エンドポイントとサーバー向けのランサムウェア データ リカバリ ガイド

AWS ワークスペースを使用して回復する

このアプローチには、次の利点があります。

• 最小限のダウンタイムで最速のデータ復旧を提供
• 情報セキュリティ管理者が隔離された環境でセキュリティ関連の調査を実行してデータを回復できるようにします

手順

1. [Cyber Resilience] > [Ransomware Recovery] で [Malicious File Scan] を有効にして、復元する前にファイルをスキャンします 。詳細については、「悪意のあるファイルのスキャンを有効にする」を参照してください。
   
2. 組織内の調査で悪意のあるファイルを特定したら、それらのファイルの SHA1 の値を追加またはインポートして、Druva  がそれらのハッシュ値のデータをスキャンできるようにします。Druva が一致するファイルを見つけると、ファイルの復元はブロックされます。詳細については、「悪意のあるファイルのファイル ハッシュ値を追加してスキャンする」を参照してください。
3. 異常データ アクティビティ機能を使用して、感染したユーザーまたはデバイスを特定します。

4. 感染したデバイスの数に応じて、AWS ワークスペースを一括デプロイします。Microsoft AD 環境でのワークスペースの一括デプロイの詳細については、  https://aws.amazon.com/blogs/publicsector/automating-deployment-amazon-workspaces-active-directory-group/ を参照してください。 

5. 統合一括導入 (Mass Deployment) を使用して自動復元スイッチ (auto-restore switch) を使用せずに、エンドポイント エージェントを一括展開してワークスペースを自動的にアクティベーションします。詳細については、統合一括導入を参照してください。

6. 感染したすべてのエンドポイントで Druva Restore API を使用して一括復元を開始します。詳細については、  https://developer.druva.com/reference#post_endpoints-v1-restoresを参照してください。 

注意：

• Restore API を使用して一括復元を自動化するためのオートメーションを構築する必要があります。
• WorkspacesにはD:Volumeにユーザー プロファイルがあり、システム ボリュームにアクセスできないため、復元の失敗を避けるためにカスタムの場所に復元することをお勧めします。

感染した既存のデバイスをフォーマットする (OS の再インストール) または新しいデバイスをプロビジョニングする

手順

1. [Cyber Resilience] > [Ransomware Recovery] で [Malicious File Scan] を有効にして、復元する前にファイルをスキャンします 。詳細については、「悪意のあるファイルのスキャンを有効にする」を参照してください。

2. 組織内の調査で悪意のあるファイルを特定したら、それらのファイルの SHA1 の値を追加またはインポートして、Druva  がそれらのハッシュ値のデータをスキャンできるようにします。Druva が一致するファイルを見つけると、ファイルの復元はブロックされます。詳細については、「悪意のあるファイルのファイル ハッシュ値を追加してスキャンする」を参照してください。

3. 異常データ アクティビティ機能を使用して、感染したユーザーまたはデバイスを特定します。

4. 感染したデバイスで新しい OS をフォーマットまたは再展開します。

5. 統合一括導入 (Mass Deployment) を使用して自動復元スイッチ (auto-restore switch) を使用せずに、エンドポイント エージェントを一括展開してワークスペースを自動的にアクティベーションします。

6. 感染したすべてのデバイスで、Druva Restore API を使用して一括復元を開始します。https://developer.druva.com/reference#post_endpoints-v1-restoresを参照してください。 

注:　Restore API を使用して一括復元を自動化するためのオートメーションを構築する必要があります。

感染したデバイスを復元先として使用する

手順

1. [Cyber Resilience] > [Ransomware Recovery] で [Malicious File Scan] を有効にして、復元する前にファイルをスキャンします 。詳細については、「悪意のあるファイルのスキャンを有効にする」を参照してください。 

2. 組織内の調査で悪意のあるファイルを特定したら、それらのファイルの SHA1 の値を追加またはインポートして、Druva  がそれらのハッシュ値のデータをスキャンできるようにします。Druva が一致するファイルを見つけると、ファイルの復元はブロックされます。詳細については、「悪意のあるファイルのファイル ハッシュ値を追加してスキャンする」を参照してください。

3. 異常データ アクティビティ機能を使用して、感染したユーザーまたはデバイスを特定します。

4. 感染したすべてのエンドポイントで Druva Restore API を使用して一括復元を開始します。https://developer.druva.com/reference#post_endpoints-v1-restoresを参照して ください。 

注:　Restore API を使用して一括復元を自動化するためのオートメーションを構築する必要があります。

AWS EC2 を使用してデータを回復する

このアプローチには、次の利点があります。

• 最小限のダウンタイムで最速のデータ復旧を提供
• 情報セキュリティ管理者が隔離された環境でセキュリティ関連の調査を実行してデータを回復できるようにする

手順

1. [Cyber Resilience] > [Ransomware Recovery] で [Malicious File Scan] を有効にして、復元する前にファイルをスキャンします 。詳細については、「悪意のあるファイルのスキャンを有効にする」を参照してください。 

2. 組織内の調査で悪意のあるファイルを特定したら、それらのファイルの SHA1 の値を追加またはインポートして、Druva  がそれらのハッシュ値のデータをスキャンできるようにします。Druva が一致するファイルを見つけると、ファイルの復元はブロックされます。詳細については、「悪意のあるファイルのファイル ハッシュ値を追加してスキャンする」を参照してください。

