バックアップデータをランサムウェアから守る

ランサムウェアの脅威に対する最後の防御策として、バックアップデータを改ざんや暗号化からどのように守るかが重要になります。もしも運用データが被害に遭っても、バックアップデータが無事なら、身代金要求を拒絶し、バックアップからデータを復元することができるからです。

このようなセキュリティ対策を強化するために、Veeamなどのバックアップ製品ではイミュータブル（不変性）な構成や機能を提供しています。ただし、オブジェクトストレージや追加のLinuxサーバ、重複排除ストレージアプラインスなどの追加構成が必要な場合もあります。

Blockyを使用すれば、独自のフィンガープリントチェックによって、Windows上でバックアップデータへのアクセスを制御し、変更や削除を防ぐことで、ランサムウェアやマルウェアなどの脅威からバックアップデータを保護することが可能です。

Veeam 製品の詳細はこちら

特徴

オールインワン構成でもランサムウェア対策を実現

Veeamでは、スモールスタートとして、Veeam Backupサーバ（管理）、Veeamプロキシサーバ（データ処理）、Veeamリポジトリサーバ（データ保存）などのコンポーネントを1台のWindowsマシンに同居させる構成をサポートしています。

しかし、この構成では不変性などによりバックアップデータの保護はできず、追加のサーバなどが別途必要になります（堅牢化（hardened）リポジトリはLinuxサーバのみをサポート）。

そこで、BlockyをWindowsマシンにインストールし、バックアップデータの変更や削除へのアクセスを制御することで、オールインワンの構成でもランサムウェアなどの脅威からバックアップを保護することができます。

プロアクティブなホワイトリストアプローチ

従来のマルウェア保護手法であるファイアウォールやウイルス対策ソフトでは、通常ブラックリストと呼ばれる手法が使用されています。このアプローチは、拒否すべきアプリケーションやコードのリストである定義ファイルに基づいており、効果的ではありますが、時間がかかることがあります。さらに、定義ファイルを常に最新の状態に保ち、更新することも、ITスタッフにとって負担となります。

また、既知のセキュリティホールに対応するために常にパッチを適用する必要があり、ITセキュリティチームは常にサイバー犯罪に対して後手に回ることになります。従来のブラックリスト方式は、新たな未知のマルウェアコードが侵入し、大きな被害を引き起こす前に発見されずに広まる可能性があり、これは「ゼロデイ攻撃」として知られています。

Blockyは、アプリケーションホワイトリスト（AWL）というアプローチを採用しています。これは、従来のブラックリストアプローチとは異なり、「デフォルトで許可」するのではなく、未知のアプリケーションに対して「デフォルトで拒否」する、より強固なアプローチです。AWLでは、システム管理者が信頼できるアプリケーションのリストを作成し、特定のストレージボリューム上のファイルへのアクセスや変更を許可することができます。たとえば、Veeamアプリケーションは、バックアップに使用されるストレージボリューム上のファイルを変更できる唯一のシステムプロセスとして、必要に応じて設定することができます。

改ざんされたアプリケーションからのアクセスもブロック

Blockyのアプリケーションホワイトリスト（AWL）は、単純にアプリケーションのリスト上にある名前の実行ファイルを許可するわけではありません。ダイナミックリンクライブラリ（DLL）などの属性とアプリケーション固有の動作に基づいて、各アプリケーションに固有のハッシュ値フィンガープリントを作成します。

そのため、既知のアプリケーションや信頼されたアプリケーションを装うマルウェアであっても、BlockyのIDチェックを通過することはできず、AWLに追加した本当のアプリケーションのみがバックアップにアクセスできます。

さらに、Blockyはオペレーティングシステムと深く統合されており、特定のストレージボリュームやそのボリューム内の第1レベルディレクトリに対してAWLが作成されると、Blockyフィルタドライバが、事前に許可されたフィンガープリントに一致するアプリケーションのみが書き込みアクセスを持つことを保証します。

したがって、Blockyのサービスが停止している場合やOSのセキュリティパッチのアップデート中でも、マルウェアからの保護は維持され、運用はよりシンプルになります。
※Blockyサービスが停止している間はフィンガープリントのチェックが行われず、すべてのアクセスが拒否されます。

大規模環境でも楽々構成、統合管理GUI

Blockyは、個々のWindowsマシンでの構成だけでなく、統合管理GUI（Central GUI）を介してリモートマシン上のBlockyを一括管理することも可能です。GUI上から、アラート設定（E-mail、Windowsイベントログ）やアプリケーションホワイトリスト（AWL）の構成を行うことができ、グループ化することで、これらの設定を複数のマシンに一括で適用することも可能です。

要件

サポートOS

Windows Server 2012, 2016, 2019, 2022
※ServerのみクライアントOSはサポートしていません。

対応ボリューム

Windows NTFS, ReFS
※ネットワーク接続ストレージ (NAS デバイス) はサポートしていません。

詳細資料

• [Blocky]カタログ.pdf (715KB)
• [Blocky]ユーザガイド.pdf (2.19MB)

注：ドキュメントにはパスワードが設定されています。開示を希望されます方はお問合せフォームからご連絡ください。

ユーザ事例

Maschinenringe Deutschland GmbH （マシンリング ドイツ）

「私たちにとって、3つの基準が決定的でした。第一に、追加セキュリティが既存のシステムにシームレスに統合されていること。第二に、統合が迅速かつ複雑でなく、さらなる管理が不要であることが重要でした。第三に、ソフトウェアのコストと要求される作業量も重要でした。他のソリューションと比較すると、通常、バックアップ構造の全面的な見直しと変更が必要でしたが、Blocky for Veeamは最も経済的で、同時に最も安全なソリューションです。 Blocky for Veeamは、この3つの基準をすべて満たしており、緊急事態が発生した場合でも、データのバックアップが制限なく、そして何よりも暗号化されることなく利用できることを保証していました。」とMaschinenringe の担当者は総括しています。

サポート体制

• 
• サポートメンバがGRAU DATA認定の資格（Blocky for Veeam Certification）を取得しています。

よくある質問

Blocky を実行するには Linux が必要ですか?

