでバックアップを持つ
です。
NASに外付HDDをUSB接続し、NASから毎日昼休みにバックアップします。
NASにはスケジューリング可能なバックアップ機能がついていました。（選定してくれた導入ベンダーさんありがとう）
これなら日中にバックアップをしてもファイルサーバに負荷がかかりません。
最初のバックアップには時間がかかりましたが、その後は差分だけを取るようで、バックアップ時間がものすごく短くなりました。
外付HDDは、2台を1週間ずつ交互に差し替えて運用します。
常に1台をオフラインで隔離しておく形です。
これなら仮に片方の外付HDDまでランサムウェアで暗号化されても、もう一方の外付HDDは生き残ります。
単純発想ですいません(笑)
NASは
NETGEAR ReadyNAS 312 ネットワークストレージ 2ベイ エンタープライズ4TB HDD 2台搭載 RAID 0/1/X-RAID RN31224E-100AJS
です。
外付HDDは
BUFFALO DRAMキャッシュ搭載 USB3.0用 外付けHDD(冷却ファン搭載) 2TB HD-GD2.0U3D
です。
NASは元々あったので、外付けHDD2台を追加購入しました。2台で4万円以下の投資です。
但し注意点があります。
・データ量が増えると、外付HDDを大容量にするなどしなければならない
・長期潜伏型のランサムウェアには効果なし
ということです。
どちらもクラウドにバックアップしてもぶち当たる壁なのですが。
これでベンダーの言いなりにならずに済みました(笑)
上記対策は、技術的にレベルが低いのは承知の上です。
でも中小企業情シスには予算がないのです。
（それが異常なことだと経営者が気づいていないのがすごいですが）
上からのコスト削減のプレッシャーがすごいのです。
（余計なことに経営者は無駄遣いしてますが）
上記対策くらいの費用すら経営者がケチるなら、もう痛い目を見るしかないでしょう。
情シスとして警告の義務は果たしました。全ては経営者の責任です。
情シス関連データのバックアップだけしっかりどこかに保存しておいてください。
当社はOffice365を使っているので、私はOneDriveに定期的に放り込んでいます。
基幹システムDBのダンプファイルも放り込みたいと思っております。
時間がかかるので、情シスで使うファイルだけバックアップする方針なのですｗ
でも恐れてばかりもいられないので、冷静に考えてみました。
ベンダーの話をまとめると、
・バッチファイルなどでバックアップできるということは、バックアップ先にランサムウェアが入り込む余地がある
・VSS、NASへの退避も絶対ではない
・予防は限界がある
・世代管理が有効である（1世代だとやられたらおしまい。エクスプローラ上でフォルダを分けて保存しても意味なし）
ということだと理解しました。
当社は扱うデータ量が、他社に比べそれほど多くはありません。
なのに起きるか分からない障害のために大掛かりな仕組みを構築したくありません。
もっと安くあげる方法はないか・・・
そこで思いついたのが、
・世代管理を自動で行う代わりに、オフラインでバックアップを持つ
です。
NASに外付HDDをUSB接続し、NASから毎日昼休みにバックアップします。
NASにはスケジューリング可能なバックアップ機能がついていました。（選定してくれた導入ベンダーさんありがとう）
これなら日中にバックアップをしてもファイルサーバに負荷がかかりません。
最初のバックアップには時間がかかりましたが、その後は差分だけを取るようで、バックアップ時間がものすごく短くなりました。
外付HDDは、2台を1週間ずつ交互に差し替えて運用します。
常に1台をオフラインで隔離しておく形です。
これなら仮に片方の外付HDDまでランサムウェアで暗号化されても、もう一方の外付HDDは生き残ります。
単純発想ですいません(笑)
NASは
NETGEAR ReadyNAS 312 ネットワークストレージ 2ベイ エンタープライズ4TB HDD 2台搭載 RAID 0/1/X-RAID RN31224E-100AJS
です。
外付HDDは
BUFFALO DRAMキャッシュ搭載 USB3.0用 外付けHDD(冷却ファン搭載) 2TB HD-GD2.0U3D
です。
NASは元々あったので、外付けHDD2台を追加購入しました。2台で4万円以下の投資です。
但し注意点があります。
・データ量が増えると、外付HDDを大容量にするなどしなければならない
・長期潜伏型のランサムウェアには効果なし
ということです。
どちらもクラウドにバックアップしてもぶち当たる壁なのですが。
これでベンダーの言いなりにならずに済みました(笑)
上記対策は、技術的にレベルが低いのは承知の上です。
でも中小企業情シスには予算がないのです。
（それが異常なことだと経営者が気づいていないのがすごいですが）
上からのコスト削減のプレッシャーがすごいのです。
（余計なことに経営者は無駄遣いしてますが）
上記対策くらいの費用すら経営者がケチるなら、もう痛い目を見るしかないでしょう。
情シスとして警告の義務は果たしました。全ては経営者の責任です。
情シス関連データのバックアップだけしっかりどこかに保存しておいてください。
当社はOffice365を使っているので、私はOneDriveに定期的に放り込んでいます。
基幹システムDBのダンプファイルも放り込みたいと思っております。
時間がかかるので、情シスで使うファイルだけバックアップする方針なのですｗ
