特許 7587558 ランサムウェア攻撃検知機能を備えたストレージ装置及び管理システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-11-12

(45)【発行日】2024-11-20

(54)【発明の名称】ランサムウェア攻撃検知機能を備えたストレージ装置及び管理システム

(51)【国際特許分類】

   G06F 21/55 20130101AFI20241113BHJP

   G06F 21/56 20130101ALI20241113BHJP

   G06F 3/06 20060101ALI20241113BHJP

   G06F 11/30 20060101ALI20241113BHJP

【ＦＩ】

G06F21/55 320

G06F21/56

G06F3/06 301Z

G06F3/06 304N

G06F11/30 140M

G06F11/30 155

【請求項の数】 9

(21)【出願番号】P 2022164930

(22)【出願日】2022-10-13

(65)【公開番号】P2024057932

(43)【公開日】2024-04-25

【審査請求日】2024-03-13

(73)【特許権者】

【識別番号】524132520

【氏名又は名称】日立ヴァンタラ株式会社

(74)【代理人】

【識別番号】110002365

【氏名又は名称】弁理士法人サンネクスト国際特許事務所

(72)【発明者】

【氏名】弘中 和衛

(72)【発明者】

【氏名】出口 彰

【審査官】上島 拓也

(56)【参考文献】

【文献】特開２０１９－０７５１３１（ＪＰ，Ａ）

【文献】特表２０２１－５２８７７３（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１９／０１０８３４０（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５５

Ｇ０６Ｆ ２１／５６

Ｇ０６Ｆ ３／０６

Ｇ０６Ｆ １１／３０

(57)【特許請求の範囲】

【請求項1】

１又は複数のＬＤＥＶに割り当てられ得る複数の論理記憶領域である複数のページの各々についてライト状況特性を表す情報を含んだ管理情報を有する管理情報を記憶したメモリと、
前記１又は複数のＬＤＥＶのうちのいずれかのＬＤＥＶを指定したアクセス要求を前記１又は複数のホストのいずれかから受け付け、当該アクセス要求に応答して、前記複数のページのうちの、当該ＬＤＥＶのアクセス先の領域に割り当てられたページに対してアクセスを行うプロセッサと
を備え、
前記１又は複数のＬＤＥＶは、１又は複数のホストに提供された１又は複数の論理ボリュームであり、
前記複数のページのうち、ライト状況特性に基づき比較的ライト頻度が低いと定義された低ライト頻度に該当するページは、低ライト頻度ページであり、
前記プロセッサは、
前記管理情報を基に、一定期間の間に一定回数以上のライトが生じた低ライト頻度ページであるマーク対象ページを特定し、
前記マーク対象ページの数が閾値以上であるというランサムウェア攻撃の可能性の有無をチェックする、
ストレージ装置。

【請求項2】

前記チェックの結果が偽の場合、前記プロセッサは、ランサムウェア対策として、下記のうちの少なくとも一つを行う、
（ａ）前記一定期間の間にライトが生じた低ライト頻度ページが割り当てられているＬＤＥＶである対象ＬＤＥＶがデータのライト先であり、前記対象ＬＤＥＶに割り当てられているページにおけるデータの更新のためのライトが生じる場合、更新前のデータを退避する、
（ｂ）前記対象ＬＤＥＶのスナップショットを削除する指示を受けた場合に当該指示を拒否する、
（ｃ）前記対象ＬＤＥＶにリモートコピー先の論理ボリュームがあり、且つ、前記対象ＬＤＥＶに割り当てられているページ内のデータが前記リモートコピー先の論理ボリュームにリモートコピーされる場合、前記リモートコピー先の論理ボリュームにおける更新前のデータを退避させるか、或いは、前記リモートコピー先の論理ボリュームのスナップショットを取得させてから前記リモートコピー先の論理ボリュームにデータをコピーさせる、
（ｄ）異常検知を表す情報である異常検知情報をストレージ管理者に通知する、
（ｅ）前記対象のＬＤＥＶの他に、前記対象ＬＤＥＶと同一グループに属し前記対象ＬＤＥＶ以外の１以上のＬＤＥＶの各々についても、（ａ）乃至（ｄ）のうちの少なくとも一つを行う、
請求項１に記載のストレージ装置。

【請求項3】

前記チェックの結果が偽の場合、前記プロセッサは、少なくとも（ａ）を行う、
請求項２に記載のストレージ装置。

【請求項4】

前記管理情報は、
前記複数のページの各々についてアクセス状況を表す情報を含んだページアクセス管理情報と、
前記複数のページの各々についてアクセス特性を表す情報を含んだページ管理情報と
を含み、
前記複数のページの各々について、当該ページのアクセス状況は、当該ページに対するライトの回数を含み、
前記複数のページの各々について、当該ページのアクセス特性は、ページのライト頻度に基づき決定された特性であって、
前記プロセッサは、ページに対するアクセスの都度に、前記ページアクセス管理情報が表す、当該ページに対応のアクセス状況を更新するようになっており、
前記プロセッサは、前記複数のページの各々について、当該ページのアクセス状況の更新よりも低い頻度で、当該ページのアクセス状況におけるライト頻度を基に、前記ページ管理情報が表す、当該ページのアクセス特性を更新する、
請求項１に記載のストレージ装置。

【請求項5】

前記複数のページは、アクセス性能が異なる複数の記憶デバイスグループに基づくページであり、
各記憶デバイスグループは、１以上の記憶デバイスであり、
前記複数のページの各々は、前記複数の記憶デバイスグループのいずれかの記憶デバイスグループに基づいており、
前記プロセッサは、ストレージティアリングを行い、
前記ストレージティアリングは、ページのアクセス状況が当該ページの基になっている記憶デバイスグループのアクセス性能に適さない場合、当該ページ内のデータを、当該ページのアクセス状況に適したアクセス性能を持つ記憶デバイスグループに基づくページに移動することを含む、
請求項４に記載のストレージ装置。

【請求項6】

前記プロセッサは、前記閾値を、低ライト頻度ページの前記一定期間の間のライト回数と低ライト頻度ページの数との統計に基づき決定する、
請求項１に記載のストレージ装置。

【請求項7】

前記プロセッサは、前記閾値を、低ライト頻度ページの前記一定期間の間のライト回数と低ライト頻度ページの数とを機械学習モデルに入力とすることで決定し、
前記機械学習モデルは、低ライト頻度ページのライト回数と低ライト頻度ページの数とを入力とし、マーク対象ページの数が閾値を出力とするモデルである、
請求項１に記載のストレージ装置。

【請求項8】

ストレージ装置の管理システムであって、
１又は複数のＬＤＥＶに割り当てられ得る複数の論理記憶領域である複数のページの各々についてライト状況特性を表す情報を含んだ管理情報を記憶したメモリと、
前記メモリに接続されたプロセッサと
を備え、
前記１又は複数のＬＤＥＶは、１又は複数のホストに提供された１又は複数の論理ボリュームであり、
前記ストレージ装置は、前記１又は複数のＬＤＥＶのうちのいずれかのＬＤＥＶを指定したアクセス要求を前記１又は複数のホストのいずれかから受け付け、当該アクセス要求に応答して、前記複数のページのうちの、当該ＬＤＥＶのアクセス先の領域に割り当てられたページに対してアクセスを行うようになっており、
前記複数のページのうち、ライト状況特性に基づき定義された低ライト頻度に該当するページは、低ライト頻度ページであり、
前記プロセッサは、
前記管理情報を基に、一定期間の間に一定回数以上のライトが生じた低ライト頻度ページであるマーク対象ページを特定し、
前記マーク対象ページの数が閾値以上であるというランサムウェア攻撃の可能性の有無をチェックする、
管理システム。

【請求項9】

１又は複数のホストに提供された１又は複数の論理ボリュームである１又は複数のＬＤＥＶのうちのいずれかのＬＤＥＶを指定したアクセス要求を前記１又は複数のホストのいずれかから受け付け、当該アクセス要求に応答して、前記１又は複数のＬＤＥＶに割り当てられ得る複数の論理記憶領域である複数のページのうちの、当該ＬＤＥＶのアクセス先の領域に割り当てられたページに対してアクセスを行うようになっているストレージ装置の管理方法であって、
コンピュータが、前記複数のページの各々についてライト状況特性を表す情報を含んだ管理情報を基に、一定期間の間に一定回数以上のライトが生じた低ライト頻度ページであるマーク対象ページを特定し、
前記低ライト頻度ページは、ライト状況特性に基づき定義された低ライト頻度に該当するページであり、
コンピュータが、前記マーク対象ページの数が閾値以上であるというランサムウェア攻撃の可能性の有無をチェックする、
管理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、概して、ストレージ装置により行われるデータ処理に関する。