いいえ、Blocky には Linux は必要ありません。Blocky は既存の Windows サーバー上で実行されます。

Blocky には追加のサーバが必要ですか?

いいえ、Blocky は Veeam Backup & Replicationインストールサーバ等の既存Windows サーバで実行できます。

インストールされるプログラムが Blocky for Veeam ではなく Blocky4Backup と呼ばれるのはなぜですか?

Blocky は汎用の保護ソフトウェアであり、必要に応じて他のアプリケーション シナリオも保護できます。Blocky4Backup は Veeam 環境向けに特別にテストされており、それに応じて保守および開発されています。

Veeamのどのバージョンがサポートされていますか?

Blocky は、Veeam の現在のすべてのバージョンと互換性があります。

VeeamのアップグレードやWindows Update時の注意点はありますか？

ホワイトリスト上プログラムの実行可能ファイルが変更される可能性があります。変更されていた場合、アプリケーションの「フィンガープリント」が無効となりますので、更新する必要があります。更新はBlocky GUIの[Trusted Applications]を右クリックし、[Update]を実行することで実施可能です。
最新ではなくなったフィンガープリントを持つプログラムは、 [Trusted Applications]のリストで色付きで強調表示され、必要に応じてアラート通知を構成できます。また、計画されたメンテナンス操作として、アップデートを実施する場合、ボリューム保護がアップデートの動作に影響しないように、一時的に無効化することが推奨されます。例えば、Veeam を古いバージョン (v9 または v10 など) からアップグレードする場合は、Blocky に対して次の手順を実行してください。

• Veeam アップデートの前に、Blockyのボリューム保護を一時的に無効化します。
• Veeam アップデート後に Blockyのボリューム保護を再度有効化します。
• ホワイトリストを更新します。
  ・[Trusted Applications]を右クリックし、[Update]を実行します。
  ・アプリケーション C:\Windows\Veeam\Backup\VeeamDeploymentSvc.exe を [Trusted Applications]に追加します 。

Veeamの場合、どのアプリケーションを登録する必要がありますか？

クリーンな環境で実際にVeeamを動作させ、ホワイトリストに自動追加できます。手動で追加する場合、v11では通常以下の表のアプリケーションを追加します。

アプリケーション	場所
Veeam.Backup.CatalogDataService.exe	C:/Program files/Veeam/Backup and Replication/Backup Catalog
Veeam.Backup.Manager.exe	C:/Program files/Veeam/Backup and Replication/Backup
VeeamDeploymentsvc.exe	C:/Windows/Veeam/Backup and Replication
VeeamAgent.exe	C:/Program files(x86)/Veeam/Backup Transport/x64

保護ボリュームの使用に制限はありますか?

はい、これらのボリュームを他のアプリケーションで、たとえばキャッシュやダンプなどで使用してはなりません。これは理論的には可能ですが、ブロック的なホワイトリストではアプリケーションに属するすべての DLL を識別してフィンガープリントを提供できない可能性があるため、他のアプリケーションの機能は保証できません。

C:ドライブも保護できますか?

いいえ、システムドライブ（C:）は上記と同様の理由から保護できません。

ボリュームの一部のみを保護できますか?

はい、保護はボリューム全体に対して、またはボリュームの最初のディレクトリ レベルの個別ディレクトリに対して有効化できます。これは、個別ディレクトリを他の目的で書き込み可能/変更可能にしておくことができることを意味します。ただし、必要なボリューム ライセンスは常にボリュームの全容量を指します。

Blocky をウイルス対策ソフトウェアなどのセキュリティツールと併用できますか？

もちろん、ウイルス対策ソフトウェアなどのセキュリティツール併用可能です。 不要なウイルス対策の通知を回避するには、フォルダ C:\Program Files\GrauData\Blocky にある BlockyAccessCntrlSvc.exe を、ウイルス対策ソフトウェアのリアルタイム スキャンおよび動作監視から除外する必要があります。

不正な書き込みの試行などはどのように通知できますか？

電子メール、Windowsアプリケーションイベントログ、Blocky ログ (GUIのMonitoring項目）に通知できます。

Blocky 自体はどのように保護されていますか?

Blocky for Veeam はパスワードで保護されています。インストールまたは初回起動時にパスワードを設定する必要があり、Blockyのアップデート、アンインストール、保護機能の有効化/無効化で入力を求められます。

Blocky には CLI がありますか?

はい、Blocky for Veeam はコマンド ライン インターフェイスを提供します。保護に関連するすべてのコマンドにはパスワードの入力が必要です。

Blocky サービス プロセスが終了するとどうなりますか?

Blocky は独自のフィルター技術を使用して、保護されたボリュームへのアクセスを監視します。Blocky GUI が閉じている場合でも、保護は設定どおりに実行されます。ただし、関連するBlockyサービスが変更されるか閉じられると、フィルター ドライバーは完全な保護に切り替わり、ボリュームへの変更が許可されなくなり、管理者に通知されます。

USB ディスク上のボリュームを保護できますか?

はい、USB ディスクが一種の固定ディスクとして使用されている限り、可能です。

Blocky は LOG4J の影響を受けますか?

いいえ、実行可能プログラムとその外部ツール (ライセンス ジェネレーターなど) は C++ で実装されているため、この脆弱性の影響を受けません。