24/30
４０６ 検知
「いつ暗号化されたのか、調べるのに苦労しそうですね」
「全ての書類を、一気に変更することはありますか？」
「ありません」
「全ての書類を一気に変更すれば、増分バックアップにより保存されるデータサイズはどうなるでしょうか。その日だけ、急激に増加する現象が発生します。この状態を異常と検知し、通知させることで、暗号化された翌日には、被害に遭った事実を知ることが可能になります」
「そうしてもらえると、安心出来ます」
異常を検知する方法は、色々ある。
例えば、サイバー攻撃を仕掛ける場合。乱波は、施設に対し、何らかの行動を起こす。
入口での認証履歴や、施設内での行動履歴は、適宜記録される。
不正を働らいている自覚がある乱波は、不正の証跡である履歴の消去を試みる。
履歴は、原則として積み上げていくもの。
一定の容量に達したり、期間で区切り、記録する書類を変えるログローテーションを行うことはある。けれど、記録している最中に、部分的に消失するような運用はしない。
つまり、履歴の容量が予定外のタイミングで減少すれば、不正が発生したと判断可能。
履歴は、記録されている情報を読むだけでなく、履歴そのものを監視することでも、異常検知に役立てられる。
乱波が、証拠隠滅のため、改竄したり、履歴を削除する可能性を否定出来ない。
その後のリスクを排除するため、ファイアウォール、プロキシサーバ、 DNSサーバ、認証サーバ、メールサーバを運用している場合、各々の履歴を、一年分程はバックアップを残しておくことが望ましい。
履歴をバックアップ対象に追加する。