【背景技術】

【0002】

近年、ＩＴシステムをターゲットとしたサイバー攻撃は増加している。特にランサムウェアと呼ばれるマルウェアは、ＩＴシステム内に格納されたデータを暗号化や破壊することでシステムを利用不可能な状態にし、データの復元を引き換えに身代金などを要求するサイバー攻撃を行う。これらランサムウェアによる被害は国内外で後をたたず、このためＩＴシステムにおいては、システムのレジリエンス（回復力）を高める機能又はソリューションが注目されている。

【0003】

ことに、ストレージ装置は様々なＩＴシステムのデータを格納する装置であることから、ランサムウェアのようなデータ破壊を行うサイバー攻撃の対象となりやすい。このため、ランサムウェアによるデータ破壊を検知し、データ保護を行う技術が提供される。

【0004】

例えば、特許文献１は、ストレージ装置の外に設置されたセキュリティアプライアンスにより、ストレージ装置に格納された監視対象のファイルに対する操作イベント（ファイル名の変更回数、ファイル更新回数等）を記録し、これらの監視情報を用いてランサムウェア攻撃を検知する技術が開示されている。

【0005】

また、特許文献２及び特許文献３は、ストレージ装置にアクセスするホストのライトＩ／Ｏにおけるデータエントロピー変化を監視し、その変化幅によりランサムウェア攻撃を検知するストレージ装置が開示されている。

【0006】

また、特許文献４は、ストレージ装置のデータ格納領域内にランサムウェア検知用のおとりファイルを設置しておき、これらのおとりファイルのデータ改ざんによる変化をランサムウェア攻撃と検知する技術が開示されている。

【0007】

また、特許文献５は、ストレージ装置において定期的にデータボリュームのスナップショットを取得し、これら取得されたスナップショット間のデータ差分量やボリュームの圧縮率の差分が規定された条件となったことをランサムウェア攻撃と検知するストレージ装置が開示されている。

【0008】

また、特許文献６は、ランサムウェア攻撃によりホストＩ／Ｏのデータが暗号化されデータ圧縮やデータ重複排除の効率が悪化することに鑑みて、ストレージ装置外に設置されたアプライアンスが、ホストＩ／Ｏを監視し、一定期間（ｓｌｉｄｉｎｇ－ｗｉｎｄｏｗ）のデータ圧縮率又はデータ重複排除率の変化が閾値を超過したことをランサムウェア攻撃と検知する技術が開示されている。

【先行技術文献】

【特許文献】

【0009】

【文献】ＵＳ１００５５５８２

【文献】ＵＳ１０４０９９８６

【文献】ＵＳ１００７８４５９

【文献】ＵＳ１０６０９０６６

【文献】ＵＳ２０２０／００４２７０７

【文献】ＵＳ２０２０／００９９６９９

【発明の概要】

【発明が解決しようとする課題】

【0010】

一般に、ランサムウェアは、ＩＴシステムの破壊自体よりも、ＩＴシステムに格納されているデータの利用価値を失わせる事で身代金などの金銭を得ることが目的である。そのため、システムの利用者の気がつかない間に格納データの利用価値を失わせる攻撃手法が採られる。例えば、ある種のランサムウェアは、システムの動作に必要なデータを攻撃対象から除外し、ＩＴシステム自体を正常動作させ続けながらそれ以外のデータを改ざんすることでデータ破壊攻撃を行う。また、格納データの一部のみを暗号化するなど短時間に攻撃が完了するよう洗練された処理実装が施されていることが多い。

【0011】

このため、実際のランサムウェアによる攻撃においては、実際に被害が顕在化したり、ランサムウェア攻撃に対して対処が行われるまでには、実際の攻撃開始からかなり時間が経過してしまっていたりする（つまり、被害がＩＴシステムの広範囲に及んでいたりする）ことが多い。

【0012】

従来（特許文献１－６に開示）のランサムウェア攻撃検知技術は、主に、ホストＩ／Ｏによるデータエントロピーの変化、格納データの圧縮率又はデータ重複排除率の変動、定期的に取得したデータスナップショット間のデータ変化量など、時系列の情報を監視し、その変化量からランサムウェア攻撃を検知する。つまり、或る程度ランサムウェア攻撃が進行してからようやくそのランサムウェア攻撃の検知が可能となる。

【0013】

しかしながら前述した通り、ランサムウェアは格納データの一部のみを暗号化するなど攻撃を隠密に行うため、従来技術のような監視情報の時系列変化による検知手法で攻撃検知を行うことは実際上の困難が多いと考えられる。つまり、時系列の変化量が穏やかであるため、時間が経過してもランサムウェア攻撃の検知が困難であり、故に、ランサムウェア攻撃の被害の影響が大きくなるおそれがある。

【課題を解決するための手段】

【0014】

ストレージ装置が、１又は複数のＬＤＥＶ（１又は複数のホストに提供された１又は複数の論理ボリューム）のうちのいずれかのＬＤＥＶを指定したアクセス要求をいずれかのホストから受け付け、当該アクセス要求に応答して、複数のページ（１又は複数のＬＤＥＶに割り当てられ得る複数の論理記憶領域）のうちの、当該ＬＤＥＶのアクセス先の領域に割り当てられたページに対してアクセスを行うようになっている。ストレージ装置又はその管理システムが、複数のページの各々についてライト状況特性を表す情報を含んだ管理情報を基に、一定期間の間に一定回数以上のライトが生じた低ライト頻度ページであるマーク対象ページを特定し、マーク対象ページの数が閾値以上であるというランサムウェア攻撃の可能性の有無をチェックする。

【発明の効果】

【0015】

本発明の代表的な実施例によれば、ランサムウェア攻撃の被害の影響を少なくすることができる。前記した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

【図面の簡単な説明】

【0016】

【図1】実施例に係るストレージ装置の構成例を示す。

【図2】ランサムウェア攻撃検知機能がストレージ装置に備えられた例を示す。

【図3】ランサムウェア攻撃検知機能が管理システムに備えられた例を示す。

【図4】管理情報の構成例を示す。

【図5】ＬＤＥＶ管理テーブルの構成例を示す。

【図6】アドレス管理テーブルの構成例を示す。

【図7】プール管理テーブルの構成例を示す。

【図8】ページ管理テーブルの構成例を示す。

【図9】プールＶＯＬ管理テーブルの構成例を示す。

【図10】ページアクセス管理テーブルの構成例を示す。

【図11】ランサムウェア攻撃検知処理のフローの例を示す。

【発明を実施するための形態】

【0017】

本発明の一実施例について、図面を参照して説明する。

【0018】

なお、以下に説明する実施例は特許請求の範囲に係る発明を限定するものではなく、実施例の中で説明されている要素の組み合わせの全てが発明の解決手段に必須であるとは限らない。

【0019】

また、以下の説明では、「ｘｘｘテーブル」や「ｘｘｘリスト」といった表現にて、入力に対して出力が得られる情報を説明することがあるが、この種の情報は、どのような構造のデータでもよいし、入力に対する出力を発生するニューラルネットワークのような学習モデルでもよい。従って、「ｘｘｘテーブル」や「ｘｘｘリスト」を「ｘｘｘ情報」と言うことができる。また、以下の説明において、各テーブルや各リストの構成は一例であり、１つのテーブルやリストは、２個以上のテーブルやリストに分割されてもよいし、２個以上のテーブルやリストの全部又は一部が１つのテーブルやリストであってもよい。

【0020】

また、各情報の識別情報として「番号」を用いるが、識別情報として、番号に代えて又は加えて、番号以外の情報（例えば、「名」、「名前」、「ＩＤ」）を用いることができる。図では、番号は、「＃」と表記する。

