ランサムウェアに備えるバックアップ
A 社は，ファイルサーバのデータを，業務 LAN に常時接続した NAS に毎晩バックアップしている。バックアップは前日分を上書きする 1 世代だけであり，NAS にはドメイン管理者のアカウントで書き込める。ランサムウェアにドメイン管理者の権限を奪われた場合でも，感染前のデータに復旧できるようにするための改善として，最も適切なものはどれか。
- アNAS のディスク構成を RAID 6 に変更し，ディスクが 2 台同時に故障してもバックアップが失われないようにする。
- イバックアップの取得間隔を 1 時間ごとに短縮し，できるだけ新しい時点のデータに戻せるようにする。
- ウ複数世代のバックアップを保持し，その一部を，業務 LAN から切り離した媒体や，保持期間中は管理者でも変更・削除できないイミュータブルなストレージに保管する。
- エNAS の内容を遠隔地の別の NAS にリアルタイムで複製し，広域災害が起きてもバックアップを利用できるようにする。
正解と解説を見る
正解 ウ
この問題の基礎知識
- ランサムウェアはデータを暗号化して復号と引換えに金銭を要求するマルウェアであり，管理者権限を奪われると，その権限で書き込めるバックアップも暗号化や削除の対象になる。
- RAID やリアルタイムの複製は機器の故障や災害への対策であり，暗号化や削除のような論理的な破損は全ての複製にそのまま反映される。
- ランサムウェアに備えるバックアップは，複数世代を保持し，その一部をオフラインの媒体やイミュータブル（保持期間中は変更・削除できない）なストレージなど，業務ネットワークの権限から隔離した場所に保管することが基本である。
アNAS のディスク構成を RAID 6 に変更し，ディスクが 2 台同時に故障してもバックアップが失われないようにする。
RAID 6 はディスクの故障への耐性を高めるが，管理者権限で行われた暗号化や削除は全てのディスクにそのまま書き込まれる。ランサムウェアからバックアップを守る対策にはならない。
イバックアップの取得間隔を 1 時間ごとに短縮し，できるだけ新しい時点のデータに戻せるようにする。
1 世代を上書きする方式のままでは，暗号化されたデータで直前のバックアップが上書きされ得る。NAS は奪われた権限で書き込めるので，バックアップ自体も暗号化や削除の対象になる。
ウ複数世代のバックアップを保持し，その一部を，業務 LAN から切り離した媒体や，保持期間中は管理者でも変更・削除できないイミュータブルなストレージに保管する。正解
オフラインやイミュータブルな保管先のバックアップは，攻撃者が管理者権限を得ても，ランサムウェアによる破損や削除を受けにくい。複数世代を保持すれば，感染前の時点を選んで復旧できる。
エNAS の内容を遠隔地の別の NAS にリアルタイムで複製し，広域災害が起きてもバックアップを利用できるようにする。
遠隔地への複製は災害対策にはなるが，リアルタイムに複製すると暗号化されたデータもそのまま反映される。複製先を業務ネットワークから同じ権限で操作できれば，複製先も被害を受ける。
検証用の出典出典照合済み
NIST IR 8374 Ransomware Risk Management: A Cybersecurity Framework Profile ／ NIST SP 1800-11 Data Integrity: Recovering from Ransomware and Other Destructive Events照合の根拠（3 件）
- ウ（正解）: バックアップを保護し隔離する。ア・イ・エはいずれもバックアップを業務 LAN 上の同じ権限から隔離しない
Back up data, secure backups, and test restoration. Carefully plan, implement, and test a data backup and restoration strategy—and secure and isolate backups of important data.
NIST IR 8374 · Section 2（Tips: Make it easier to recover）（新しいタブで開きます） - ウ（正解）・イ（誤り）: 古いデータが新しいデータで上書きされない不変（イミュータブル）な形式で保存する。1 世代上書きでは感染後のデータで上書きされ得る
Store data in an immutable format (so that the database does not automatically overwrite older data when new data is made available).
NIST IR 8374 · Section 2（Tips）（新しいタブで開きます） - ウ（正解）: バックアップはオフラインに保管する
backups should be stored offline.
NIST IR 8374 · Table（PR.IP-4）（新しいタブで開きます）
ア（RAID 6）はディスク故障への冗長化，イ（取得間隔の短縮）は 1 世代上書きのまま，エ（リアルタイム複製）は暗号化されたデータもそのまま複製され，いずれも奪われた管理者権限からバックアップを隔離しないので，IR 8374 の「バックアップの保護・隔離」「上書きしない不変形式」「オフライン保管」に当たらない。