バックアップは取れている。でも、そのデータは無事ですか？

「バックアップは毎晩きちんと取れています」。
情報システム担当者にとって、この一文は安心材料です。ところが、ランサムウェアの被害が起きたあとに聞かれる質問は、たいてい違う角度から飛んできます。

「そのバックアップ、汚染されていませんか？」。
バックアップジョブが正常終了していても、バックアップ対象マシンの中で怪しいファイルが増え始めていたとしたら、その事実はジョブのステータスには表れません。

Veeam Backup & Replication は、バックアップを取得するタイミングでバックアップ対象マシンのファイルやフォルダのインデックス情報を作成し、その内容を分析してマルウェアの動きに類似した「疑わしい動き」を知らせる機能を備えています。その機能が File System Activity Analysis（旧 Guest Indexing Data Scan）です。CTCエスピーでは Veeam Backup & Replication v13.1.0.411 を用いて、この File System Activity Analysis の設定方法と挙動を検証しました。

この記事を読むとわかること

Veeam Backup & Replication が備えるマルウェア検知機能の種類と、それぞれの検知タイミング
File System Activity Analysis の前提条件とサポートプラットフォーム
Veeam Backup & Replication v13.1.0.411 における設定手順と、検知時に表示される画面
検知したあと、Veeamでのアラートおよびバックアップステータスの内容

なお、本記事に記載した検知の挙動は、特定の検証環境で Veeam Backup & Replication v13.1.0.411 を用いて確認した結果です。すべての環境で同じ結果になることを保証するものではありません。また、File System Activity Analysis はマルウェアを完全に検知する機能ではありません。

1．Veeam Backup & Replication のマルウェア検知機能の全体像

Veeam Backup & Replication には、マルウェアを検知するための方法が複数用意されています。検知する対象と検知のタイミングがそれぞれ異なるため、まずは全体像を押さえると理解が進みます。本検証が扱う File System Activity Analysis は、「バックアップ対象マシンでの潜在的な攻撃を検知」する目的に位置づけられる機能です。

目的	Veeam機能名	検知タイミング	検知内容
バックアップ対象マシンでの潜在的な攻撃を検知	File System Activity Analysis（旧 Guest Indexing Data Scan）	バックアップジョブが完了し、インデックスがバックアップサーバーに保存された時	ファイルシステムアクティビティ分析 ・既知の疑わしいファイルと拡張子を検知 ・Veeamが定義している「侵害の兆候」に該当するファイルを検知 ・25時間以内に複数ファイルが削除されたかを検知 ・25時間以内に複数の拡張子を持つファイルが作成されたかを検知
	Inline Scan	バックアップ時	インラインエントロピー分析 ・暗号化データが急増しているかを検知 ・Onion links を検知 ・Ransom notes を検知
バックアップデータに対する感染検知	Scan Backup（Veeam Threat Hunter）	任意（スケジュール、手動）	Veeam Threat Hunterによるシグネチャベースでのスキャン ・バックアップデータ内のリストアポイントに対してVeeam Threat Hunterを利用したスキャンを実施して感染の疑いがあるデータを検知
	Scan Backup（サードパーティ製アンチウイルスソフトウェア）	任意（スケジュール、手動）	サードパーティ製アンチウイルスソフトウェアによるマルウェア検知 ・バックアップデータ内のリストアポイントに対してサードパーティ製アンチウイルスソフトウェアを利用したスキャンを実施して感染の疑いがあるデータを検知
	Scan Backup（YARA）	任意（スケジュール、手動）	YARAルールによるマルウェア検知 ・バックアップデータ内に定義したYARAルールに該当するファイルと拡張子を検知 ※ファイルの中身まで確認可能
クリーンなリストア	Secure Restore（Veeam Threat Hunter）	リストア時	Veeam Threat Hunterによるシグネチャベースのスキャン ・リストア時、Veeam Threat Hunterを利用したスキャンを実施して感染の疑いがある場合はネットワークから隔離してリストア、またはリストアを中止
	Secure Restore（サードパーティ製アンチウイルスソフトウェア）	リストア時	サードパーティ製アンチウイルスソフトウェアによるスキャン ・リストア時、サードパーティ製アンチウイルスソフトウェアを利用したスキャンを実施して感染の疑いがある場合はネットワークから隔離してリストア、またはリストアを中止
	Secure Restore（YARA）	リストア時	YARAルールによるマルウェア検知 ・リストア時、定義したYARAルールに該当するファイルや拡張子があるかを確認して、該当する場合はネットワークから隔離してリストア、またはリストアを中止 ※ファイルの中身まで確認可能

