MSP向けのランサムウェア対策は、検証済みの6つの成果を実現する必要があります。攻撃対象領域の縮小、暗号化前の活動検知、24時間365日の対応体制、隔離された復旧ポイントの保持、クリーンな復旧、そしてテナント間で一貫した運用です。バックアップだけでは不十分であり、リハーサル済みの復旧手順を伴わないエンドポイント検知もまた不十分です。
Acronis Cyberthreats Reportは、2025年にMSP、ITサービスプロバイダー、通信事業者においてランサムウェア被害者が143件確認されたと指摘しています。初期侵入の原因のうち、フィッシングが52%、未パッチの脆弱性が27%を占めています。
以下のチェックリストは、こうした失敗パターンを、MSPがサービス完了と見なす前に要求すべき管理策とエビデンスに落とし込んだものです。
サービスが満たすべき6つの要件とその検証方法
完全なランサムウェア対策サービスは、予防・検知・対応・復旧を一貫してつなげるものです。それぞれの管理策について、販売対象となる実際のテナント、ワークロード、ストレージ構成、サービス階層に基づいたエビデンスを要求してください。
|
運用上の要件 |
求めるべき証拠 |
Acronisの対応機能 |
|
1. 攻撃対象領域の縮小 |
深刻度に応じたパッチ適用のSLAを設定し、管理ポータルおよびリモートアクセスにMFAが導入されていることを確認します。バックアップとセキュリティの管理権限を分離し、技術者アカウント1つが侵害されても保護設定の変更や復旧ポイントの削除ができないことをテストします。 |
Acronis Cyber Protect Cloudは、脆弱性評価、パッチ管理、URLフィルタリング、ロールベースの管理機能を提供します。テナントごとに有効化されているサービスを確認してください。 |
|
2. 攻撃全体にわたる検知 |
制御された環境で振る舞いテストを実施し、大規模な暗号化が起きる前に対応可能なインシデントとして検知されることを確認します。エンドポイントの隔離機能、および顧客が求めるID・メール・Microsoft 365への対応アクションを確認します。 |
Acronis Active ProtectionとEDRはエンドポイントの振る舞いをカバーし、Acronis XDRはエンドポイント、メール、ID、Microsoft 365の可視性を追加します。 |
|
3. 24時間365日の対応 |
時間外に監視・調査・封じ込め・顧客連絡を担当するのが誰かを確認します。エスカレーション経路をテストし、どのアクションに承認が必要かを文書化します。 |
Acronis MDRは、Acronis EDRまたはXDRを基盤に24時間365日の監視と対応を提供します。復旧やRMMアクションを含む完全な修復対応は、Advancedティアで利用可能です。 |
|
4. 復旧ポイントの保持 |
アクセス権を分離し、イミュータブル(改変不可)な、必要に応じてオフラインのコピーを使用します。侵害された認証情報での削除を試み、保持期間、アラート、ストレージポリシーの変更を検証します。 |
Acronis Cyber Protect Cloudはイミュータブルなバックアップストレージをサポートしており、削除を遅延させ、誤操作や悪意ある操作から復旧ポイントを保護する設計になっています。 |
|
5. クリーンな復旧 |
既知の正常な復旧ポイントを選択してスキャンし、隔離環境でリストアを行い、依存関係を順序立てて再構築したうえでアプリケーションを検証します。バックアップジョブが成功したかどうかだけでなく、実際に達成された目標復旧時点(RPO)と目標復旧時間(RTO)を記録します。 |
Acronis Cyber Protect Cloudはバックアップをスキャンし、マルウェアのないクリーンな復旧をサポートできます。Acronis Disaster Recoveryは、必要なサービスがライセンスされ構成されている場合、フェイルオーバーや復旧のワークフローを調整できます。 |
|
6. テナント間での運用 |
