バックアップの仕組みの多くは、それが必要になった日に評価されます。そしてその日に失敗するケースも少なくありませんが、その原因はずっと前から見えていたものです。あるボリュームを黙ってスキップしていたジョブ、書き込み途中にコピーされたデータベース、誰も測定していない回線で何日もかかる復元、本番環境を暗号化したのと同じ攻撃者に暗号化されたバックアップなどです。
本ガイドは、目標復旧時点（RPO）と目標復旧時間（RTO）という2つの数値から出発し、そこから範囲を広げていきます。保持すべきコピーの数、そのうち1つをランサムウェアから守る方法、データベースを整合性のある状態で取得する方法、復元が機能することをどの頻度で確認するか、ランブックの書き方、そして費用がどこにかかるかです。
システムごとのRPOとRTOから始める
RPOとは、失っても許容できるデータの量を時間で表したものです。RPOが24時間であれば、夜間バックアップで十分です。RPOが15分であれば、継続的なログ配布、レプリケーション、または非常に頻繁なスナップショットが必要です。RTOは、障害の発生からユーザーが再び業務を行えるようになるまでの、システムが利用できない時間の許容値です。
これらの数値はIT部門だけでなく、各システムのビジネスオーナーが決め、文書化すべきです。システムは通常、次のようないくつかの階層に分類されます。
- Tier 1。注文処理、決済、基幹データベースなど、収益と顧客に直結するシステムです。一般的な目標値は、RPOが数分、RTOが1〜4時間です。
- Tier 2。ERP、ファイル共有、メール、チケット管理など、社員が日常的に依存する社内システムです。一般的な目標値は、RPOが1〜4時間、RTOが8〜24時間です。
- Tier 3。アーカイブ、レポート用レプリカ、開発環境とテスト環境です。一般的な目標値は、RPOが24時間、RTOが数日です。
- 再構築可能なもの。コードやイメージから構築されるステートレスなサーバーです。サーバーそのものではなく、設定とビルドパイプラインをバックアップします。
RTOにはすべてが含まれます。障害の検知、復旧の決定、バックアップシステムへのアクセス、ハードウェアのプロビジョニング、データ転送、アプリケーションの検証です。
3-2-1ルールとその現代的な拡張
古典的な3-2-1ルールでは、データのコピーを3つ（本番と2つのバックアップ）、2種類の異なるストレージシステムまたはメディアに保持し、そのうち1つを遠隔地に置くよう定めています。
現在では多くのチームが3-2-1-1-0を採用しています。1つのコピーをオフラインまたはイミュータブルにし、復元をエラーゼロで検証するというものです。この追加項目があるのは、ランサムウェアの攻撃者が本番環境を暗号化する前に、到達可能なバックアップを探して削除するためです。管理者アカウントで削除できるバックアップは、攻撃対象の一つにすぎません。
実際には、現在の「2種類のメディア」とは、ディスクとテープではなく、2つの独立したストレージシステムを指すのが一般的です。ローカルのバックアップアプライアンスと別施設のオブジェクトストレージの組み合わせは条件を満たします。同じアレイ上の2つのボリュームは満たしません。また、スナップショット単体はバックアップではありません。保護対象のデータとハードウェアや認証情報を共有しているためです。
ランサムウェアに備えたイミュータブルで隔離されたコピー
イミュータブルなコピーは、保持期間が終了するまで、管理者であっても変更も削除もできません。一般的な選択肢は、コンプライアンスモードのライトワンス保持ロックを備えたオブジェクトストレージ、保持機能を強化したバックアップアプライアンス、物理的にオフラインにしたメディアです。
イミュータビリティは、周辺の制御がそれに見合っている場合にのみ効果を発揮します。攻撃者が本番環境のドメイン管理者権限を握っていると仮定し、それでも攻撃者が手を出せないものは何かを次の観点で確認してください。
- アイデンティティを分離する。バックアップ基盤は本番のディレクトリではなく独自のアカウントを使用し、すべての管理者ログインに多要素認証を適用します。
- 保持期間のロック。事後に短縮できない保持期間のロックを設定し、保持ポリシーの変更には2名の承認を必要とします。
- ネットワークの分離。バックアップストレージは、独立した管理ネットワーク上で、バックアップサーバーからのみ到達できるようにし、ユーザーネットワークからの受信アクセスは一切許可しません。
- 保持期間の深さ。感染前の時点まで遡れるだけの履歴が必要です。攻撃者は数週間にわたりネットワーク内に潜伏することが多いため、イミュータブル層では30〜90日が現実的な最低ラインです。
