こんにちは、ネットワールドSEの藤居です。
最近はバックアップ/ストレージ周りでも、ランサムウェア対策に関するご相談をいただく機会が増えてきました。実際にデータが保存されているストレージ側でどこまで対策できるのかも重要なポイントです。
そこで今回は、NetApp のランサムウェア対策の可視化、検知、保護戦略、復旧支援を行うサービスである NetApp Ransomware Resilience を触ってみました。何回かに分けてご紹介できればと思います。本記事では、まず概要を紹介します。
- NIST CSF とは
- ONTAP 標準機能で実現できるランサムウェア対策
- NetApp Ransomware Resilience で機能強化
- 動作環境イメージ
- ライセンス
- 操作デモ：機能有効化 ～ ダッシュボード表示
- まとめ
NIST CSF とは
ランサムウェア対策を考えるとき、よく出てくる考え方のひとつに NIST CSF があります。NIST CSF は、米国国立標準技術研究所（NIST）が公開しているサイバーセキュリティ対策のフレームワークです。組織がサイバーセキュリティリスクをどのように管理し、改善していくかを整理するための考え方として利用されています。
NIST CSF 2.0 では、サイバーセキュリティ対策を「統治（Govern）」「識別（Identify）」「防御（Protect）」「検知（Detect）」「対応（Respond）」「復旧（Recover）」の 6 つの機能で整理しています。なお、本記事では NetApp Ransomware Resilience の公式ドキュメント上の説明順に合わせ、以降の図では「識別」「防御」「検知」「対応」「復旧」「統治」の流れで整理しています。(Learn about NetApp Ransomware Resilience)
難しく見えますが、要するに「何を守るかを把握し、守り、異常に気づき、対応し、復旧できる状態にしておく」という考え方です。これらを一連の流れとして考える必要があります。
この考え方をベースに、まずは NetApp ONTAP の標準機能でどのような対策ができるのか、そのうえで NetApp Ransomware Resilience を使うと何が強化されるのかを見ていきたいと思います。
ONTAP 標準機能で実現できるランサムウェア対策
NIST CSF の考え方に沿って、ONTAP で活用できる機能を整理すると、特に防御・検知・対応・復旧の領域で多くの機能が用意されていることが分かります。
防御の観点では、Snapshot による復旧ポイントの確保、SnapMirror による二次環境への複製、Tamperproof Snapshot や SnapLock による Snapshot やデータの改ざん・削除対策が有効です。また、FPolicy によるファイル操作の制御、MAV による重要操作の多重承認、MFA による管理アクセスの強化も、運用面での防御策として活用できます。
検知・対応では、ARP/AI が中心になります。NAS ワークロードのファイルアクティビティやデータエントロピーなどをもとに、ランサムウェアの可能性がある異常を検出し、復旧ポイントとなる Snapshot の作成につながります。
復旧面では、SnapRestore によるリストアや、FlexClone を利用した復旧前のデータ確認が可能です。
このように、ONTAP にはランサムウェア対策に活用できる機能が多くあります。一方で、実運用では次のような課題もあります。
- どのワークロードが保護されているかを一覧で確認したい
- Snapshot や ARP/AI の設定状況をまとめて把握したい
- インシデント発生時に、どのデータをどこから戻すべきか判断しやすくしたい
- ランサムウェア対策全体の状況をダッシュボードで確認したい
ONTAP の機能だけでも多くの対策は可能ですが、運用面では「どこまで守れているかを見える化すること」が重要になります。この部分を補完するサービスとして、次に NetApp Ransomware Resilience を見ていきます。
NetApp Ransomware Resilience で機能強化
NetApp Ransomware Resilience は、NetApp Console 上で提供されるランサムウェア耐性/レジリエンス支援サービスです。ワークロードの検出、保護状況の可視化、保護戦略の適用、アラート確認、復旧支援などを、ランサムウェア対策の観点でまとめて扱うことができます。
ONTAP には Snapshot、SnapMirror、SnapLock、FPolicy、ARP/AI、SnapRestore など、ランサムウェア対策に活用できる機能が多くあることをお伝えしましたが、このランサムウェア対策の見える化・運用管理を支援するのが、NetApp Ransomware Resilience です。
図の黒文字は ONTAP で活用できる主な機能、青文字は NetApp Ransomware Resilience で利用できる機能として整理しています。ポイントは、NetApp Ransomware Resilience が ONTAP の機能を置き換えるものではないという点です。ONTAP の各機能が「ランサムウェア対策を実行する機能」だとすると、NetApp Ransomware Resilience は、それらを横断して保護状況やリスクをワークロード単位で可視化し、運用判断を支援するサービスです。
NetApp Ransomware Resilience の主な機能を整理すると、以下のようになります。
| 機能 | 概要 |
| ダッシュボード |
保護済み、リスクあり、復旧対応が必要なワークロードなどを一覧で確認できます。 |
| 保護戦略 |
Snapshot、バックアップ、ランサムウェア検知、SnapMirror による ONTAP へのレプリケーションなどを保護戦略としてまとめて適用できます。 |
| User Activity Detection / User behavior detection | User activity agent を利用し、ユーザー単位の不審な挙動を検知します。SIEM 連携時の alert_type には Data breach や Suspicious user behavior などが含まれます。 |
| SIEM 連携 | AWS Security Hub、Google SecOps、Microsoft Sentinel、Splunk Cloud、Splunk Enterprise と連携できます。 |