【0021】

また、後述する本発明の実施例は、汎用コンピュータ上で稼動するソフトウェアで実装してもよいし、専用ハードウェア又はソフトウェアとハードウェアの組み合わせで実装してもよい。

【0022】

また、以下の説明では、「プログラム」を主語として処理を説明する場合があるが、プログラムは、プロセッサ部によって実行されることで、定められた処理を、適宜に記憶部及び／又はインターフェース部等を用いながら行うため、処理の主語が、プロセッサ部（或いは、そのプロセッサ部を有するコントローラのようなデバイス）とされてもよい。プログラムは、プログラムソースから計算機のような装置にインストールされてもよい。プログラムソースは、例えば、プログラム配布サーバ又は計算機が読み取り可能な（例えば非一時的な）記録媒体であってもよい。また、以下の説明において、２個以上のプログラムが１つのプログラムとして実現されてもよいし、１つのプログラムが２個以上のプログラムとして実現されてもよい。

【0023】

また、以下の説明では、「ホストシステム」は、１以上のホスト計算機である。少なくとも１つのホスト計算機は、物理的な計算機上で実行される仮想的な計算機でもよい。

【0024】

また、以下の説明では、「管理システム」は、１以上の管理計算機である。少なくとも１つの管理計算機は、物理的な計算機上で実行される仮想的な計算機でもよい。また、管理システムは、入出力コンソールとしての管理計算機（例えばクライアントとしての管理計算機）を含んでもよい。

【0025】

また、以下の説明では、「ストレージ装置」は、複数個のＰＤＥＶを有するいわゆるディスクアレイ装置のようなストレージ装置でよいが、それに代えて、汎用計算機（例えば、ストレージ機能を発揮するためのソフトウェアをインストールし実行することで実現されるＳＤＳ（Ｓｏｆｔｗａｒｅ－Ｄｅｆｉｎｅｄ Ｓｔｏｒａｇｅ）やＳＤＤＣ（Ｓｏｆｔｗａｒｅ－ｄｅｆｉｎｅｄ Ｄａｔａｃｅｎｔｅｒ）のようなソフトウェアデファインドの装置）でもよい。また、ストレージ装置は、ストレージ装置としての機能に加えて、ホストの少なくとも一部として機能を有してもよい。

【0026】

また、以下の説明では、「ＰＤＥＶ」は、物理的な記憶デバイスを意味し、典型的には、永続記憶デバイスでよい。ＰＤＥＶは、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）又は、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）でよい。ストレージ装置に異なる種類のＰＤＥＶが混在していてもよい。

【0027】

以下の説明では、「インターフェース装置」は、一つ以上のインターフェースデバイスでよい。当該一つ以上のインターフェースデバイスは、下記のうちの少なくとも一つでよい。
・一つ以上のＩ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）インターフェースデバイス。Ｉ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）インターフェースデバイスは、Ｉ／Ｏデバイスと遠隔の表示用計算機とのうちの少なくとも一つに対するインターフェースデバイスである。表示用計算機に対するＩ／Ｏインターフェースデバイスは、通信インターフェースデバイスでよい。少なくとも一つのＩ／Ｏデバイスは、ユーザインターフェースデバイス、例えば、キーボード及びポインティングデバイスのような入力デバイスと、表示デバイスのような出力デバイスとのうちのいずれでもよい。
・一つ以上の通信インターフェースデバイス。一つ以上の通信インターフェースデバイスは、一つ以上の同種の通信インターフェースデバイス（例えば一つ以上のＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ））であってもよいし二つ以上の異種の通信インターフェースデバイス（例えばＮＩＣとＨＢＡ（Ｈｏｓｔ Ｂｕｓ Ａｄａｐｔｅｒ））であってもよい。

【0028】

また、以下の説明では、「メモリ」は、一つ以上の記憶デバイスの一例である一つ以上のメモリデバイスであり、典型的には主記憶デバイスでよい。メモリにおける少なくとも一つのメモリデバイスは、揮発性メモリデバイスであってもよいし不揮発性メモリデバイスであってもよい。

【0029】

また、以下の説明では、「永続記憶装置」は、一つ以上の記憶デバイスの一例である一つ以上の永続記憶デバイスでよい。永続記憶デバイスは、典型的には、不揮発性の記憶デバイス（例えば補助記憶デバイス）でよく、具体的には、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＮＶＭＥ（Ｎｏｎ－Ｖｏｌａｔｉｌｅ Ｍｅｍｏｒｙ Ｅｘｐｒｅｓｓ）ドライブ、又は、ＳＣＭ（Ｓｔｏｒａｇｅ Ｃｌａｓｓ Ｍｅｍｏｒｙ）でよい。

【0030】

また、以下の説明では、「プロセッサ」は、一つ以上のプロセッサデバイスでよい。少なくとも一つのプロセッサデバイスは、典型的には、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）のようなマイクロプロセッサデバイスでよいが、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）のような他種のプロセッサデバイスでもよい。少なくとも一つのプロセッサデバイスは、シングルコアでもよいしマルチコアでもよい。少なくとも一つのプロセッサデバイスは、プロセッサコアでもよい。少なくとも一つのプロセッサデバイスは、処理の一部又は全部を行うハードウェア記述言語によりゲートアレイの集合体である回路（例えばＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、ＣＰＬＤ（Ｃｏｍｐｌｅｘ Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）又はＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ））といった広義のプロセッサデバイスでもよい。

【0031】

また、以下の説明では、「ＲＡＩＤ」は、Ｒｅｄｕｎｄａｎｔ Ａｒｒａｙ ｏｆ Ｉｎｅｘｐｅｎｓｉｖｅ Ｄｉｓｋｓ の略である。ＲＡＩＤグループは、永続記憶装置の一例でよく、複数のＰＤＥＶ（典型的には同種のＰＤＥＶ）で構成され、そのＲＡＩＤグループに関連付けられたＲＡＩＤレベルに従いデータを記憶する。ＲＡＩＤグループは、パリティグループと呼ばれてもよい。パリティグループは、例えば、パリティを格納するＲＡＩＤグループのことでよい。

【0032】

また、以下の説明では「ボリューム（ＶＯＬ）」は、ストレージの記憶領域を示し、これらは物理的な記憶デバイス又は、論理的な記憶デバイスによって実装されていてよい。

【0033】

また、ＶＯＬは、実体的なＶＯＬ（ＲＶＯＬ）であってもよいし、仮想的なＶＯＬ（ＶＶＯＬ）であってもよい。「ＲＶＯＬ」は、そのＲＶＯＬを有するストレージ装置が有する物理的な記憶資源（例えば、１以上のＲＡＩＤグループ）に基づくＶＯＬでよい。「ＶＶＯＬ」は、外部接続ＶＯＬ（ＥＶＯＬ）と、容量拡張ＶＯＬ（ＴＰＶＯＬ）と、スナップショットＶＯＬとのうちのいずれでもよい。ＥＶＯＬは、外部のストレージ装置の記憶空間（例えばＶＯＬ）に基づいており、ストレージ仮想化技術に従うＶＯＬでよい。ＴＰＶＯＬは、複数の仮想領域（仮想的な記憶領域）で構成されており容量仮想化技術（典型的にはＴｈｉｎ Ｐｒｏｖｉｓｉｏｎｉｎｇ）に従うＶＯＬでよい。

【0034】

「ストレージプール（ＰＯＯＬ）」は、論理的な記憶領域（例えば複数のプールＶＯＬの集合）であり、用途ごとに用意されてよい。例えば、ストレージプールとして、ＴＰプールと、スナップショットプールとのうちの少なくとも１種類があってよい。ＴＰプールは、複数のページ（一定のサイズで区切られたデータ記憶域の単位）で構成された記憶領域でよい。ストレージコントローラが、ホストシステム（以下、ホスト）から受信したライト要求が指定するアドレスが属する仮想領域（ＴＰＶＯＬの仮想領域）にページが割り当てられていない場合、その仮想領域（ライト先仮想領域）にＴＰプールからページを割り当てる（ライト先仮想領域にページが割り当て済であってもページが新たにライト先仮想領域に割り当てられてもよい）。ストレージコントローラは、割り当てられたページに、そのライト要求に付随するライト対象データを書き込んでよい。スナップショットプールは、オリジナルのＶＯＬから退避されたデータが格納される記憶領域でよい。１つのプールが、ＴＰプールとしてもスナップショットプールとしても使用されてもよい。「プールＶＯＬ」は、プールの構成要素となるＶＯＬでよい。プールＶＯＬは、ＲＶＯＬであってもよいしＥＶＯＬであってもよい。

