バックアップ用 NAS を初期化されても復旧できるようにする（SafePay 事例）

ランサムウェア SafePay の攻撃では、バックアップを置いた NAS を工場出荷時の状態に戻して復旧を妨げる行為が確認された。ネットワークから届くバックアップは消される前提で、オフラインで変更できないコピーを持つ。

FBI・CISA など米英独 6 機関の共同勧告に、SafePay がバックアップ用 NAS を初期化したこと、Windows のボリュームシャドウコピーサービスを止めたことが記載されている。
侵入後に管理者権限を取った攻撃者は、暗号化の前に復旧手段を壊しにくる。同じネットワークにあり、同じ管理者アカウントで触れるバックアップは一緒に失われる。

オフラインで変更できないコピーを持つ。 少なくとも 1 つはネットワークから切り離すか、一定期間削除・上書きできない保管方式（オブジェクトロック、WORM、イミュータブルスナップショット）にする。
物理的に別の場所に複数のコピーを置く。 組織全体のデータを対象にする。
バックアップ自体を暗号化する。
NAS とバックアップ基盤の管理画面を分離する。 業務ネットワークから管理インターフェイスに届かないようにし、ドメイン管理者とは別のアカウントと多要素認証で守る。初期化・削除の操作に別の承認が要る機能があれば使う。
復元手順を定期的に試す。 バックアップが取れていても、戻せなければ意味がない。
管理者権限を絞る。 必要な担当者に必要なときだけ付与し、新規・休止中・見覚えのないアカウントを点検する。リモート管理機能への接続元も制限する。