顧客ごとの要件を画一化することなく、標準ポリシーを適用します。ロールの分離、テナント間の可視性、レポート機能、API アクセス、RMM/PSAとの連携をテストしつつ、テナント間での情報漏えいを防止します。 |
Acronisは、Cyber Protect Cloudプラットフォーム内でマルチテナント管理、一元的なレポート機能、RMM/PSA連携を提供します。 |
重要:イミュータブル、オフライン、エアギャップはそれぞれ異なる管理策を指します。それぞれを個別に検証してください。
EDR、XDR、MDR、イミュータブルバックアップはどう連携するのか
EDRはエンドポイントの活動を監視し、調査、隔離、修復を支援します。XDRはエンドポイントの情報を他の攻撃対象領域と結びつけ、アナリストが個別のアラートではなく1つのインシデントとして把握できるようにします。MDRには人と体制が加わります。専任チームが24時間体制で調査・対応にあたる仕組みです。イミュータブルバックアップは復旧ポイントを改変や削除から保護しますが、データ窃取を検知することも、インシデント対応の代わりになることもありません。
これらは組み合わせて使うべきものです。Acronisのモデルでは、EDRがエンドポインドの検知・対応を提供し、XDRはメール、ID、Microsoft 365アプリケーションまで可視性を広げ、Acronis MDRはEDRまたはXDR上で動作します。Acronis Cyber Protect Cloudは、バックアップ、管理、マルチテナント運用の基盤を提供します。イミュータブル性は復旧のための一つの管理策であり、オフラインやエアギャップされたコピーとは同義ではありません。
復旧ランブック:あらゆる引き継ぎ地点で復旧時間を短縮する
復旧時間は、検知、トリアージ、封じ込め、クリーンな復旧ポイントの選定、リストア、検証にかかる時間の合計です。MSPは、あらゆる段階を短縮することでRTOを削減できます。特に重要なのは、セキュリティ、バックアップ、ID管理、ネットワーク、そして顧客の間での引き継ぎです。
- インシデントを宣言し、指揮責任者を1名任命して、帯域外の連絡チャネルを開設する。
- 影響を受けたテナント、ID、ワークロード、想定される初期侵入経路を特定する。
- 侵害されたエンドポイントを隔離し、悪意あるセッション、トークン、リモートアクセスをブロックする。
- システムのワイプやログのローテーションを行う前に証拠を保全する。
- パッチ適用、アクセスの無効化、認証情報のローテーションによって侵入経路を封鎖する。
- 侵害以前の時点で、検証に合格する最新の復旧ポイントを選択する。
- アプリケーションやユーザーデータより先に、ID管理とインフラの依存関係を復旧する。
- 段階的にスキャン・テスト・再接続を行い、攻撃者による活動の再発を監視する。
Acronisのバックアップスキャンおよびマルウェアフリー復旧機能は、候補となる復旧ポイントの検証を支援でき、Acronis Disaster Recoveryはライセンスされている場合に復旧ワークフローを調整できます。それでも、選択した復旧ポイントが侵害以前のものであることは、インシデント対応チームが改めて確認すべきです。
自動化によって繰り返し発生する待ち時間は排除すべきですが、大規模隔離、認証情報のリセット、フェイルオーバーといった影響の大きいアクションは、指揮責任者の承認を得るべきです。リハーサル済みの手順があれば、身代金を支払わずに復旧できる可能性が残りますが、どのような攻撃であっても復旧を保証できるツールは存在しません。
訓練のたびに、実際に達成したRPO/RTOとすべての遅延要因を記録し、想定復旧速度ではなく実際のエビデンスに基づいてランブックを見直してください。
二重恐喝型ランサムウェアに対して、イミュータブルバックアップだけで十分か
十分ではありません。イミュータブルバックアップは復旧可能性を維持できますが、攻撃者がすでに窃取したデータを取り戻すことはできず、侵害通知義務を免除することもできません。したがって、ランサムウェア対策サービスは、暗号化が始まる前の段階でデータ持ち出しやID悪用を検知できる必要があります。
