Rubrikのランサムウェア対策：仕組みとシミュレーションで確認

本記事は新人ブログマラソン2024 の記事です。

こんにちは！SCSKの新人、黄です。

前回の記事では、Rubrikというバックアップデータ管理に特化したIT企業と、その主要製品や機能についてご紹介しました。
多くの方に読んでいただき、とても嬉しかったです！

「まだ読んでいない！」という方は、ぜひ以下の記事をご覧ください。
Rubrikとは？クラウド＆オンプレにも対応する次世代バックアップ管理を紹介 – TechHarmony

さて、今回は前回少し触れた「Rubrikのランサムウェア対策」をさらに掘り下げ、自分でも実際に試してみた結果を共有したいと思います。

それでは、さっそく始めましょう！

はじめに
Rubrikのランサムウェア対策の概要
1. ふるまい検知（Anomaly Detection）
2. 脅威ハンティング（Threat Hunting）
Rubrikのランサムウェア対策を実際に試してみた
1. シミュレーション方法
2. シミュレーション結果
最後に

はじめに

ランサムウェアという言葉、きっと一度は耳にしたことがあるのではないでしょうか？
データを暗号化し、その解除のために身代金を要求するサイバー攻撃で、ここ数年、その被害は世界中で広がり続けています。

これだけでも十分厄介ですが、実は攻撃者の狙いは、通常のデータだけに留まりません。

なんとバックアップデータまで標的にしているのです！

「バックアップがあれば安心」と考えるのは当然ですが、攻撃者たちはその油断をついてきます。
一例として、下記のような手口でバックアップを狙ってきます：

バックアップデータの暗号化
バックアップデータを暗号化し、復旧を不可能にします。
バックアップデータの削除
大切なバックアップデータを削除し、復元手段を完全に奪います。
バックアップソフトの停止
バックアップ機能そのものを無効化します。

こうした脅威に対応するために、Rubrikは「保存するだけ」ではない多角的な対策を提案しています。

その詳細について、次の章で詳しく解説します。

Rubrikのランサムウェア対策の概要

Rubrikのランサムウェア対策には、主に三つのキーワードがあります：

不可変バックアップ
ふるまい検知（異常検知）
脅威ハンティング（脅威追跡）

前回の記事では、不可変バックアップとふるまい検知・脅威ハンティングを並列に紹介しましたが、実際のところ、不可変バックアップはRubrikのランサムウェア対策の「土台」となる存在です。

不可変バックアップ：Rubrikが独自に開発したOSによって、データがRubrikに保存される際に不変の形式でロックされる仕組みです。
この仕組みにより、攻撃者がバックアップデータを改ざんしたり削除したりすることは物理的に不可能となります。

不可変バックアップにより、「バックアップが改ざんされるかも……」という不安を取り除き、安全にデータを保管することができます。

さらに、この仕組みがあるからこそ、Rubrikのふるまい検知や脅威ハンティングが最大限に効果を発揮します。

ふるまい検知（Anomaly Detection）

Rubrikのふるまい検知は、メタデータ監視とエントロピー解析を組み合わせた多層的な仕組みで、ランサムウェア攻撃を早期に検知することができます。

では、「どうやって異常を検知するの？」その仕組みを詳しくご紹介します。

メタデータを活用した監視

まず最初に注目すべきポイントは、ふるまい検知がデータそのものではなく、メタデータを監視の対象としていることです。

メタデータ：ファイル名、ディレクトリ構造、サイズ、UUIDなどの情報を指します。
メタデータを活用することで、データそのものには触れずにプライバシーを保護しながら、正確な監視を実現します。

そして、Rubrikのふるまい検知では主に以下の方法で異常を見つけます：

機械学習で長期的な変更パターンの分析
Rubrikは、過去のバックアップデータをもとに、通常のデータ変更のパターンを学習します。そのパターンを超えるような突然の大規模な変化をキャッチする仕組みです。

たとえばこんな場合に検知します：

毎日数MB程度しか変更のないデータが、ある日突然数GBの変更を記録した場合。
「2025年度計画」というフォルダに10個のファイルが保存されていたのに、次のバックアップではそのフォルダが丸ごと消えていた場合。