【0035】

また、以下の説明では、ホストから認識されるＶＯＬ（ストレージ装置がホストに提供するＶＯＬ）を「ＬＤＥＶ」と言う。以下の説明では、ＬＤＥＶは、ＴＰＶＯＬ（又はＲＶＯＬ）であり、プールは、ＴＰプールである。しかし、本発明は、容量拡張技術（Ｔｈｉｎ Ｐｒｏｖｉｓｉｏｎｉｎｇ）が採用されていないストレージ装置にも適用できる。

【0036】

また、以下の説明では、同種の要素を区別しないで説明する場合には、参照符号のうちの共通符号を使用し、同種の要素を区別する場合は、参照符号を使用することがある。

【0037】

図１は、本実施例に係るストレージ装置の構成例を示す。

【0038】

ストレージ装置１００に、ネットワーク１０８を介して１以上のホスト１０４が接続されている。また、ストレージ装置１００に管理ネットワーク１０９を介して管理システム１０５が接続されている。ネットワーク１０８は、例えばＦＣ（Ｆｉｂｒｅ Ｃｈａｎｎｅｌ）やｉＳＣＳＩ （Ｉｎｔｅｒｎｅｔ Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）である。管理ネットワーク１０９は、例えばインターネット又はＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）である。ネットワーク１０９及び管理ネットワーク１０９は同一ネットワークでもよい。

【0039】

ホスト１０４は、ホストシステムの略であり、１以上のホストである。ホスト１０４は、Ｈ－Ｉ／Ｆ（ホストインタフェースデバイス）１０６を有しており、Ｈ－Ｉ／Ｆ１０６経由で、アクセス要求（ライト要求又はリード要求）をストレージ装置１００に送信したり、アクセス要求の応答（例えば、ライト完了を含んだライト応答、又は、リード対象のデータを含んだリード応答）を受信したりする。Ｈ－Ｉ／Ｆ１０６は、例えば、ＨＢＡ（Ｈｏｓｔ Ｂｕｓ Ａｄａｐｔｅｒ）又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

【0040】

管理システム１０５は、ストレージ装置１００の構成及び状態を管理する。管理システム１０５、Ｍ－Ｉ／Ｆ（管理インターフェースデバイス）１０７を有しており、Ｍ－Ｉ／Ｆ経由で、ストレージ装置１００に命令を送信したりその命令の応答を受信したりする。Ｍ－Ｉ／Ｆ１０７は、例えばＮＩＣである。

【0041】

また、管理システム１０５は、ストレージ装置１００を管理するサーバやＰＣ上で実行されるソフトウェアでよいし、ストレージ装置１００に接続されるホスト１０４の管理を行うセキュリティアプライアンスやソフトウェアの機能として実装されてもよい。管理システム１０５は、Ｍ－Ｉ／Ｆ１０７の他に、メモリと、Ｍ－Ｉ／Ｆ１０７及びメモリに接続されたプロセッサとを有する。

【0042】

ストレージ装置１００は、複数のドライブ１１８と、複数のドライブ１１８に接続されたストレージコントローラ１０３とを有する。複数のドライブ１１８を含んだ１以上のＲＡＩＤグループが構成されていてよい。ドライブ１１８がＰＤＥＶの一例である。

【0043】

ストレージコントローラ１０３は、Ｆ－Ｉ／Ｆ（フロントエンドインタフェースデバイス）１１０と、Ｂ－Ｉ／Ｆ（バックエンドインタフェースデバイス）１１７と、ＣＭ（キャッシュメモリ）１１１と、ＮＶＲＡＭ（Ｎｏｎ－Ｖｏｌａｔｉｌｅ ＲＡＭ）１１２と、ＭＰＰＫ１１４Ａ及びＭＰＰＫ１１４Ｂと、それらの要素間の通信を中継する中継器１１３とを有する。中継器１１３は、例えばバス又はスイッチである。

【0044】

Ｆ－Ｉ／Ｆ１１０は、ホスト１０４又は管理サーバと通信するＩ／Ｆである。Ｂ－Ｉ／Ｆ１１７は、ドライブ１１８と通信するＩ／Ｆである。Ｂ－Ｉ／Ｆ１１７は、Ｅ／Ｄ回路（暗号化及び復号化のためのハードウェア回路）を含んでいてよい。具体的には、例えば、Ｂ－Ｉ／Ｆ１１７は、ＳＡＳ（Ｓｅｒｉａｌ Ａｔｔａｃｈｅｄ ＳＣＳＩ）コントローラを含んでいてよく、ＳＡＳコントローラが、Ｅ／Ｄ回路を含んでいてよい。

【0045】

ＣＭ１１１（例えばＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）には、ドライブ１１８に書き込まれるデータ又はドライブ１１８から読み出されたデータがＭＰＰＫ１１４により一時格納される。ＮＶＲＡＭ１１２には、電断時にバッテリ（図示せず）から電力を受けたＭＰＰＫ１１４によりＣＭ１１１内のデータ（例えばダーティデータ（ドライブ１１８に書き込まれていないデータ））が退避される。

【0046】

ＭＰＰＫ１１４Ａ及びＭＰＰＫ１１４Ｂによりクラスタが構成されている。ＭＰＰＫ１１４Ａ（ＭＰＰＫ１１４Ｂ）は、ＤＲＡＭ１１６Ａ（ＤＲＡＭ１１６Ｂ）と、ＣＰＵ１１５Ａ（ＣＰＵ１１５Ｂ）とを有する。ＤＲＡＭ１１６Ａ（ＤＲＡＭ１１６Ｂ）には、ＣＰＵ１１５Ａ（ＣＰＵ１１５Ｂ）に実行される制御プログラム１０１Ａ（制御プログラム１０１Ｂ）と、ＣＰＵ１１５Ａ（ＣＰＵ１１５Ｂ）により参照又は更新される管理情報１０２Ａ（管理情報１０２Ｂ）とが格納される。ＣＰＵ１１５Ａ（ＣＰＵ１１５Ｂ）に制御プログラム１０１Ａ（制御プログラム１０１Ｂ）が実行されることにより、例えば、ストレージ装置１００のＩ／Ｏ処理、アドレスの変換処理が実行される。制御プログラム１０１Ａ（制御プログラム１０１Ｂ）及び管理情報１０２Ａ（管理情報１０２Ｂ）のうちの少なくとも一方が、複数のＭＰＰＫ１１４Ａ及びＭＰＰＫ１１４Ｂに共有の記憶領域（例えばＣＭ１１１）に格納されてもよい。

【0047】

Ｆ－Ｉ／Ｆ１１０及びＢ－ＩＦ１１７が、インターフェース装置の一例でよい。ＣＭ１１１、ＮＶＲＡＭ１１２及びＤＲＡＭ１１６が、メモリの一例でよい。ドライブ１１８は、永続記憶デバイスの一例でよい。ＣＰＵ１１５が、プロセッサの一例でよい。

【0048】

図２は、ランサムウェア攻撃検知機能がストレージ装置１００に備えられた例を示す。

【0049】

ストレージ装置１００がＬＤＥＶ２００を提供し、ホスト１０４がＬＤＥＶ２００を指定したアクセス要求を送信する。

【0050】

ＬＤＥＶ２００の実態はＶＯＬである。ストレージ装置１００は、ストレージプール２０１の記憶域を、ページ２０７単位で、ホスト１０４に提供するＬＤＥＶ２００の記憶域に対応づける。

【0051】

また、ストレージプール２０１を構成する記憶域は単一又は複数のプールＶＯＬ２０２により提供される。ストレージ装置１００は、ストレージプール２０１に記憶域を提供するプールＶＯＬ２０２とストレージプール２０１との対応を管理している。