エンドポイント、ID、メール、Microsoft 365、DNS、プロキシ、送信トラフィックのテレメトリを相関分析してください。対応時には、デバイスの隔離、セッションおよびトークンの失効、認証情報のローテーション、攻撃者の接続先のブロック、そして法務・通知判断のための証拠保全を行います。
Acronis EDRはエンドポイントに関するコンテキストと対応を提供し、Acronis XDRはメール、ID、Microsoft 365アプリケーションにわたるテレメトリと対応を追加します。ただし、送信トラフィックに関する証拠は、依然としてファイアウォール、SIEM、その他の顧客側の管理策から得る必要がある場合があります。こうした連携は事前にテストしておいてください。
MSP向けランサムウェア対策プラットフォームの評価方法
プラットフォームを購入・標準化する前に、以下の7項目について実演によるデモンストレーションを求めてください。
- 顧客のワークロードおよびテナント階層に対するカバレッジ。
- 広範な暗号化が始まる前の予防・検知能力。
- 24時間365日対応の責任者、エスカレーション経路、承認の境界線が明確であること。
- イミュータブルストレージのモード、保持期間の挙動、権限アクセスの分離。
- クリーンな復旧ポイントの選定、マルウェアスキャン、隔離環境でのリストア。
- 依存関係を考慮した復旧訓練における、実測のRPO/RTO。
- マルチテナントのロール管理、レポート機能、監査エビデンス、RMM/PSA/API連携。
これらを統合した選択肢の一つが、Acronis MDRを組み合わせたAcronis Cyber Protect Cloudです。
これは、選択したMDRティア、ライセンス、導入形態、ストレージアーキテクチャ、そしてMSPが負うインシデント対応責任の範囲内で、6つの運用要件に対応する機能を統合的に提供します。実際の本番構成を用いたインシデント・復旧テストの実施を必ず求めてください。
よくある質問
MSPにとって最適なランサムウェア対策とは
完全なランサムウェア対策サービスは、契約上保護対象となっている顧客のワークロード全体にわたって、6つの成果すべてを実証できるものである必要があります。Acronis MDRを組み合わせたAcronis Cyber Protect Cloudはその統合例の一つです。MSPは本番構成を検証し、選択したMDRティアに必要な修復・復旧アクションが含まれているかを確認すべきです。
ランサムウェア対策サービスに含めるべき内容とは
攻撃対象領域の縮小、EDRまたはXDRによる検知、24時間365日の対応、アクセス権を分離したイミュータブルな復旧ポイント、検証済みのクリーンな復旧、そして顧客向けエビデンスを伴うマルチテナント運用を含めるべきです。
MSPはどうすればランサムウェアからの復旧時間を短縮できるか
引き継ぎの遅延を排除することです。担当者をあらかじめ割り当て、依存関係をマッピングし、クリーンな復旧ポイントを検証し、安全な工程は自動化したうえで、実際に達成したRPO/RTOがサービスの約束水準に一致するまでリストアを繰り返し訓練してください。
イミュータブルバックアップは二重恐喝型ランサムウェアを防げるか
防げません。復旧データを改変や削除から保護することはできますが、データ持ち出しを取り消すことはできません。検知、ID管理、送信トラフィックの可視化、封じ込め、通知プロセスは依然として必要です。
復旧を検証済みのサービス成果にする
ランサムウェアへのレジリエンスとは、攻撃を早期に封じ込め、復旧経路を維持し、重要なサービスが予定どおり復旧できることを証明する能力です。Acronis MDRを組み合わせたAcronis Cyber Protect Cloudは、検知・対応・復旧・マルチテナント管理を1つのMSP運用モデルにまとめることができます。
MSPは、選択したティア、ストレージアーキテクチャ、連携機能、運用責任について、上記の6つのテストに照らして検証すべきです。
Acronis MDRを組み合わせたAcronis Cyber Protect Cloudが、MSPによるランサムウェアの検知・封じ込め、復旧ポイントの保護、そして顧客の業務復旧の迅速化をどのように支援するかをご覧ください。