- 異常に対するアラート。変更データ量の急増、バックアップセットの削除、保持期間の変更に対するアラートです。これらは多くの場合、攻撃の最初に見える兆候です。
ランサムウェアからの復元は、ハードウェア障害からの復元とは別に計画します。ランサムウェアの後は、隔離された環境に復元し、データをスキャンし、最後に正常だった時点を特定し、認証情報を再構築してから再接続する必要がある場合があります。
データベースの整合性：ファイルバックアップが見落とす部分
稼働中のデータベースのファイルをコピーすると、通常は完全に見えてもリストア時に失敗するバックアップができあがります。ページが異なる時点で取得されているためです。データベースが理解できる方法を使ってください。
- ネイティブまたはホットバックアップのツール。データベースエンジンがサポートするオンラインバックアップの方法、またはエンジンと連携するバックアップエージェントを使用し、コピーがトランザクション上の整合性を保つようにします。
- 短いRPOのためのログ配布。定期的なフルバックアップと、トランザクションログの継続的なアーカイブを組み合わせます。これにより、問題のあるデプロイや悪意のある変更の直前まで戻ることを含め、ポイントインタイムリカバリが可能になります。
- アプリケーション整合性のあるスナップショット。ストレージやVMのスナップショットに頼る場合は、まずデータベースを静止または凍結し（あるいはエンジンのスナップショット連携機能を使用し）、スナップショットが整合性のある状態を取得するようにします。
- レプリケーションはバックアップではない。レプリカは、削除、破損、誤った更新を数秒のうちに忠実にコピーします。レプリカは可用性と短いRTOのために使い、復旧可能性のためには別途バックアップを保持してください。
バックアップ時間だけでなく、データベースの復元時間を測定してください。復元には数時間分のログの再適用やインデックスの再構築が含まれることが多く、バックアップの数倍の時間がかかる場合があります。4 TBのデータベースのRTOが2時間であれば、復元でそれを満たせるのか、スタンバイレプリカも必要なのかを確認してください。
1 Gbpsの回線をフルに使うと毎秒約125 MB、1日あたりおよそ10 TBを転送できます。実際には、プロトコルのオーバーヘッド、重複排除データの復元処理、ストレージの読み取り速度により、持続的なスループットは回線速度の50から80パーセント程度にとどまることが多くあります。
- 例。20 TBを1 Gbpsで効率70パーセントでリストアすると、約2.9日かかります。10 Gbpsであれば、両端のストレージが追いつく限り約7時間です。
- まずローカルコピーから。本番環境の近くにあるローカルのバックアップ層が、ほとんどのリストアを迅速に処理します。オフサイト層とイミュータブル層は、災害と攻撃に備えるものです。
- 重要なデータから先にリストアする。データセット全体を待つのではなく、Tier 1のデータを最初に、かつ単独でリストアできるように設計します。
復旧可能性を証明するリストアテストのスケジュール
一度もリストアしたことのないバックアップは、前提にすぎません。テストにかける労力は、Tierに応じて調整します。
- 毎日。ジョブのステータスを自動でチェックし、プラットフォームが対応している場合はバックアップファイルの整合性を自動で検証します。失敗またはスキップされたジョブがあれば、チケットを起票します。
- 毎週。異なるシステムからファイルとフォルダをランダムに抽出してリストアし、チェックサムまたは元のデータと比較します。
- 毎月。少なくとも1つのTier 1データベースを隔離された環境にリストアし、整合性チェックを実行し、アプリケーションがそれを読み取れることを確認します。所要時間を記録します。
- 四半期ごと。依存関係を含むTier 1アプリケーションスタック全体を、オフサイト層またはイミュータブル層からリストアします。実際の復旧時間をRTOと比較します。
- 年1回。ランサムウェアのシナリオを含む完全な災害復旧訓練を、実際にオンコールを担当する担当者とともに実施します。技術的な手順だけでなく、意思決定のプロセスも含めます。
各テストについて、日付、システム、コピー元、データ量、所要時間、発見された問題を記録します。テストがRTOを超えた場合は、担当者と期限を定めたインシデントとして扱ってください。
プレッシャーの中でも実行できるランブック
復旧作業は通常、その場にいる人が、都合の悪い時間に、ストレスのもとで行います。その人のためのランブックを書いてください。具体的で、番号付きで、テスト済みであり、コマンド、ホスト名、期待される出力を明記したものです。
- 発動条件と権限。どのような条件で復旧を開始するのか、誰が災害を宣言できるのか、誰に通知しなければならないのか。