【0052】

また、ストレージ装置１００は、ページアクセス監視プログラム２０３、データ保護制御プログラム２０４、ランサムウェア攻撃検知プログラム２０５、及び閾値決定プログラム２０６を有する。これらのプログラム２０３～２０６は、ＤＲＡＭ１１６Ａ（ＤＲＡＭ１１６Ｂ）に格納され、ＣＰＵ１１５Ａ（ＣＰＵ１１５Ｂ）により実行される。

【0053】

ページアクセス監視プログラム２０３は、ストレージプール２０１を構成するページ２０７単位に、Ｉ／Ｏ情報を監視する。各ページ２０７について、Ｉ／Ｏ情報は、例えば、ページ割当状況（未割り当て又は割当済み）、Ｉ／Ｏ種別（リード又はライト）、Ｉ／Ｏパターン（シーケンシャルアクセス、ランダムアクセス）、リードアクセス回数、ライトアクセス回数、リードデータ量、及び、ライトデータ量のうちの少なくとも一つを表す情報を含む。

【0054】

これらのページ２０７の各々のＩ／Ｏ情報を用いることで、ページアクセス監視プログラム２０３は、ページ２０７毎のアクセス特性を分類することができる。例えば、ページアクセス監視プログラム２０３は、ページ２０７のアクセス特性を、当該ページ２０７のアクセス特性に応じた下記の何れかのアクセス特性に分類することができる。
・ホスト１０４から頻繁にアクセスされ頻繁にデータ更新が生じることである「ＨＯＴ」。
・ホスト１０４からある程度の頻度でアクセスされデータ更新が生じることである「ＮＯＲＭＡＬ」。
・ホスト１０４から低頻度でアクセスされデータ更新が生じることである「ＣＯＬＤ」。
・ホスト１０４から殆どアクセスされずデータ更新が滅多に生じないことである「ＡＲＣＨＩＶＥ」。

【0055】

以下、アクセス特性「ＫＫＫ」を有するページを「ＫＫＫページ」と言う。本実施例では、ストレージプール２０１における各ページ２０７は、ＨＯＴページ２０７Ａ、ＮＯＲＭＡＬページ２０７Ｂ、ＣＯＬＤページ２０７Ｃ及びＡＲＣＨＩＶＥページ２０７Ｄのいずれかである。また、本実施例では、ページ２０７毎のＩ／Ｏ情報は、後述のページアクセス管理サブテーブル１０００（図１０参照）のエントリにおけるアクセス状況情報（情報１００３～１００８）を含んだ情報である。すなわち、ページ２０７のアクセス特性は、ページ２０７のアクセス状況情報に基づき決定される。

【0056】

ストレージ装置１００は、ページ２０７毎のアクセス特性に応じた分類を行うことで、ページ２０７毎のアクセス特性に応じ、ストレージプール２０１を構成するプールＶＯＬ２０２の性能特性に対応する最適なページ割当を行う。このような制御のことは一般的に「ストレージティアリング」と呼ばれる。ストレージティアリングは、例えば次の通りである。すなわち、１つのストレージ装置１００内にアクセス性能（及びデータ格納コスト）が異なるＳＳＤやＨＤＤなどのドライブ１１８が混載されている場合、プールＶＯＬ２０２毎にアクセス性能（及びデータ格納コスト）が異なる。このため、ＬＤＥＶ２００に割り当てられているページ２０７内のデータを、ホスト１０４の当該ＬＤＥＶ２００に対するデータアクセスの特性に最適なアクセス性能を持つドライブ１１８に基づくページ２０７に移動することで、ストレージ装置１００においてデータ格納効率を向上させることができる。

【0057】

ここで、例えば、ホスト１０４Ａがランサムウェアに感染し、ＬＤＥＶ２００Ａのデータの暗号化（改ざん）が行われるケースを考える。ランサムウェアはＬＤＥＶ２００Ａに格納されているデータを暗号化するため、ＬＤＥＶ２００Ａに割り当てられているページ２０７に対してデータ更新が生じる。このとき、ランサムウェアはＬＤＥＶ２００Ａに割り当てられている全てのページ２０７を対象に暗号化を行うため、例えば、ＡＲＣＨＩＶＥページ２０７Ｄ（データ更新が滅多に生じないページ２０７）に対してもデータ更新が行われる。

【0058】

そこで、ランサムウェア攻撃検知プログラム２０５は、一定期間中にストレージプール２０１内のＬＤＥＶ２００Ａに割り当てられている複数のＡＲＣＨＩＶＥページ２０７Ｄに対してデータ更新が発生した場合を検知することで、ランサムウェア攻撃（データ改ざん）の可能性があるＩ／Ｏアクセスを検知する。

【0059】

また、ランサムウェアは複数のホスト１０４に同時期に感染することが多い。このため、例えばホスト１０４Ａの他にホスト１０４Ｂやホスト１０４ＣからアクセスされるＬＤＥＶ２００ＢやＬＤＥＶ２００Ｃに割り当てられているＡＲＣＨＩＶＥページ２０７Ｄに対しても同時期にデータ更新が発生する可能性が高いと考えられる。そこで、ランサムウェア攻撃検知プログラム２０５は、ある一定期間の間にストレージプール２０１内に存在するＡＲＣＨＩＶＥページ２０７Ｄに対するデータ更新頻度が、平常時と比較して高くなったことを、ランサムウェア攻撃の可能性と検知する。

【0060】

ランサムウェア攻撃検知プログラム２０５は、ランサムウェア攻撃（データ改ざん）の可能性を検知すると、ランサムウェア対策の一例として、管理ネットワーク１０９と管理システム１０５を通じてストレージ管理者に異常検知情報（異常検知を表す情報）を通知する。また、データ保護制御プログラム２０４は、ランサムウェア対策の一例として、格納データの防護処置を行う。この格納データの防護処置は、例えば、各ＬＤＥＶ２００のバックアップやスナップショットの取得や、取得された各ＬＤＥＶ２００のバックアップやスナップショットの中からランサムウェアの可能性のある検知前のリストアポイントを作成し、容易にデータリストアを可能にすることでもよい。また、例えば、ランサムウェアの中にはリストアポイントやバックアップの削除操作をストレージ装置１００に行うものがあり、格納データの防護処置は、これらの操作を一時的に拒否することで、バックアップやスナップショットが削除されてしまうことを防止することでもよい。また、例えば、格納データの防護処置は、ランサムウェア攻撃の可能性のある挙動を検知した後で生じるホストからのデータ更新アクセス（ライトＩ／Ｏ）を、Ｃｏｐｙ－ｏｎ－Ｗｒｉｔｅ（ＣｏＷ）と呼ばれるＩ／Ｏモード（更新前の格納データを一度他の領域に退避させてから格納データの更新を行うＩ／Ｏモード）に変更し、それによりランサムウェアによるデータ改ざんを防ぐことでもよい。

【0061】

以上のようにして、ストレージ装置１００においてランサムウェア攻撃の可能性を検知し、格納データの防護処置を行うことで、ランサムウェアの攻撃による被害の軽減、復旧の迅速化を図ることが期待できる。なお、閾値決定プログラム２０６は、後述するように、所定の条件を満たすＡＲＣＨＩＶＥページ２０７Ｄの数の閾値を決定する。

【0062】

図３は、ランサムウェア攻撃検知機能が管理システム１０５に備えられた例を示す。

【0063】

ランサムウェア攻撃検知プログラム２０５、データ保護制御プログラム２０４及び閾値決定プログラム２０６が、ストレージ装置１００の外部に設置された管理システム１０５に実装され、管理システム１０５のプロセッサにより実行される。

【0064】

具体的には、ストレージ装置１００内のページアクセス監視プログラム２０３が定期的に管理ネットワーク１０９を通じて管理システム１０５のランサムウェア攻撃検知プログラム２０５に対してストレージプール２０１の各ページ２０７のＩ／Ｏ情報３００を送信する。

【0065】

管理システム１０５におけるランサムウェア攻撃検知プログラム２０５は、受信したＩ／Ｏ情報３００を基にストレージプール２０１内の各ページ２０７について、ＡＲＣＨＩＶＥページ２０７Ｄに対してもデータ更新が生じるＩ／Ｏアクセスを検知する。ランサムウェア攻撃検知プログラム２０５は、一定期間中にストレージプール２０１内の複数のＡＲＣＨＩＶＥページ２０７Ｄに対してデータ更新が発生することを検知した場合は、ランサムウェア攻撃の可能性を検知し、ストレージ管理者に異常検知情報を通知する。

