IBM FlashSystemは、ランサムウェアによる暗号化前にドライブ内のデータ盗難を検知、誤検知率は1%未満

IBM FlashSystem 5600、7600、および9600アレイ（第5世代IBM FlashCoreモジュール搭載）は、ランサムウェア暗号化検出機能に加え、ドライブ内部でのデータ漏洩も検出できるようになりました。IBMによると、このモジュールは各ボリュームの通常の読み取りパターンを学習し、そこから逸脱する読み取りを検知してフラグを立て、30分間の信頼区間内で疑わしいイベントを1%未満の誤検出率で確認します。この機能は、ファームウェア9.1.2以降を搭載した対象構成で、2026年10月から利用可能になります。

IBMの主張は、データが既に流出している場合、復旧は間違った質問に答えることになるという点だ。復旧によってボリュームは復元されるが、暗号化開始前に何が読み取られたのか、あるいは漏洩の規模がどの程度なのかをオペレーターに伝えることはできない。IBMは、攻撃者がランサムウェアを展開する前にネットワーク内に11～14日間滞在するというGoogle CloudのM-Trends 2026レポートや、データ侵害の特定に平均247日かかるというデータ侵害コスト2026レポートを引用している。

インラインFlashCoreモジュールのテレメトリと脅威検出

データ漏洩は、通常の読み取り操作に見せかけるため、暗号化よりも検知が困難です。FlashCoreモジュールは、ドライブ上のすべてのI/Oを分析し、各ボリュームのベースラインを構築し、定期的なバックアップ処理と分析スキャンを認識することで、スケジュールされたフル読み取りによってアラートが発生しないようにします。この分析はモジュール内で実行されるため、攻撃者が制御する可能性のあるエンドポイントエージェントやホストログに依存せず、アプリケーションの変更も不要です。また、IBMによると、パフォーマンスへの影響は測定できないとのことです。

「サイバーレジリエンスの未来は、単に攻撃後に復旧することだけではありません」と、IBMストレージ担当ゼネラルマネージャーのサム・ワーナー氏は語った。同氏は、潜在的なデータ盗難を早期に察知し、より迅速に対応することで、被害が発生する前にリスクを特定することを目標としている。OCF Limitedのテクニカルディレクター、ローレンス・ホロックス＝バーロウ氏は、ストレージ層の検出を防御のもう一つの段階として説明し、「何かがおかしいと早く気づけば、それだけ早く対処できるのです」と述べた。

FIPSポスト量子暗号とセキュアファイバーチャネルHBA

2つ目の変更点は、今日盗まれた暗号化データを量子ハードウェアが鍵を解読できるまで保持する「今すぐ収集して後で復号する」攻撃を標的としたものです。FlashSystemは保存データにAES-256を維持し、第5世代FlashCoreモジュールには、IBMの研究者と共同開発した2つのアルゴリズムであるFIPS 203準拠のML-KEMとFIPS 204準拠のML-DSAが追加されました。ML-KEMはハイブリッドモードで動作してロック解除PINをモジュールに送信し、ハイブリッドML-DSA署名によってファームウェアの真正性が検証されます。

IBMによると、セキュアHBAは量子耐性保護機能をファイバーチャネルのデータパスに組み込み、効率性、パフォーマンス、モジュールで実行されるランサムウェア検出機能に影響を与えることなく、ファブリック上で量子耐性のあるセッションレベル暗号化を可能にするという。IBMはHBAの発売時期を明らかにしておらず、セッションレベル暗号化は将来の機能として説明している。

FlashSystem.ai 運用ガバナンス

FlashSystem.aiは、5600、7600、9600の発売時に導入され、今回のアップデートでアドバイザリ機能が追加されました。コンテキストに応じた推奨事項、管理セッション間で引き継がれるタスクコンテキスト、そして次に最適なアクションの提案などが含まれます。管理者は自然言語で作業でき、推奨事項の根拠を確認できるほか、ポリシーベースのガバナンスによって承認権限を維持できます。IBMは、セーフガードコピーと災害復旧ポリシーを使用したマルチボリュームプロビジョニングのラボ制御評価に基づき、ルーチンプロビジョニングの作業時間を最大90%削減できるとしています。

IBMフラッシュシステム