イミュータブルバックアップとは？仕組み・実現方法・デメリットを中立に解説

ランサムウェアの被害で業務が長く止まる企業には、共通点があります。バックアップは取っていたのに、そのバックアップまで暗号化・削除されていたことです。攻撃者は本番データを暗号化する前に、まずバックアップを探して消します。

その対策として広まっているのが、イミュータブルバックアップです。この記事では、仕組み・実現方法・デメリットに加えて、「消せない」だけでは業務が戻らないケースまで、特定の製品に寄らない立場で解説します。

ランサムウェアの基本から知りたい方は、先にこちらの記事をご覧ください。

イミュータブルバックアップとは

イミュータブルバックアップとは、一度保存したら決められた期間、誰も変更・削除できない状態で保管するバックアップです。英語の「immutable」は「不変の」という意味で、「不変バックアップ」とも呼ばれます。

通常のバックアップとの違い

通常のバックアップも、ふだんは上書きや削除を防ぐ設定がされています。ただしそれは「権限のある人なら消せる」状態です。管理者のIDとパスワードがあれば、設定を変えて削除できます。

イミュータブルバックアップは、管理者権限を持っていても、保持期間が終わるまで消せません。守る相手に「正規の権限を持つ人」まで含めている点が、最大の違いです。

なぜイミュータブルバックアップが必要なのか

攻撃者はバックアップを先に消す

近年のランサムウェア攻撃は、侵入してすぐに暗号化するわけではありません。社内ネットワークに潜伏し、ファイルサーバーやバックアップサーバーの場所を調べます。そのうえでバックアップを削除・暗号化し、最後に本番データを暗号化します。

狙いは、復旧の手段を奪って身代金を払わせることです。バックアップが残っていれば、身代金を払わずに戻せてしまうからです。警察庁が公表しているランサムウェア被害の調査でも、バックアップを取っていたのに復元できなかった事例が繰り返し報告されています。

管理者権限を奪われると、通常のバックアップは守れない

攻撃者は潜伏中に、管理者のアカウントを奪うことがよくあります。管理者として操作できれば、バックアップソフトの管理画面から削除したり、保存先のストレージを初期化したりできます。

この段階では、アクセス権の設定やパスワードの強化は効きません。攻撃者は「正規の管理者」として操作しているからです。権限があっても消せない仕組みが必要になる理由は、ここにあります。

仕組み｜保持期間とロック

WORMと保持期間（リテンション）

土台にあるのは、WORM（Write Once Read Many：一度だけ書き込み、何度でも読める）という考え方です。バックアップを書き込むときに「保持期間」を設定し、期間が終わるまでは変更も削除もできないようにロックします。

保持期間が過ぎると、通常のデータと同じように削除できます。古い世代は自動で整理されるので、容量が際限なく増え続けるわけではありません。

解除できるロック、解除できないロック

ロックには、強さの違う2つの方式が用意されていることが多くあります。クラウドストレージのAmazon S3では、ガバナンスモードとコンプライアンスモードと呼ばれています。

ランサムウェア対策として効くのは、解除できない方式です。解除できる方式は、その「特別な権限」を奪われれば消されてしまいます。製品によって呼び方が違うので、導入時には「最上位の管理者でも解除できないか」を必ず確認してください。

イミュータブルバックアップを実現する4つの方法

実現方法は、大きく分けて4つあります。どれか1つが正解というより、環境と「どれだけ早く戻したいか」で選びます。

選ぶときに最初に決めるべきなのは、「止まってから何時間で戻す必要があるか」です。NASは早く戻せますが、同じ建物にあれば災害に弱くなります。クラウドやテープは遠くに置けますが、戻すのに時間がかかります。目標とする復旧時間の決め方は、RTO・RPOの記事で解説しています。

デメリットと費用の考え方

容量とコストが増える

保持期間中は古い世代を消せないため、通常のバックアップより多くの容量を使います。保持期間を長くするほど容量は増え、クラウドなら保管料、NASならディスクの追加が必要になります。

保持期間中は「消したいデータ」も消せない

誤って取得したデータや、削除すべき個人情報が含まれていても、保持期間が終わるまで消せません。解除できない方式では、管理者も取り消せません。個人情報の削除依頼への対応など、社内規程と保持期間がぶつからないかを事前に確認してください。

設定を誤ると、守っているつもりで守れていない

保持期間の設定漏れ、解除できる方式のままの運用、一部のバックアップだけ対象外になっている、といった設定ミスはよく起こります。導入して終わりにせず、設定が意図どおりかを定期的に確かめる必要があります。

費用は「容量×保持期間×方式」で決まる

費用は、方式・容量・保持期間でおおよそ決まります。見積もりでは、保持期間中に手元に残る世代をすべて足した容量を基準にしてください。クラウドの場合は、保管料だけでなく、復元時にデータを取り出す費用も含めて比べます。