【0066】

また、管理システム１０５におけるデータ保護制御プログラム２０４は、ストレージ装置１００に対し、管理ネットワーク１０９を通じて防護指示を出す。この防護指示に応答して、格納データの防護処置を、ストレージ装置１００が行う。

【0067】

以上のようにして、ストレージ装置１００におけるランサムウェア攻撃の可能性を検知し、格納データの防護処置を行うことで、ランサムウェアの攻撃による被害の軽減、復旧の迅速化を図ることが期待できる。

【0068】

以下、本実施例を詳細に説明する。なお、以下の説明では、図２に示した例が採用されているものとする。

【0069】

図４は、ストレージ装置１００における管理情報の構成例を示す。

【0070】

管理情報１０２は、ストレージ装置１００内のストレージコントローラ１０３内の制御プログラム１０１が利用する複数の管理テーブルで構成される。管理テーブルとして、例えば、ＬＤＥＶ２００に関する情報を保持するＬＤＥＶ管理テーブル４０１、ＬＤＥＶ２００における領域のアドレスと割り当てられたページ２０７のアドレスの対応関係に関する情報を保持するアドレス管理テーブル４０４、ストレージプール２０１に関する情報を保持するプール管理テーブル４００、ストレージプール２０１内のページ２０７を管理する情報を保持するページ管理テーブル４０３、プールＶＯＬ２０２に関する情報を保持するプールＶＯＬ管理テーブル４０２、及び、ページ２０７のアクセス状況に関する情報を保持するページアクセス管理テーブル４０５がある。

【0071】

図５は、ＬＤＥＶ管理テーブル４０１の構成例を示す。

【0072】

ＬＤＥＶ管理テーブル４０１は、ＬＤＥＶ２００毎にエントリ（レコード）を有する。各エントリが格納する情報は、ＬＤＥＶ番号５００、ＬＤＥＶ容量５０１、ＶＯＬ種別５０２及びプール番号５０３である。

【0073】

ＬＤＥＶ番号５００は、ＬＤＥＶ２００の識別番号を表す。ＬＤＥＶ容量５０１は、ＬＤＥＶ２００の容量を表す。ＶＯＬ種別５０２は、ＬＤＥＶ２００の種別（例えば、「ＲＶＯＬ」又は「ＴＰＶＯＬ」）を表す。プール番号５０３は、ＬＤＥＶ２００が関連付けられているストレージプール２０１の識別番号を表す。ＬＤＥＶ２００には、当該ＬＤＥＶ２００に対応したプール番号５０３が表すストレージプール２０１からページ２０７が割り当てられる。

【0074】

図６は、アドレス管理テーブル４０４の構成例を示す。

【0075】

アドレス管理テーブル４０４は、ＬＤＥＶ番号のリスト６０１と、ＬＤＥＶ番号毎のアドレス管理サブテーブル６００とで構成される。アドレス管理サブテーブル６００は、ＬＤＥＶ２００の論理アドレス範囲毎にエントリを有する。各エントリが格納する情報は、先頭ＬＢＡ６０２、プール番号６０４及び割当てページ番号６０３である。

【0076】

先頭ＬＢＡ６０２は、当該論理アドレス範囲の先頭ＬＢＡを表す。プール番号６０４は、当該論理アドレス範囲に割り当てられたページ２０７を有するストレージプール２０１の識別番号を表す。割当てページ番号６０３は、割り当てられたページ２０７の識別番号を表す。

【0077】

図７は、プール管理テーブル４００の構成例を示す。

【0078】

プール管理テーブル４００は、ストレージプール２０１毎にエントリを有する。各エントリが格納する情報は、プール番号７０３、プール容量７００、プール割当容量７０１及びプール使用容量７０２である。

【0079】

プール番号７０３は、ストレージプール２０１の識別番号を表す。プール容量７００は、ストレージプール２０１の定義された容量（具体的には、ストレージプール２０１を構成する１以上のプールＶＯＬ２０２にそれぞれ対応した１以上のＶＯＬ容量の合計）を表す。プール割当容量７０１は、ストレージプール２０１に関連づけられた１以上のＬＤＥＶ２００に割り当てられた実容量（具体的には、１以上のＬＤＥＶ２００に割り当てられている全ページ２０７の総容量）を表す。プール使用容量７０２は、ストレージプール２０１に格納されているデータの総量を表す。

【0080】

図８は、ページ管理テーブル４０３の構成例を示す。

【0081】

ページ管理テーブル４０３は、プール番号のリスト８０１と、プール番号毎のページ管理サブテーブル８００とで構成される。ページ管理サブテーブル８００は、ストレージプール２０１におけるページ２０７毎にエントリを有する。各エントリが格納する情報は、ページ番号８０２、割当状況８０４、アクセス特性８０６、プールＶＯＬ番号８０５及びプールＶＯＬ先頭ＬＢＡ８０３である。

【0082】

ページ番号８０２は、ページ２０７の識別番号を表す。割当状況８０４は、当該ページ２０７の割当状況を表し、例えば、割当済みであれば「済」、未割り当てであれば「未」である。アクセス特性８０６は、当該ページ２０７のアクセス特性（具体的には、前述した「ＨＯＴ」、「ＣＯＬＤ」、「ＡＲＣＨＩＶＥ」又は「ＮＯＲＭＡＬ」）を表す。アクセス特性はページアクセス監視プログラム２０３によりホスト１０４からの一定期間のＩ／Ｏ状況に基づき決定される。プールＶＯＬ番号８０５は、当該ページ２０７を有するプールＶＯＬ２０２の識別番号を表す。プールＶＯＬ先頭ＬＢＡ８０３は、当該ページ２０７の先頭ＬＢＡを表す。

【0083】

図９は、プールＶＯＬ管理テーブル４０２の構成例を示す。

【0084】

プールＶＯＬ管理テーブル４０２は、プール番号のリスト９１０と、プール番号毎のプールＶＯＬサブテーブル９００とを有する。プールＶＯＬサブテーブル９００は、プールＶＯＬ２０２毎にエントリを有する。各エントリが格納する情報は、プールＶＯＬ番号９０５、ＰＤＥＶ種別９０１及びプールＶＯＬ容量９０２である。

【0085】

プールＶＯＬ番号８０５は、プールＶＯＬ２０２の識別番号を表す。ＰＤＥＶ種別９０１は、プールＶＯＬ２０２の基になっているＰＤＥＶ（本実施例ではドライブ１１８）の種別を表す。プールＶＯＬ容量９０２は、プールＶＯＬ２０２の容量を表す。

【0086】

図１０は、ページアクセス管理テーブル４０５の構成例を示す。

【0087】

ページアクセス管理テーブル４０５は、ストレージプール２０１におけるページ２０７毎のアクセス状況に関する情報を保持するテーブルである。ページアクセス監視プログラム２０３が各ページ２０７のアクセス状況をモニタリングしテーブル４０５が更新される。

【0088】

ページアクセス管理テーブル４０５は、プール番号のリスト１０１０と、プール番号毎のページアクセス管理サブテーブル１０００とを有する。ページアクセス管理サブテーブル１０００は、ストレージプール２０１を構成するページ２０７毎にエントリを有する。各エントリが格納する情報は、ページ番号１００２、タイムスタンプ１００１、リードＩ／Ｏ回数１００３、ライトＩ／Ｏ回数１００４、シーケンシャルアクセス比率１００５、ランダムアクセス比率１００６、ライトデータ量１００７及びリードデータ量１００８である。

【0089】

ページ番号８０２は、ページ２０７の識別番号を表す。タイムスタンプ１００１は、当該ページ２０７がアクセスされたタイミングを示すタイムスタンプを表す。リードＩ／Ｏ回数１００３は、当該ページ２０７に対するリードＩ／Ｏの回数を表す。ライトＩ／Ｏ回数１００４は、当該ページ２０７に対するライトＩ／Ｏの回数を表す。シーケンシャルアクセス比率１００５は、当該ページ２０７に対するアクセス（Ｉ／Ｏ）のうち、シーケンシャルアクセスが行われた回数を表す。ランダムアクセス比率１００６は、当該ページ２０７に対するアクセス（Ｉ／Ｏ）のうち、ランダムアクセスが行われた回数を表す。ライトデータ量１００７は、当該ページ２０７にライトされたデータの量の累計を表す。リードデータ量１００８は、当該ページ２０７からリードされたデータの量の累計を表す。

