ランサムウェア対策（データのバックアップ、3-2-1 ルール、WORM機能など）

ランサムウェアは、ファイルやシステムを暗号化して使えなくし、元に戻すことと引き換えに身代金を要求するマルウェアです。

■ 試験で押さえるポイント

• 事前に情報を盗み出し、公開すると脅す二重脅迫もあります。

• 多要素認証、修正プログラムの適用、ネットワークの分離、EDRなどで侵入と感染の拡大を防ぎます。

• 本番とは切り離した、書き換えのできない複数の世代のバックアップを用意し、復元を試験しておきます。

■ 過去問での着眼点

バックアップがあっても、盗まれた情報の公開の脅しは防げません。身代金を払っても復旧は保証されません。

例: 共有のファイルが暗号化されたら、ネットワークから隔離し、侵入の経路を取り除いてから、バックアップで復元します。

■ バックアップの独立性と再接続条件

• 3-2-1で保存先を分けても、同じ管理資格で全コピーを削除できれば共通の侵害経路が残る。オフライン保存や変更不能な保持に加え、管理ID・権限・保存期間・鍵を分離する。

• WORMやイミュータブル保存でも、設定できる保持期間、管理者の操作、復号鍵の保全を確認する。復元試験ではデータだけでなくアプリ、設定、依存サービスを含め、必要な時点と所要時間を確かめる。

• 侵害端末と管理経路を封じ込め、侵入原因・永続化・漏えい資格情報を対処してから、健全な復元候補をクリーンな環境へ戻す。再接続後は再暗号化や不審アクセスを監視する。

• RPOは許容するデータ損失の時間、RTOは許容する復旧時間である。復旧時点が古いとRPOを満たさず、バックアップがあってもデータ窃取への対応は別に必要になる。