2．File System Activity Analysis が検知する内容

File System Activity Analysis は、バックアップを取得するタイミングでバックアップ対象マシンへアクセスし、ファイルやフォルダのインデックス情報（ゲストインデックスデータ）を作成します。Veeam Backup & Replication は、作成されたインデックスデータに対してファイルシステムアクティビティ分析を行い、マルウェアアクティビティを検知します。ただし、感染先やシステム内に侵入したあと、特定の条件が揃うまで活動を停止して検知や解析を逃れる「休眠状態のマルウェア」に関しては検知することはできない点に注意してください。

▲File System Activity Analysis の処理の流れを示した構成図。Veeamサーバーが定義ファイルをダウンロードし、インデックスファイルと突き合わせて検知する

File System Activity Analysis が検知するマルウェアアクティビティは次の4種類です。いずれも、作成されたインデックスデータと過去のリストアポイントとの比較、あるいはVeeam社から提供される定義ファイルとの照合によって判定されます。

マルウェアアクティビティ	内容
マルウェアでよく使用される疑わしいファイルや拡張子を検知	Veeam社から提供される定義ファイルを利用して、作成されたインデックスデータから疑わしいファイルと拡張子を検知する。
MITRE ATT&CK マトリックスを使用した侵害の兆候を検知	作成されたインデックスデータと、過去25時間以内の最も古いリストアポイント（無い場合は30日間の最新のリストアポイント）と比較して侵害の兆候があれば検知する。
複数の削除されたファイルの有無を検知	作成されたインデックスデータと、過去25時間以内の最も古いリストアポイント（無い場合は30日間の最新のリストアポイント）を比較して、TrackedFiles.xml で追跡対象として定義されている拡張子を持つファイルが100個以上削除され、かつ、その拡張子を持つファイル総数に対する削除割合が50%を超えた場合に検知する。
複数のファイル拡張子の変更を検知	作成されたインデックスデータと、過去25時間以内の最も古いリストアポイント（無い場合は30日間の最新のリストアポイント）を比較して、新しい拡張子を持つファイルが200個以上あり（SuspiciousFiles.xml に記載の拡張子を除く）、かつ以下のいずれかの条件を満たした場合に検知する。 新たに追加された固有の拡張子の総数が5000を超える。 フォルダ内で変更されたファイルの最も多い拡張子が、そのフォルダ内の全拡張子の1%未満。 フォルダ内で変更されたファイルの最も多い拡張子が、そのフォルダ内の全拡張子の80%以上。

3. File System Activity Analysis の前提条件

File System Activity Analysis を利用するにあたり、次の条件があります。導入前に、Veeamサーバーのインターネット接続と、インデックスファイルを保管するディスク容量を確認してください。

項目	内容
Veeamサーバーのインターネット接続	Veeamサーバーで処理が行われます。Veeamサーバーはインターネット経由で定義ファイルの更新が必要です。
Guest File System Indexing の有効化とディスク容量	対象ジョブで Guest File System Indexing 設定を有効にする必要があります。また、作成されるインデックスファイルを保管するために十分なディスク容量が必要です。 ※ファイル数等の環境により、バックアップ処理時間が増加する場合があります。
バックアップ対象マシンへの到達性	Veeamサーバーはバックアップ対象マシンへのアクセス可能な認証情報と通信経路が必要です。
Linux OS の場合の必要コンポーネント	Linux OSの場合は、openssh、gzip、tar が必要です。