【0090】

図１１は、ランサムウェア攻撃検知処理のフローの例を示す。

【0091】

ランサムウェア攻撃検知処理は、定期的に行われてもよいし、ページアクセス管理テーブル４０５が更新された等の所定のイベントに応じて行われてもよい。ランサムウェア攻撃検知処理は、ＬＤＥＶ２００を指定したアクセス要求に応答したＩ／Ｏ処理と非同期の処理であるが、Ｉ／Ｏ処理と同期の処理でもよい。

【0092】

ステップ１１０１で、ランサムウェア攻撃検知プログラム２０５は、プール管理テーブル４００を参照し、プール番号のリスト８０１から検知対象のストレージプール２０１のプール番号を選択する。「検知対象のストレージプール２０１」とは、更新されたページアクセス管理サブテーブル１０００に対応したストレージプール２０１でもよいし、ラウンドロビン等の所定の順序のうちランサムウェア攻撃検知処理の順番となったストレージプール２０１でもよい。

【0093】

ステップ１１０２で、ランサムウェア攻撃検知プログラム２０５は、検知対象のストレージプール２０１に対応のページ管理サブテーブル８００を参照し、アクセス特性８０６が“ＡＲＣＨＩＶＥ”のページ番号８０２を全て抽出する。ランサムウェア攻撃検知プログラム２０５は、抽出したページ番号８０２のうち一のページ番号８０２を選択する。

【0094】

ステップ１１０３で、ランサムウェア攻撃検知プログラム２０５は、検知対象のストレージプール２０１に対応のページアクセス管理サブテーブル１０００を参照し、ステップ１１０２（又はステップ１１０７）で選択したページ番号８０２に一致するページ番号１００２を含んだエントリを取得する。

【0095】

ステップ１１０４で、ランサムウェア攻撃検知プログラム２０５は、ステップ１１０３で取得したエントリからタイムスタンプ１００１を参照し、当該タイムスタンプ１００１が表す時刻（例えば当該エントリに対応のページ２０７の最終更新時刻）が現在時刻から一定期間未満であるか（つまり閾値未満か）どうかをチェックする。このチェック結果が偽の場合、処理がステップ１１０７へ進む。一方、このチェック結果が真の場合、処理がステップ１１０５へ進む。

【0096】

ステップ１１０５で、ランサムウェア攻撃検知プログラム２０５は、ステップ１１０３で取得したエントリからライトＩ／Ｏ回数１００４を参照し、当該ライトＩ／Ｏ回数１００４が表すライト回数が閾値以上であるかどうかをチェックする。このチェック結果が真の場合、処理がステップ１１０６へ進む。一方、このチェック結果が偽の場合、処理がステップ１１０７へ進む。

【0097】

ステップ１１０６で、ランサムウェア攻撃検知プログラム２０５は、当該ページを検知処理の評価対象としてマークする。

【0098】

ステップ１１０７で、ランサムウェア攻撃検知プログラム２０５は、ステップ１１０２で抽出したページ番号８０２のうち次のページ番号８０２を選択する。

【0099】

ステップ１１０８で、ランサムウェア攻撃検知プログラム２０５は、ステップ１１０７で次のページ番号８０２を選択したかどうかをチェックする。このチェック結果が真の場合、処理がステップ１１０３へ戻る。このチェック結果が偽の場合、処理がステップ１１０９へ進む。

【0100】

ステップ１１０９で、ランサムウェア攻撃検知プログラム２０５は、ステップ１１０６で検知処理の評価対象としてマークされたページの数が閾値以上かどうかをチェックする。このチェック結果が真の場合、一定数以上のＡＲＣＨＩＶＥページ２０７Ｄに対して一定期間の間に集中してデータ更新が生じたということから（通常時にアクセスが生じない多数のＡＲＣＨＩＶＥページ２０７Ｄに対してデータ更新が生じていることから）、ランサムウェア攻撃を受けている可能性がある。この場合、処理がステップ１１１０へ進む。一方、このチェック結果が偽の場合、処理がステップ１１１１へ進む。

【0101】

ステップ１１１０で、ランサムウェア攻撃検知プログラム２０５は、管理システム１０５に対し異常検知情報を通知する。異常検知情報の通知は、格納データの防護処置の一例である。

【0102】

ステップ１１１１で、ランサムウェア攻撃検知プログラム２０５は、未処理の検知対象のストレージプール２０１があるかどうかチェックする。このチェック結果が真の場合、処理がステップ１１０１へ戻る。このチェック結果が偽の場合、処理が終了する。

【0103】

以上、一実施例を説明したが、これは本発明の説明のための例示であって、本発明の範囲をこの実施例のみに限定する趣旨ではない。本発明は他の形態でも実施することが可能である。

【0104】

なお、以上の説明を、例えば下記のように総括することができる。下記の総括は、上述の説明の補足説明や変形例の説明を含んでよい。

【0105】

ストレージ装置１００が、１又は複数のＬＤＥＶ２００（１又は複数のホスト１０４に提供された１又は複数の論理ボリューム）のうちのいずれかのＬＤＥＶ２００を指定したアクセス要求をいずれかのホスト１０４から受け付け、当該アクセス要求に応答して、複数のページ２０７（１又は複数のＬＤＥＶ２００に割り当てられ得る複数の論理記憶領域）のうちの、当該ＬＤＥＶのアクセス先の領域に割り当てられたページ２０７に対してアクセスを行うようになっている。例えば、下記が行われてよい。
・制御プログラム１０１が、アクセス要求で指定されたＬＤＥＶ２００に対応のアドレス管理サブテーブル６００を参照し、ＬＤＥＶ２００のうちのアクセス先領域にページ２０７が割り当てられているか否かを特定する。
・アクセス要求がライト要求でありページ２０７が割り当てられていない場合、制御プログラム１０１が、上記指定されたＬＤＥＶ２００に対応のプール番号を、ＬＤＥＶ管理テーブル４０１から特定し、特定されたプール番号に対応のページ管理サブテーブル８００から未割当のページ（空きのページ）２０７を特定し、特定したページ２０７を、ＬＤＥＶ２００におけるアクセス先領域に割り当てる。
・制御プログラム１０１が、割り当てられたページ２０７に対するアクセスを行う。また、制御プログラム１０１が、必要に応じて、プール管理テーブル４００のうち、アクセスされたページ２０７を有するプールに対応のエントリを更新する。
・ページアクセス監視プログラム２０３が、アクセスされたページ２０７のアクセス状況（情報１００１～１００８の少なくとも一部）を更新する。

【0106】

ランサムウェア攻撃検知プログラム２０５が、複数のページ２０７の各々についてライト状況特性を表す情報を含んだ管理情報１０２を基に、一定期間の間に一定回数以上のライトが生じた低ライト頻度ページであるマーク対象ページを特定する。「低ライト頻度ページ」は、複数のページ２０７のうち、ライト状況特性に基づき比較的ライト頻度が低いと定義された低ライト頻度に該当するページである。ランサムウェア攻撃検知プログラム２０５が、マーク対象ページの数が閾値以上であるというランサムウェア攻撃の可能性の有無をチェックする。

【0107】

データ更新が通常生じない二以上のページに対してデータ更新が発生していることは、ランサムウェアによるデータ改ざんや誤ったデータ操作がされている可能性、つまり、ランサムウェア攻撃の可能性があり、その可能性を検知することができる。結果として、被害が大きくならないよう防護処置を講じることができ、以って、ランサムウェア攻撃の被害の影響を少なくすることができる。また、例えば、ランサムウェアは複数のホスト１０４に同時期に感染することが多いと考えられ、故に、複数のホストがアクセスする複数のＬＤＥＶ２００に割り当てられた複数の低ライト頻度ページに対しても同時期にデータ更新が発生する可能性が高いと考えられるが、ランサムウェア攻撃検知プログラム２０５は、ある一定期間の間にストレージプール２０１内に存在する低ライト頻度ページに対するデータ更新頻度が、平常時と比較して高くなったことを、ランサムウェア攻撃の可能性と検知することができる。