- 連絡先。オーナー、ベンダー、プロバイダーの連絡先を、メールが使えなくても連絡できる電話番号とともに記載します。
- アクセス。プライマリのディレクトリ、VPN、パスワードマネージャーが利用できない場合に、バックアップ基盤とリカバリ環境へどのようにアクセスするか。緊急用の認証情報は、封印され監査されるブレークグラス手順の中で保管します。
- 復旧の順序。依存関係に基づくシステムの復旧順です。ネットワークとDNS、アイデンティティ、データベース、そしてアプリケーションの順となります。
- 段階的な手順。システムごとの正確な手順を、各手順の想定時間と成功の確認方法とともに記載します。
- 検証と引き渡し。業務の責任者が、システムが利用可能でデータが十分に最新であることをどのように確認するのか、そして通常の運用とバックアップをどのように再開するのか。
ランブックは、それが想定する災害を生き延びられる場所に保管してください。印刷したコピー、オフラインの暗号化コピー、本番環境の外にあるコピーです。
コストのトレードオフと判断の方法
RPOやRTOを短縮するたびにコストがかかり、目標値が小さくなるほどその曲線は急になります。RPOを24時間から1時間に短縮する場合、主なコストはジョブの頻度の増加とログのストレージです。ゼロに近づけるには、通常、継続的なレプリケーションとスタンバイ環境が必要となり、対象システムのインフラストラクチャはおよそ2倍になります。
- ストレージの容量。保持期間の深さはストレージ容量を何倍にも増やします。重複排除と圧縮は、ファイルやVMのバックアップには大きな効果がありますが、すでに圧縮または暗号化されたデータにはあまり効きません。
- イミュータブル層。保持期間をロックすると、早期に削除したいデータであっても全期間分の料金がかかります。意図をもってサイジングしてください。
- エグレスと転送。ストレージサービスの中には、データの読み出しや転送に料金がかかるものがあり、大規模なリストアや頻繁なテストのコストが高くなります。見積もりには保存費用だけでなく、リストアのコストも含めてください。
- スタンバイ用のコンピュート。ウォームスタンバイは短いRTOを満たしますが、コストは2つ目の本番環境に近くなります。パイロットライト構成はデータを複製し、復旧時にコンピュートをプロビジョニングします。安価ですが、時間はかかります。
- 人員とテストの時間。リストアテストとランブックの維持には、毎月スタッフの工数がかかります。これを予算に組み込んでください。それがなければ、他の支出はすべて実証されていないことになります。
シンプルな判断基準があります。各Tierについて、現在の目標値での年間の想定損失と、より厳しい目標値を満たす構成の年間コストを比較します。改善にかかるコストが防げる損失を下回るなら、実施します。そうでなければ、受容するリスクを文書化し、業務の責任者の承認を得ます。
バックアップとリカバリのチェックリスト
- 全システムにRPO、RTO、Tier、責任者を文書化。
- 依存関係をマッピングし、復旧順序に反映。
- 対象システムごとにコピー3つ。2つ以上の独立したストレージに保存し、1つは遠隔地。
- 少なくとも1つのイミュータブルまたはオフラインのコピー。重要データは30日以上保持。
- バックアップ管理はMFA付きの独立アカウントで。保持期間の変更には2名の承認が必要。
- バックアップは隔離ネットワーク上にあり、ユーザー網から到達不可。
- データベースをエンジン対応の整合性ある方法でバックアップし、RPOが数時間未満ならログをアーカイブしていること。
- 復元スループットを測定済み。Tier 1最大の復元もRTO内。
- スケジュール化し記録済み：毎日のジョブ確認、毎週のファイル、毎月のデータベース、四半期ごとのアプリケーションのリストア、年1回の総合訓練。
- ランブックは番号付き、テスト済み、オフライン保管で、テストや大きな変更のたびに見直し。
- アラート対象。失敗したジョブ、削除されたバックアップ、保持期間の変更、データ変更の急増。
- コスト：ストレージ、転送量、スタンバイ用コンピュート、スタッフの工数。受容リスクは業務責任者が承認していること。
次のステップ
まず、最も重要な10個のシステムについてRPO、RTO、担当者を記入し、そのうえで最大のシステムの復元を1回、時間を計って実行してください。
バックアップ先を構築または移行する場合、Vonahostは、ローカルNVMeまたは最大1 PBのネットワークブロックストレージを備えた専用サーバーをお客様が選択したリージョンで提供し、マネージドクラウドにはバックアップが含まれます。すべての提案書に構成、設置場所、責任範囲、米ドル建ての月額料金を明記するため、復旧計画のどの部分をお客様が運用し、どの部分をプロバイダーが担うかが明確になります。