直面していた危機

• HDD交換時の作業ミスにより、約700台のPCを管理するアンチウイルスサーバが機能停止
• パターンファイルがリアルタイムに更新されず、新規端末の追加もできない状態
• ゼロデイ攻撃を含め、防御が落ちている時間そのものがリスクになる

技術・調達の壁

• 当該サーバは保守契約外。スポット対応の回答は「OS領域からの再構築」で複数業者の手配が必要、期間は3週間
• 社内システムごとに積み上げられたスキャン除外設定が、どこにも保存されていない
• 除外設定を再現できなければ、復旧した瞬間から業務システムに支障が出る

—— 同じ障害に対して、なぜここまで見積もりが違ったのですか。

前提が違います。契約業者様の回答は「壊れたサーバを、OS領域から作り直す」前提でした。サーバ用ディスクの調達に数日、OSの導入と設定にさらに数日、そこに複数業者の手配が加わる。その前提なら、3週間という数字は決して不当ではありません。ただ、そのサーバで動いていたのはアンチウイルス機能だけでした。止まっているのは筐体ではなく700台の防御だと考え直せば、直すという工程自体を外せます。

—— 移し先のサーバはどう用意したのですか。

新しくは買っていません。その会社には以前、私が導入したWindows Storage Serverのファイルサーバがありました。導入時に、いずれそのサーバでファイル解析を行うことを見込んで、余裕のある性能のものを選んでいたんです。その余力が、そのまま今回の受け皿になりました。自分で入れた機械なので、性能も構成も調べ直さずに判断できたことが、初動の速さにつながっています。

—— 700台の端末設定は、どうやって変えずに済ませたのですか。

変えていません。IPアドレスを引き継いだからです。そのファイルサーバにはLANインターフェイスが4つあり、インターネット、支社内、本社接続の3本しか使っていませんでした。残る1本に用途がないことを確認して、そこに旧サーバのIPアドレスを割り当てています。端末側から見れば、同じアドレスに同じ役割のサーバが戻ってきただけです。700台に個別の作業をしていたら、それだけで数日が消えていました。LANの敷設とVLAN設定は、保守業者様と連携して当日中に済ませています。

—— 除外設定は「取り出せない」と言われていたそうですね。

今回いちばん重い部分でした。管理職単位で独自のシステムが入っていて、スキャンの除外設定がかなり細かく積み上がっていたんです。これが失われたまま復旧すれば、防御は戻っても業務システムのほうが止まりはじめます。少なくとも数日は現場が混乱したはずです。取り出せないと説明されていましたが、破損の状況次第では可能性があると考え、壊れていない領域からファイルへのアクセスを試みました。結果として内容を抜き出すことができ、設定を再現できています。除外設定は「不具合が出ていない」ことでしか正しさを確認できません。だからこそ、元のデータを取り戻せるかどうかが決定的でした。

—— 当日の流れを教えてください。

ご依頼をいただいた当日に状況を確認し、翌日に現地で作業という段取りです。本来は初日から着手する予定でしたが、製品のアップグレードがクライアント側へ正しく反映されるかの確認に回答が1日かかったため、翌日にずらしました。当日はファイルサーバの設定変更、LANの敷設、VLAN設定、OS設定の変更、アンチウイルスサーバの構築、除外設定の突き合わせ、クライアントへの配信と動作確認まで、14時間続けての作業です。当日起動していた約500台への配信を確認したところで完了としました。ご希望の3日に対して、48時間以内に収まっています。

—— その最中に、不審な端末が見つかったと。

作業の途中で、挙動のおかしい端末が1台見つかりました。社内のシステム管理者様とすぐに連携してネットワークから隔離し、その後に初期化まで対応しています。防御が落ちている期間があった以上、こうしたものは出てくる前提で見ておく必要があります。復旧作業と並行して監視の目を持てるかどうかは、緊急対応では小さくない差になります。