| レポート | 保護状況、アラート、復旧状況、Readiness Drill、Clean Restore などの結果を出力できます。 |
| Readiness Drill | サンプルワークロードを用いて、ランサムウェア攻撃を想定した訓練を実施できます。 |
| Clean Restore | 隔離された復旧環境を使用し、影響を受けていない復元ポイントを確認しながら復旧を支援します。 |
表：NetApp Ransomware Resilience の主な機能
なお、User Activity Detection、Readiness Drill、Clean Restore などには、対象ワークロード、プロトコル、ONTAP バージョン、追加コンポーネントなどの前提条件があります。実環境で利用する場合は、事前に最新の要件を確認してください。
動作環境イメージ
NetApp Ransomware Resilience は、NetApp Console 上で提供される SaaS 型のサービスです。そのため、オンプレミス ONTAP 環境だけで完結するのではなく、NetApp Console とオンプレミス環境を連携させて利用します。
管理者はブラウザから NetApp Console にアクセスし、NetApp Ransomware Resilience を利用します。オンプレミス環境側には NetApp Console Agent を配置し、NetApp Console と ONTAP 環境を接続します。
ONTAP 側では Snapshot、ARP/AI、FPolicy などの機能を活用します。NetApp Ransomware Resilience は、これらの ONTAP 機能を置き換えるものではなく、ワークロード単位で保護状態を可視化し、保護戦略の適用やアラート確認、復旧支援を行うためのサービスです。また、必要に応じて以下のような連携も可能です。
- バックアップ連携
- User Activity Agent による不審ユーザー行動検知
- AD/LDAP 連携によるユーザー情報の紐付け
- SIEM 連携による外部監視基盤への通知
基本構成としては NetApp Console、NetApp Console Agent、ONTAP 環境が中心となり、必要に応じてバックアップ連携や User Activity Agent 連携などを追加していくイメージです。本記事ではオンプレミス ONTAP を例にしていますが、Ransomware Resilience はオンプレミス ONTAP のほか、Cloud Volumes ONTAP、Amazon FSx for NetApp ONTAP、Azure NetApp Files、Google Cloud NetApp Volumes などもサポート対象に含まれます。対応プロトコルや ONTAP バージョンは環境ごとに異なるため、最新要件を確認してください。
ライセンス
NetApp Ransomware Resilience の利用ライセンスについても少し触れておきます。利用形態、課金対象、課金容量の考え方に分けて整理すると以下の形です。
利用形態は、30日間の無償トライアル、PAYGO、BYOL のいずれかです。PAYGO は各クラウド Marketplace 経由で利用する従量課金型、BYOL は購入済みライセンスを NetApp Console に登録して利用する方式です。
課金対象は、Ransomware Resilience 上で「保護済み」と扱われるワークロードです。具体的には、検知ポリシーに加えて、Snapshot ポリシーまたは Backup ポリシーが設定されているワークロードが対象になります。検知ポリシーのみの場合は、課金対象には含まれません。
容量は Snapshot の使用量ではなく、アクティブファイルシステムの論理容量をもとに考えます。また、ONTAP の効率化後の物理使用量ではなく、効率化前のデータ量が基準になります。
なお、NetApp Backup and Recovery と NetApp Ransomware Resilience の両方で同じデータを保護している場合、その共通データは Ransomware Resilience 側で課金されます。
操作デモ：機能有効化 ～ ダッシュボード表示
それでは、実際に NetApp Ransomware Resilience を有効化し、ダッシュボードが表示されるまでの流れを見ていきましょう。まず、NetApp Console にログインし、左メニューから ［保護］＞［Ransomware Resilience］ を選択します。今回は 30日間の無償トライアル を開始して検証を進めました。
トライアルを開始すると、次に保護対象となるワークロードの検出画面に進みます。NetApp Console Agent に紐づく ONTAP システムが表示されるため、対象のシステムを選択して ［Discover］ をクリックします。
Discover を実行すると、NetApp Ransomware Resilience が対象システム内のワークロード情報を収集します。今回の検証環境では、サポート対象のボリュームと、条件を満たさないボリュームがそれぞれ表示されました。
検出が完了したら、［Go to Dashboard］ をクリックします。ダッシュボードでは、保護済みのワークロード、リスクありのワークロード、アラート、推奨アクションなどが一覧で表示されます。
この時点ではワークロードの検出と保護状況の可視化が中心です。実際に保護戦略を適用する場合は、ダッシュボードや Protection 画面から対象ワークロードを選択し、Snapshot、バックアップ、ランサムウェア検知などのポリシーを設定していく流れになります。
まとめ
今回は、NetApp Ransomware Resilience の概要、ライセンス、動作環境イメージ、そして機能有効化からダッシュボード表示までの流れを確認しました。この段階では「現状把握」が中心となります。実際の運用では、対象ワークロードに対して保護戦略を作成し、Snapshot、バックアップ、ランサムウェア検知などのポリシーを適用していくことが重要です。次回は NetApp Ransomware Resilience の「保護戦略の作成と適用」をテーマに、実際にワークロードへ保護ポリシーを設定する流れを確認したいと思います。
※本記事の内容は検証時点の情報に基づいており、機能・対応ワークロード・ライセンス体系は ONTAPバージョンやサービスアップデートにより変更される可能性があります。導入検討時は最新のNetApp公式ドキュメントをご確認ください。