4. サポートプラットフォーム

File System Activity Analysis がサポートするプラットフォームは次のとおりです。仮想マシンだけではなく、Veeam Agent で保護する物理環境やファイル共有、オブジェクトストレージも対象に含まれます。

サポートプラットフォーム
VMwareのVM （VMware Cloud Directorも含む）	Veeam Agent for Linux
Hyper-V VM	Veeam Agent for Unix
Nutanix AHV の VM	Veeam Backup for Microsoft Azure（VMのみ）
Proxmox VE の VM	ファイル共有
Veeam Agent for Microsoft Windows	オブジェクトストレージ

※出典：https://helpcenter.veeam.com/docs/vbr/userguide/malware_detection_guest_index.html?ver=13#supported-scenarios

※「ファイル共有」「オブジェクトストレージ」については、v13.1以降で作成されたバックアップ、GFSではない、整合性がある（consistent）、暗号化されていないことが条件となります。

5．検証結果 ～確認できたこと～

File System Activity Analysis の検証について、要点を先にまとめます。検証では、バックアップ対象の仮想マシンに Veeam の定義ファイルに記載されているファイル名のダミーファイルを配置し、疑似的に検知される状況を発生させて検証しています。

検証で確認できたこと

・定義ファイルはVeeamサーバー上に置かれ、毎日0:00にVeeam Update Server（vbr.butler.veeam.com）へ接続して更新される。最新の定義ファイルを利用するのが望ましいのでVeeamサーバーは外部接続が必要となる。ただし、外部接続できない場合、Windows版ならKB(https://www.veeam.com/kb4514)が公開されている。

・File System Activity Analysis の有効化は［Malware Detection］→［File Detection］タブで行う。初期値で設定されている項目もあり、マルウェア検知をする、しないに関わらず設定を確認する必要がある。

・検知時の通知を受け取るには［Malware Detection］→［Notifications］タブでの通知設定が別途必要で、未設定の場合は検知しても通知されない。Global設定のNotificationsを設定していても通知がされないので注意が必要となる。

・バックアップジョブ側では「Enable guest file system indexing and malware detection」を有効にする必要があり、バックアップ処理時間はファイル数等の環境により、バックアップ処理時間が増加する場合がある。そのため、バックアップウィンドウを算出するにあたり考慮する必要がある。

・ダミーファイル（blacknet_wall.bmp）を配置してバックアップを実行したところ、検知は発生したが、バックアップジョブ自体は正常完了のステータスとなる。バックアップステータスだけ確認しているとマルウェアを検知しても気づかないケースがあるので注意が必要となる。

・検知したイベントは History Viewの［Malware Detection］→［Malware Events］、Windows Event Log、Malware Detection通知メールの各所で確認可能。見逃さないためにもWindows Event Logも監視しておくことが望ましい。

・検知後も増分バックアップは継続されるが、疑わしいファイルを削除してもバックアップファイルのステータスは Suspicious のまま継続する。バックアップファイルのステータスを手動で正常にするか、［Signature Detection］タブで自動スキャンと「Mark backup as clean if no threats are detected by signature-based scan」を有効にして正常であることが確認できればバックアップファイルのステータスは正常になる。

・File System Activity Analysisで検知したとき、 ［Signature Detection］タブの設定によりシグネチャベースのスキャンを自動実行が可能。検知するだけではなく、検知したらスキャンをする運用が望ましい。

一方で、File System Activity Analysis には限界もあります。特定の条件が揃うまで活動を停止する休眠状態のマルウェアは検知できません。File System Activity Analysis は「バックアップのタイミングで異常の兆候に気づくための仕組み」であり、マルウェアの検知を完全に保証する機能ではない点を、運用設計の前提として共有してください。

6．検証内容

本検証は、Veeam Backup & Replication におけるマルウェア検知機能について検証したものです。利用する Veeam Backup & Replication のバージョンによっては、動きや結果が異なる可能性があることに注意してください。