【0108】

なお、管理情報１０２が、ページ２０７毎に、ライトが発生する都度にライトの時刻を含んでもよいし、或る時刻からのライト回数を表す情報を含んでもよく、そのような管理情報１０２から、一定期間の間に一定回数以上のライトが生じた低ライト頻度ページの特定が可能である。また、「ライト状況特性」とは、ライト頻度を表す情報（例えば、或る時刻以降のライトＩ／Ｏ回数１００４）と、アクセス特性８０６とのうちの少なくとも一つにより表されてよい。

【0109】

また、低ライト頻度ページの一例が、ＡＲＣＨＩＶＥページ２０７Ｄであるが、ＡＲＣＨＩＶＥページ２０７Ｄに代えてＣＯＬＤページ２０７Ｃといった他のアクセス特性のページも低ライト頻度ページの一例とされてもよい。

【0110】

上記チェックの結果が偽の場合、ランサムウェア対策として、下記のうちの少なくとも一つが行われてよい。これにより、ランサムウェア攻撃の被害の影響を少なくすることが期待できる。
（ａ）一定期間の間にライトが生じた低ライト頻度ページが割り当てられているＬＤＥＶ２００である対象ＬＤＥＶ２００がデータのライト先であり、対象ＬＤＥＶ２００に割り当てられているページ２０７におけるデータの更新のためのライトが生じる場合、更新前のデータを退避する（例えば、Ｃｏｐｙ－Ｏｎ－Ｗｒｉｔｅ）。
（ｂ）対象ＬＤＥＶ２００のスナップショットを削除する指示を受けた場合に当該指示を拒否する。
（ｃ）対象ＬＤＥＶ２００にリモートコピー先のＶＯＬ（論理ボリューム）があり、且つ、対象ＬＤＥＶに割り当てられているページ２０７内のデータがリモートコピー先ＶＯＬにリモートコピーされる場合、リモートコピー先ＶＯＬにおける更新前のデータを退避させる（例えば、ストレージ装置１００のリモートコピー先のストレージ装置に当該退避を実行させる）か、或いは、リモートコピー先ＶＯＬのスナップショットを例えばリモートコピー先のストレージ装置に取得させてからリモートコピー先ＶＯＬにデータをコピーさせる。
（ｄ）異常検知を表す情報である異常検知情報をストレージ管理者に通知する。
（ｅ）対象のＬＤＥＶ２００の他に、対象ＬＤＥＶ２００と同一グループ（典型的には同一ホストグループ）に属し対象ＬＤＥＶ２００以外の１以上のＬＤＥＶ２００の各々についても、（ａ）乃至（ｄ）のうちの少なくとも一つを行う。

【0111】

なお、少なくとも（ａ）が行われてよい。また、（ａ）、（ｂ）及び（ｃ）は、データ保護制御プログラム２０４により行われてよい。（ｄ）は、ランサムウェア攻撃検知プログラム２０５により行われてよい。（ｅ）について、対象ＬＤＥＶ２００と同一グループ（典型的には同一ホストグループ）に属し対象ＬＤＥＶ２００以外の１以上のＬＤＥＶ２００は、管理情報から特定されてよい。例えば、データ保護制御プログラム２０４が、自律的に格納データの保護を行うことで、対象ＬＤＥＶ２００のバックアップデータ、リストアポイント及びスナップショットの少なくとも一つを作成してよい。

【0112】

管理情報１０２は、複数のページ２０７の各々についてアクセス状況を表す情報を含んだページアクセス管理テーブル４０５（ページアクセス管理情報の一例）と、複数のページ２０７の各々についてアクセス特性を表す情報を含んだページ管理テーブル４０３（ページ管理情報の一例）とを含んでよい。複数のページ２０７の各々について、当該ページ２０７のアクセス状況は、当該ページに対するライトの回数（例えば、或る期間でのライト回数）を含んでよい。複数のページ２０７の各々について、当該ページのアクセス特性は、ページのライト頻度に基づき決定された特性であってよい。ページアクセス監視プログラム２０３は、ページ２０７に対するアクセスの都度に、ページアクセス管理テーブル４０５が表す、当該ページ２０７に対応のアクセス状況を更新するようになっていてよい。ランサムウェア攻撃検知プログラム２０５が、複数のページ２０７の各々について、当該ページ２０７のアクセス状況の更新よりも低い頻度で、当該ページのアクセス状況におけるライト頻度を基に、ページ管理テーブル４０３が表す、当該ページのアクセス特性８０６を更新してよい。このように、アクセス特性８０６を、アクセス状況の更新に追従させることができる。

【0113】

複数のページ２０７は、アクセス性能が異なる複数の記憶デバイスグループに基づくページ２０７である。複数のページ２０７の各々は、複数の記憶デバイスグループのいずれかの記憶デバイスグループに基づいてよい。各記憶デバイスグループは、ＲＡＩＤグループでよく、１以上の記憶デバイスでよい。制御プログラム１０１は、ストレージティアリングを行ってよい。ストレージティアリングは、ページ２０７のアクセス状況が当該ページの基になっている記憶デバイスグループ（例えば、当該記憶デバイスグループに基づくプールＶＯＬ２０２）のアクセス性能に適さない場合、当該ページ２０７内のデータを、当該ページ２０７のアクセス状況に適したアクセス性能を持つ記憶デバイスグループに基づくページ（例えば、当該記憶デバイスグループに基づくプールＶＯＬ２０２内のページ）に移動することを含んでよい。ストレージティアリングでは、例えば、制御プログラム１０１は、ページアクセス管理テーブル４０５やプールＶＯＬ管理テーブル４０２を参照することで、ページ２０７のアクセス状況に適したアクセス性能を持つプールＶＯＬ２０２内のページを特定する。このため、ストレージティアリングで使用される情報の少なくとも一部をランサムウェア攻撃の可能性の検知に有効利用することができる。

【0114】

閾値決定プログラム２０６は、マーク対象ページの数の閾値を、例えば、低ライト頻度ページの一定期間の間のライト回数と低ライト頻度ページの数との統計に基づき決定してよい。統計の例として、低ライト頻度ページの数と一定期間の間のライト回数との関係に基づく分布（例えば、横軸が、一定期間の間のライト回数であり、縦軸が、低ライト頻度ページの数に基づく確率密度である分布）でよい。一定期間の間にライト（更新）が行われた低ライト頻度ページの数が全体のＸ％に入るといった条件を基に、マーク対象ページの閾値が決定されてよい。またこの統計処理は、前述した方法の他にも、例えば機械学習（Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ）アルゴリズムを利用し、通常運用時の前記分布を学習して利用する手法を用いてよい。これにより、閾値が最適となり、以って、ランサムウェア攻撃の可能性の検知精度の向上が期待できる。例えば、閾値決定プログラム２０６は、機械学習モデル（具体的には、低ライト頻度ページのライト回数と低ライト頻度ページの数とを入力としマーク対象ページの閾値を出力とした機械学習モデル）に、低ライト頻度ページの一定期間の間のライト回数と低ライト頻度ページの数とを入力することにより、マーク対象ページの数の閾値を決定してよい。機械学習モデルは、ニューラルネットワークでもよいしその他の機械学習モデルでもよい。

【0115】

ランサムウェア攻撃検知プログラム２０５、データ保護制御プログラム２０４及び閾値決定プログラム２０６の各々は、ストレージ装置１００にあってもよいし管理システム１０５にあってもよい。管理システム１０５が少なくともランサムウェア攻撃検知プログラム２０５を有する場合、管理情報１０２の少なくとも一部（例えば、ページ管理テーブル４０３及びページアクセス管理テーブル４０５が有する情報）が、管理システム１０５のメモリに格納されてよく、当該情報を基に、ランサムウェア攻撃検知プログラム２０５が、ランサムウェア攻撃の可能性の有無のチェックを行ったり、閾値決定プログラム２０６が、マーク対象ページの数の閾値を決定したりすることができる。

【0116】

また、ページ２０７は、ストレージプール２０１における領域に代えて、ＬＤＥＶ２００（例えばＲＶＯＬ）における領域でもよい。

【符号の説明】

【0117】

１００ ストレージ装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】