共有ストレージの被害から復旧演習へ知識を実践に変える
共有ストレージの被害に備えるには、バックアップの知識を読むだけでなく、実際に復元し、業務に使えるかを確かめる経験が必要です。佐賀大学の被害公表を手がかりに、サイバーレンジと机上演習を組み合わせた学習ルートを考えます。
佐賀大学の公表で確認できる被害
佐賀大学は9月28日の発表で、9月24日に事務部門のNASでランサムウェアによると思われる被害を確認し、CSIRTを中心に対応したと説明しました。事務用端末は9月27日に利用を再開し、9月28日から通常業務を再開したとしています。また、その発表時点で、教育・研究・診療業務に関係するシステムへの影響は確認されていないとしています［1］。大学全体の教育や診療が停止した事例として扱うのは適切ではありません。
共有領域の役割を問い直す
この事例から、自組織のNASや共有フォルダーが、どの業務と誰を支えているかを確認したいところです。共通の保管場所には、日常の書類、個人情報、復旧に必要な資料まで集まりがちです。アクセスできる人が多いほど、権限の管理が難しくなることもあります。これは被害組織の管理不備を推定した指摘ではありません。便利さのために増えた共有範囲が、現在の業務に本当に必要かを見直すための観点です。
復旧に使えるコピーを確保する
共有ストレージと同じ認証情報や管理権限で変更できるバックアップには、同時に影響を受けるリスクがあります。CISAは重要データのオフラインで暗号化されたバックアップと、可用性・整合性の定期的な検証を推奨しています［2］。対策の確認では、バックアップの作成成功だけでなく、隔離した環境に必要なファイルを戻せるかを試します。業務担当者が、内容の正しさと必要な時点のデータであることまで確認して、初めて業務の復旧に使えるコピーかどうかを判断できます。
SudoRangeと補助演習を組み合わせる
SudoRangeを活用する場合は、ネットワーク、OSの権限、ログ分析など、今回の学習目標に対応するラボを実際のカタログで確認して選びます。本記事は、NASのランサムウェア被害や復旧をそのまま再現する特定ラボが提供されていると示すものではありません。復元や業務確認を含む部分は、許可された別の検証環境や机上演習で補う構成が考えられます。知識を学ぶ、操作で確かめる、結果を説明する、という流れを意識します。
演習で確認する四つの成果
練習には架空のファイルと許可された環境を使い、本番システムや実際の漏えいデータを持ち込まないようにします。最初に隔離の対象と理由を説明し、次に必要なアクセス権限を確認します。その後、バックアップを復元し、最後に業務担当者が内容と更新時点を確かめます。評価するのは、復元ができたことに加え、どのデータを戻したか、何が失われたか、業務再開の前に何を確認したかを説明できることです。演習で迷った点は、CyBOKのNetwork SecurityやSecurity Operations & Incident Managementへ戻って確認します。
次に読む
知識を実践に変える Cyber RangeとSudoRangeで何が学べるか
安全な演習環境で知識を操作と判断につなげる方法を紹介します。
CTFは何を学べるのか Cyber Challengeを競技で終わらせない
演習を振り返り、次の学習課題を見つける考え方を紹介します。