イミュータブルでも戻せない4つのケース

イミュータブルバックアップが守るのは、「バックアップが消されないこと」です。「業務が元どおり動くこと」までは保証しません。導入前に知っておきたい、戻せないケースを4つ挙げます。

1. 感染したデータごと保存されている

攻撃者は侵入してから暗号化するまで、数日から数週間潜伏することがあります。その間に取ったバックアップには、攻撃者が仕込んだ不正なプログラムや設定がそのまま入っています。イミュータブルなので、汚れたバックアップも確実に残ります。

保持期間が潜伏期間より短いと、手元には感染後のバックアップしか残りません。保持期間は「容量に収まる長さ」ではなく、「感染前まで遡れる長さ」で決める必要があります。

2. 管理の仕組みそのものを狙われる

バックアップ自体は消せなくても、バックアップソフトの管理サーバーを壊されると、どこに何があるのか分からなくなります。新しいバックアップをこっそり止められ、気づいたときには古い世代しかない、ということも起こります。

製品によっては、保存先の時刻を書き換えて保持期間を早く終わらせる手口への対策も必要です。管理系の分離と、バックアップが止まっていないかの監視までを含めて設計します。

3. 戻す先のシステムがない

バックアップがあっても、戻す先のサーバーやネットワークが使えなければ復元できません。サーバーの再構築、OSの入れ直し、ネットワークの安全確認が終わるまで、データは戻せないのです。災害やシステム停止からの復旧計画に「戻す先の確保」が含まれているかは、DR（災害復旧）の記事で確認できます。

4. 復元に時間がかかりすぎる

数十TBのバックアップをクラウドやテープから戻すと、転送だけで数日かかることがあります。「戻せる」と「業務が止まってよい時間内に戻せる」は別の話です。目標の時間に間に合うかは、実際に戻してみないと分かりません。そのため、定期的な復元テストが欠かせません。

4つに共通するのは、「データを失わない」ことと「止まっても戻せる」ことの間に距離があることです。イミュータブルバックアップは前者を支える有力な手段ですが、後者には保管場所の分け方、戻す手順、戻す時間まで含めた設計が必要です。

バックアップ設計の中での位置づけ

イミュータブルバックアップは、単独で使うものではありません。バックアップの基本である3-2-1ルール（データのコピーを3つ、2種類の媒体に、うち1つは別の場所に）の中に組み込んで使います。

ランサムウェアの広がりを受けて、近年は「3-2-1-1-0」という考え方も使われています。追加の「1」はオフラインまたはイミュータブルなコピーを1つ持つこと、「0」は復元テストでエラーをゼロにすることです。3-2-1ルールそのものは、3-2-1ルールの記事で詳しく解説しています。

オフライン・エアギャップとの違い

イミュータブルバックアップとよく比べられるのが、オフラインバックアップとエアギャップです。守り方が違うので、どちらが優れているかではなく、組み合わせて使います。

よくある質問

イミュータブルストレージのデメリットは何ですか？

主なデメリットは3つです。古い世代を消せないため容量とコストが増えること、保持期間中は消したいデータも消せないこと、設定を誤ると守れていないことです。保持期間を長くするほど容量は増えるので、「感染前まで遡れる長さ」と費用のバランスで決めます。

NASのイミュータブルバックアップとは何ですか？

NASが持つスナップショットやWORMの機能を使い、一定期間は削除できない状態でバックアップを保管することです。手軽に始められる反面、NAS本体の故障や災害では本体ごと失います。別の場所へのコピーと組み合わせて使うのが基本です。

エアギャップとの違いは何ですか？

イミュータブルバックアップはネットワークにつながったまま、ロックで削除を禁止します。エアギャップは、バックアップを本番環境から切り離して攻撃者の手が届かないようにします。守り方が違うため、組み合わせて使われることが多くあります。

AWSやAzureでも実現できますか？

できます。Amazon S3ではオブジェクトロック、Azure Blob Storageでは不変ストレージという機能を使います。解除できない方式を選ぶこと、保管料に加えて取り出しの費用もかかること、大容量の復元には時間がかかることに注意してください。

まとめ

イミュータブルバックアップは、管理者権限を奪われてもバックアップを消されないための仕組みです。ランサムウェアがバックアップを先に狙う今、備えとして欠かせないものになっています。

• 保持期間中は、管理者を含めて誰も変更・削除できない
• ランサムウェア対策には、最上位の管理者でも解除できない方式を選ぶ
• 実現方法はNAS、クラウド、バックアップ製品、WORM媒体の4つ。戻すまでの時間で選ぶ
• 保持期間は「感染前まで遡れる長さ」で決める
• 「消されない」と「業務が戻る」は別。戻す先、戻す時間、復元テストまで含めて設計する

関連記事

• 3-2-1ルールの記事
• RTO・RPOの記事
• DR（災害復旧）の記事