ランサムウェア対策のバックアップ戦略：イミュータブルストレージと「3-2-1ルール」によるデータ保護

～バックアップは「保険」ではなく「最初の標的」である～

「ウチには毎日バックアップを取っているNASがあるから、ランサムウェアに感染してもデータを戻せばいい」
もしそう考えているなら、あなたの会社のデータはすでに「詰んで」います。

なぜなら、現代のランサムウェア攻撃者は、本番データを暗号化する前に、まずバックアップシステムを破壊しに来るからです。「復旧手段を断つ」ことが、被害企業に身代金を確実に支払わせるための、彼らのビジネス定石だからです。

問います。あなたの会社のバックアップHDDは、今この瞬間、社内LANに繋がっていませんか？もしそうなら、それはバックアップではありません。ただの「共有フォルダ」であり、攻撃者にとっての格好の餌食です。

本稿では、攻撃者がバックアップを無効化する手口と、そこからデータを物理的・論理的に隔離して守り抜く「イミュータブル・バックアップ」と「3-2-1ルール」の鉄則を解説します。

1. 攻撃者はどうやってバックアップを殺すのか？
1. Windows標準バックアップは「コマンド一発」で消える
2. NASの管理画面も乗っ取られる
2. 最強の盾「イミュータブル（不変）ストレージ」とは
1. 管理者でも消せない「聖域」を作る
2. ゼロトラストの究極系
3. 古くて新しい「3-2-1ルール」と「エアギャップ」
1. 物理的に切断する「エアギャップ」
4. 「盗まれても読めない」状態を作る（暗号化）
1. 二重脅迫への対抗策
結論：「リストア訓練」なきバックアップは画餅である

1. 攻撃者はどうやってバックアップを殺すのか？

Windows標準バックアップは「コマンド一発」で消える

攻撃者が端末に侵入して最初に行う破壊工作の一つが、「VSS（ボリュームシャドウコピー）」の削除です。

VSSはWindowsが自動で取得するバックアップ（スナップショット）機能ですが、攻撃者は管理者権限を奪取した後、この機能を無効化し、過去のスナップショットをすべて削除します。これにより、「以前のバージョンに戻す」という復旧手段は瞬時に封じられます。

NASの管理画面も乗っ取られる

ネットワーク経由のバックアップ（NAS）も安全ではありません。
攻撃者は横展開（ラテラルムーブメント）によってドメイン管理者権限を奪うと、その権限を使ってバックアップサーバーやNASの管理画面にログインします。そして、「データの初期化（フォーマット）」や「バックアップファイル自体の暗号化」を実行します。

ネットワーク上でアクセスできる（＝書き込み可能な）状態にある限り、それはバックアップではなく「攻撃対象」なのです。

2. 最強の盾「イミュータブル（不変）ストレージ」とは

管理者でも消せない「聖域」を作る

管理者権限を奪われてもデータを守る唯一の方法、それが「イミュータブル（Immutable：不変）ストレージ」です。

これは、書き込まれたデータに対して「一定期間（例：30日間）、いかなる権限を持っても変更・削除できない」という属性（WORM: Write Once Read Many）を付与する技術です。
たとえ攻撃者が管理者IDを盗み、「全削除」コマンドを実行しても、ストレージシステム側が「保持期間内なので削除できません」と拒否します。