これらのケースでは、「異常な変化」としてRubrikが警告を出します。

エントロピー解析による異常検知

しかし、メタデータだけを基にした異常検知には限界があります。例えば、

攻撃者の手口が巧妙だった場合
攻撃者がローカル環境でファイルを暗号化してからバックアップが行われた場合、メタデータには特に目立った変化が現れない。
利用者の行動による誤検知
正常な操作の一環として大量のファイルを追加した場合でも、異常と判断されてしまう。

このようなケースに対応するために、Rubrikはエントロピーを利用しています。

エントロピー：データのランダム性を表す指標です。データがどれくらいバラバラで規則性がないかを示します。

暗号化されたデータはランダム性が高まるという特徴を活かし、この変化をキャッチすることで、ランサムウェア攻撃の兆候を検知します。
例として：

攻撃前のファイル名：「顧客情報.xlsx」「見積書.pdf」
攻撃後のファイル名：「abc123.xyz」「xyz789.enc」

暗号化されたファイルの名前や構造が大きく変わると、エントロピーが急激に増加します。Rubrikはこの変化をいち早く検知し、警告を発することで早期対応を促します。

脅威ハンティング（Threat Hunting）

脅威ハンティングはYARAルールのような具体的な痕跡情報を基に、バックアップデータを詳細にスキャンし、感染源や侵入時期を特定する機能です。

ふるまい検知との違い：

ふるまい検知：機械学習を活用してバックアップデータの変更パターンを分析し、ランサムウェア攻撃後に発生する異常（大量の変更や暗号化）を検知する。

脅威ハンティング：具体的な痕跡情報を基に、攻撃を受けたかどうかに関係なく、感染源やランサムウェアの侵入時期をチェックする。

脅威ハンティングでは、以下のプロセスでバックアップデータを解析します：

痕跡情報を入力

まず、ランサムウェアに関連するYARAルールを入力します。

YARAルールとは、攻撃者が使用する特定の暗号化方法や拡張子（例：「.encrypted」や「.lock」）を検出するためのルールセットです。

もしご興味があれば、下記のドキュメントをご参照ください。（おそらく英語版のみですが、ご参考になるかと思います。）
Welcome to YARA’s documentation! — yara 4.5.0 documentation

ユーザーが自身で入力する必要がありますが、RubrikはあらかじめデフォルトのYARAルールも提供しており、初めての方でもスムーズに利用を開始できます。

バックアップデータを照合

次に、Rubrikが入力された情報を基にバックアップデータをスキャンします。例えば以下のようなことをチェックします：

特定のファイルやフォルダが存在していないか。
ランサムウェアによる暗号化の痕跡がないか。

感染システムの特定

スキャンが完了すると、もしランサムウェアが侵入していた場合、その侵入タイミングや感染したシステムが特定されます。

これにより、問題が発生した箇所やその影響範囲が明確になり、適切な対策を講じやすくなります。

Rubrikのランサムウェア対策を実際に試してみた

これまでRubrikのランサムウェア対策についてご紹介してきましたが、「実際にどのように動くのか？」と思った方も多いのではないでしょうか？
今回は、その仕組みを確かめるために、ふるまい検知を使ったシミュレーションを行いました。

Rubrikはオンプレミス環境だけでなく、AWSやGoogle Cloud、vSphereなど、さまざまなクラウド環境に対応していますが、
今回はその中でもvSphereの仮想マシンを使用して実験を行いました。その様子をぜひご覧ください！

シミュレーション方法

Rubrikのふるまい検知は、大量のファイル追加や暗号化などの異常な動きを検知する仕組みなので、
今回のシミュレーションでは、以下の手順で検証を進めました。

	目的	手順
1	正常時の状態取得	正常なバックアップデータを複数回取得し、RSC（Rubrik Security Cloud）に連携する。
2	ランサムウェア攻撃の再現	仮想マシン内で大量のファイルを追加し、それらを暗号化する。
3	異常検知の確認	再度バックアップを取得し、RSCでどのように検知されるかを確認する。