NASのランサムウェア対策は？社内のファイルサーバーを守る権限と保存の設定

NASのランサムウェア対策は、管理者IDを普段使わない、共有フォルダーの書き込み権限を絞る、消せないスナップショットを作る、NASの外にも保存する、の4つ⁠を組み合わせて行います。どれか1つでは足りません。

今日やることは、NASの管理者ログインを確かめることです。普段の業務のIDが管理者になっていないか、「admin」⁠を複数人で共用していないかを見ます。あわせて、機種名とファームウェアの版を控えます。次の設定で使える機能が、それで決まります。

なぜNASのバックアップが消されるのか？

警察庁の令和8年上半期の資料⁠によると、攻撃者は侵入後に管理者権限の奪取を試み、社内を調べて重要なデータとバックアップを探します。NASは、その両方が置かれやすい場所です。

結果は統計に出ています。同じ時期の統計データでは、復元の結果を答えた40件⁠のうち29件⁠が復元できませんでした。その理由の最多は「バックアップの暗号化・消去」⁠の14件です。次が「運用の不備」⁠の8件でした。

NASに限った数字ではありません。ただ、バッファローも、不正に入手した管理者アカウント情報で、NASやファイルサーバーのバックアップデータを削除するケースが発生していると説明しています。攻撃全体の流れはランサムウェアの5段階を整理した記事を、対策の全体像はランサムウェア対策のカテゴリ⁠をご覧ください。

スナップショットとは？どこまで守れるのか？

スナップショットとは、ある時点のファイルの状態を記録し、あとからその時点へ戻せるようにする機能です。QNAPは、ファイルシステムとは分かれているため、ボリュームが被害を受けても暗号化前のファイルを復元できると説明しています。

ただし弱点は管理者権限です。QNAPの不変ストレージのページ自身が、攻撃は侵害した管理者権限でバックアップやスナップショットを狙うことが多いと書いています。普通のスナップショットは、管理者なら消せるものと考えて設計します。

そこで使うのが不変スナップショットです。決めた保護期間のあいだ、変更も削除もできなくする機能で、主な製品は次のとおりです。

機能の有無は機種と版で変わります。上の表は各社の公式ページで確かめた内容で、私たちが実機で試したものではありません。設定の前に、お使いの機種のマニュアルを確かめてください。

権限はどう分ければいいのか？

スナップショットの前に権限を直します。警察庁は権限と触れる範囲を最小にするよう求め、IPAの解説も共有サーバーへのアクセス権の最小化を挙げています。NASでは次の順に見直します。

1. 管理者IDを業務のIDから切り離す

管理画面に入る専用のIDを作り、普段のパソコンにはパスワードを保存しません。多要素認証が使える機種なら設定します。

2. バックアップ用のIDを分ける

QNAPの手順は、ファイルを送る側には権限を絞ったアカウントを使い、スナップショットの設定は管理者のアカウントで行う形です。送る側のパソコンを乗っ取られても、管理者の操作までは届きにくくなります。

3. 共有フォルダーを部署の単位で分ける

ランサムウェアは、感染したパソコンのIDで書き込める範囲に影響を及ぼすと考えて、書き込みの範囲を狭くします。読むだけで足りる人は読み取り専用にします。

たとえば金属部品を作る会社なら、次のような分け方が考えられます。

確定版の図面を「全員が書き込める」状態から変えるだけでも、1人⁠の感染で書き換わる範囲は狭まります。あわせて、退職者のIDとゲストのアクセスを消します。

4. 管理画面を社外に出さない

警察庁は、インターネットに公開している機器について、触れる範囲を限定するよう求めています。社外からNASへ直接つなぐ設定があれば、必要かどうかを確かめます。遠隔から使うなら、VPN機器の更新と多要素認証を同時に見直します。

スナップショットの頻度と保護期間はどう決めるのか？

正解の数字はなく、会社ごとに2つ⁠の問いで決めます。

• 頻度：何時間ぶんの作業なら失っても取り戻せるか
• 保護期間：異常に気づくまで、何日かかりそうか

たとえば、毎日図面を更新する部署が「半日ぶんなら描き直せる」⁠と考えるなら、数時間ごとに作ります。週末や長期休暇の間に攻撃されても気づけるよう、保護期間は最も長い休みより長くします。この例は考え方の説明で、基準として公表された数字ではありません。

注意点は容量です。不変スナップショットは保護期間中に消せないので、そのぶん領域を使います。QNAPは、暗号化の連続書き込みで容量が尽き、保護に失敗する恐れがあるとして、スナップショット用の領域を予約する機能を用意しています。保護期間を決めるときは、空き容量とデータの増え方も一緒に見ます。

NASの外には何を置くのか？

NASの中のスナップショットだけでは、機器の故障、火災、機器そのものの破壊には備えられません。IPAの解説は3-2-1ルールを紹介しています。データを計3つ持ち、2種類の媒体に分け、1つ⁠は別の拠点に置く考え方です。拡張版の3-2-1-1-0では、不変またはオフラインのコピーを1つ足し、定期的な検証でエラーゼロを保ちます。

中小企業の現実的な形としては、次の2つ⁠があります。

• 外付けのディスクへ取り、終わったら外して別の場所に保管する。手間はかかるが、ネットワークから切り離せる
• 別のNASやクラウドへ送る。自動にできるが、同じ管理者IDで消せない形にする

警察庁もネットワークから切り離した保存を勧めています。自動のサービスを選ぶなら、法人向けバックアップの製品比較で、書き換えできない保存に対応するかを確かめるのが近道です。

設定したら戻してみます。IPAは、取得するだけで終わらず、どれだけ早く戻せるかまで設計するよう書いています。年に1回でも、確定版の図面フォルダーを別の場所へ戻し、開けるかどうかと、かかった時間を記録します。統計にある「運用の不備」⁠の一部は、こうした練習で先に見つけられます。

スナップショットで防げないものは？

情報の持ち出しです。戻せても、盗まれたデータは戻りません。ファイルサーバーから個人情報や契約書が漏れた場合の対応は、KADOKAWAの公式発表を整理した記事⁠で扱っています。

持ち出しへの手は、触れる人を減らす権限の整理と、置かないデータを決めることです。特に機密性の高いファイルは、ファイル暗号化の製品比較も選択肢になります。ただし、正しいIDで開ける状態のファイルは読まれる可能性があるので、権限の整理の代わりにはなりません。

Windowsのファイルサーバーを使っている場合も、管理者IDの分離、書き込みの範囲、消せない保存、外の保存という確認項目は同じです。サーバーそのものの監視や防御はサーバーセキュリティの製品比較で比べられます。

感染に気づいたら、NASをどうするのか？

QNAPの手順は、パソコンをインターネットから切り、感染したパソコンとNASの接続を切り、可能ならNASのケーブルも外す流れです。スナップショットから戻すまで、感染した共有フォルダーをパソコンにつながないよう案内しています。

慌てて戻す前に相談します。警察庁は侵入経路や範囲の調査が必要になるとしており、原因が残ったまま戻すと、また同じ入口を使われるおそれがあります。警察のサイバー犯罪相談窓口と、IPAの相談窓口⁠の連絡先は、NASの管理台帳に一緒に書いておきます。