3. 異常データ アクティビティ機能を使用して、感染したユーザーまたはデバイスを特定します。

4. ファイルとフォルダーのバックアップと復元を行うために、 Phoenix をセットアップします。

• 適切なリソースとストレージを備えた EC2 インスタンスをデプロイする

• オペレーティング システムをインストールする

• ファイル サーバー エージェントをインストールし、サーバーを登録します。詳しくはエージェントのインストールとサーバーの登録を参照してください。

5. バックアップ セット内の最新のスナップショットから復元を開始するか、クリーンなスナップショットを特定してから復元を開始します。詳細については、「ファイルとフォルダーを復元する」を参照してください。

新しいファイル サーバーまたは仮想マシンをセットアップする、または感染した既存ファイル サーバーをフォーマットする (OS の再インストール)。

手順

1. [Cyber Resilience] > [Ransomware Recovery] で [Malicious File Scan] を有効にして、復元する前にファイルをスキャンします 。詳細については、「悪意のあるファイルのスキャンを有効にする」を参照してください。

2. 組織内の調査で悪意のあるファイルを特定したら、それらのファイルの SHA1 の値を追加またはインポートして、Druva  がそれらのハッシュ値のデータをスキャンできるようにします。Druva が一致するファイルを見つけると、ファイルの復元はブロックされます。詳細については、「悪意のあるファイルのファイル ハッシュ値を追加してスキャンする」を参照してください。

3. 異常データ アクティビティ機能を使用して、感染したユーザーまたはデバイスを特定します。   

4. 新しいファイル サーバーをセットアップするには、ファイル サーバー エージェントをインストールし、サーバーを登録します。詳しくはエージェントのインストールとサーバーの登録を参照してください。バックアップ セット内の最新のスナップショットから復元を開始するか、クリーンなスナップショットを特定してから、新しいファイル サーバーへの復元を開始します。詳細については、「 ファイルとフォルダーを代替ファイル サーバーに復元する」を参照してください。

5. 感染したファイル サーバーがフォーマットされ、OS が再インストールされた場合、同じサーバーを再登録する必要があります。詳細については、「ファイル サーバーの再登録」を参照してください。バックアップ セット内の最新のスナップショットから復元を開始するか、クリーンなスナップショットを特定してから、同じファイル サーバーまたは元のファイル サーバーへの復元を開始します。詳細については、「 ファイルとフォルダーを元のファイル サーバーに復元する」を参照してください。

AWS で新しい NAS 共有をセットアップする

このアプローチには、次の利点があります。

• 最小限のダウンタイムで最速のデータ復旧を提供
• 情報セキュリティ管理者が隔離された環境でセキュリティ関連の調査を実行してデータを回復できるようにします

手順

1. [Cyber Resilience] > [Ransomware Recovery] で [Malicious File Scan] を有効にして、復元する前にファイルをスキャンします 。詳細については、「悪意のあるファイルのスキャンを有効にする」を参照してください。

2. 組織内の調査で悪意のあるファイルを特定したら、それらのファイルの SHA1 の値を追加またはインポートして、Druva  がそれらのハッシュ値のデータをスキャンできるようにします。Druva が一致するファイルを見つけると、ファイルの復元はブロックされます。詳細については、「悪意のあるファイルのファイル ハッシュ値を追加してスキャンする」を参照してください。

3. 異常データ アクティビティ機能を使用して、感染したユーザーまたはデバイスを特定します。   

4. AWS に新しい NAS プロキシを登録します。詳細については、「NAS プロキシを追加してアクティブ化する」を参照してください。

5. NAS デバイスを追加し、NAS プロキシにマッピングして、新しい NAS ボックスをセットアップします。詳細については、「NAS デバイスを追加する」を参照してください。

6. Phoenix 管理コンソールで、構成済みの新しい NAS デバイスに NAS 共有を追加します。詳細については、「NAS 共有を追加する」を参照してください。

7. バックアップ セット内の最新のスナップショットから復元を開始するか、クリーンなスナップショットを特定してから復元を開始します。詳細については、「NAS 共有を追加する」を参照してください。

新しい NAS 共有をセットアップするか、感染した既存の NAS デバイスをフォーマットします (OS の再インストール)。

手順

1. [Cyber Resilience] > [Ransomware Recovery] で [Malicious File Scan] を有効にして、復元する前にファイルをスキャンします 。詳細については、「悪意のあるファイルのスキャンを有効にする」を参照してください。

2. 組織内の調査で悪意のあるファイルを特定したら、それらのファイルの SHA1 の値を追加またはインポートして、Druva  がそれらのハッシュ値のデータをスキャンできるようにします。Druva が一致するファイルを見つけると、ファイルの復元はブロックされます。詳細については、「悪意のあるファイルのファイル ハッシュ値を追加してスキャンする」を参照してください。

3. 異常データ アクティビティ機能を使用して、感染したユーザーまたはデバイスを特定します。   

4. NAS デバイスを追加し、NAS プロキシにマッピングして、新しい NAS ボックスをセットアップします。詳細については、「NAS デバイスを追加する」を参照してください。
5. Phoenix 管理コンソールで、構成済みの新しい NAS デバイスに NAS 共有を追加します。詳細については、「NAS 共有を追加する」を参照してください。

6. バックアップ セット内の最新のスナップショットから復元を開始するか、クリーンなスナップショットを特定してから復元を開始します。詳細については、「NAS 共有を追加する」を参照してください。
    また
   影響を受けた NAS 共有が消去された場合、または NAS ボックスがフォーマットされた場合は、元のオプションへの復元を使用して、最新のスナップショットから同じ共有への復元を開始します。詳細については、「NAS 共有を追加する」を参照してください。