製品	バージョン
Veeam Backup & Replication	v13.1.0.411

検証の方法は、バックアップ対象の仮想マシンに File System Activity Analysis で検知されるダミーファイルを配置して、疑似的に状況を発生させる、というものです。以降の章では、実際の画面とともに検証手順を順に紹介します。

1．File System Activity Analysis の有効化

File System Activity Analysis の設定は、Veeam Backup & Replication のコンソールから行います。［Main menu］→［Malware Detection］の順にクリックします。

▲［Main menu］から［Malware Detection］を選択する画面

上部のタブより［File Detection］を選択します。つぎに「File system activity analysis」と「Indicators of compromise detection」を有効にします。また、「Update malware definitions automatically」を有効にすると毎日0:00に定義ファイルを自動でダウンロードします。

▲Malware Detection Settings の［File Detection］タブで各機能を有効化した画面

2. バックアップジョブでの Guest File System Indexing の有効化

File System Activity Analysis を利用したバックアップ対象マシンでの潜在的な攻撃を検知するには、バックアップ対象マシンのゲストインデックス情報が必要となります。ゲストインデックスの取得は、バックアップジョブの「Guest Processing」のステップで「Enable guest file system indexing and malware detection」を有効にします。なお、Guest Index Fileを有効にするとファイル数等の環境により、バックアップ処理時間が増加する場合があります。

▲バックアップジョブの Guest Processing ステップでゲストインデックスを有効化した画面

3. バックアップの実行

ダミーファイルを配置後、バックアップジョブを実行します。検知したとしてもバックアップジョブが取得できれば正常完了のステータスとなります。また、メール通知（Agent利用時は毎日1回のレポートメールも含む）やSNMP通知も正常ステータスで通知がされます。バックアップジョブのステータスだけを見ていると検知に気づけないことに注意してください。

▲ダミーファイル配置後に実行したバックアップジョブが正常完了した画面

4. ログの確認

Malware関連のログはHistory Viewより確認ができます。［History］→［Malware Detection］→［Malware Events］をクリックするとMalwareに関連するログの一覧が表示されます。

▲History View の Malware Events で検知イベントの一覧を表示した画面

また、対象のデータをダブルクリックすると詳細情報を確認することができます。詳細情報には感染の疑いがあるファイル名なども記載されます。


▲検知イベントの Event Details 画面。疑わしいファイル名とログの保存先が表示されている

5. 検知後のバックアップ検証

File System Activity Analysisで検知しても、バックアップは引き続き増分バックアップが継続されます。なお、疑わしいファイルを削除してもワークロードをCleanにマークするまで、後続のリストアポイントもSuspiciousまたはInfectedとしてマークされます。

6. 検知後のスキャン検証

File System Activity Analysisで検知したとき、続けてバックアップデータに対してスキャンを自動で実行することができます。設定は［Main menu］→［Malware Detection］の順にクリックして開きます。

▲［Main menu］から［Malware Detection］を選択する画面（再掲）

上部のタブより［Signature Detection］を選択します。利用するスキャンエンジンを選択後、［Perform signature-based scan when malware event appears］にチェックを入れます。［Mark backup as clean if no threats are detected by signature-based scan］にチェックを入れるとスキャンが正常のときはバックアップデータのバックアップステータスを正常（OK）にします。

▲Malware Detection Settings の［Signature Detection］タブで自動スキャンを設定した画面

ダミーファイルを配置して再度バックアップを実施します。File System Activity Analysisで脅威の疑いがあるファイルを検知しますが、続けて自動実行されたスキャンではCleanステータスなのでバックアップデータは正常（OK）と判断されることが確認できます。

▲History View に Suspicious と Clean の2つのイベントが記録された画面

7. File System Activity Analysis よくある質問（FAQ）

File System Activity Analysis について、寄せられやすい質問を以下にまとめました。

本記事に記載されている内容については、検証時のバージョンおよび検証環境における条件下での結果を記載したものであり、すべての環境において記載してある内容を保証しているものではありません。