ランサムウェア対策の3ステップ AWSが提唱する「3-2-1-1-0」ルールとは

被害が後を絶たないランサムウェア。AWS環境やハイブリッド環境をランサムウェアからどのように守り、ひいては事業を守っていくべきだろうか。

[高橋睦美，キーマンズネット]

　ここ数年被害が後を絶たないランサムウェアに対して、どのような対策を講じるべきだろうか。AWS環境やハイブリッド環境をランサムウェアからどのように守り、ひいては事業を守っていくかのヒントを、アマゾン ウェブサービス ジャパンの向井稔氏が解説した。

AWSが提唱する、ランサムウェア対策の3ステップ

　向井氏は、ランサムウェアに限らずサイバー攻撃対策全般に言えることとして、米国国立標準技術研究所（NIST）のサイバーセキュリティフレームワークに基づいて防御と検知、対応、復旧といった各フェーズで対策を実施すべきだとした。

　ランサムウェアは典型的にはデータを暗号化するという特徴がある。この特徴を踏まえ、暗号化や削除からどのようにデータを守り、業務を再開していくかという観点から、復旧に焦点を当てて対策を考えることが重要だという。

　そして、これもまたサイバー攻撃対策全般に共通することだが、何か一つのやり方を全ての組織に適用できるわけではない。システムや保有するデータ、社内体制や予算などによってできることは変わってくる。

　向井氏はそのことを踏まえ、

1．AWS移行後すぐに始められる効果的な対策

2．包括的な復旧対策、「3-2-1-1-0」ルール

3．よりアドバンストな対策「AWS Backup論理エアギャップボールト」

　という3つの要素に分け、復旧というフェーズに焦点を当ててランサムウェア対策を紹介した。

すぐに始められる、変更不可能な形でのバックアップ取得

　向井氏が述べた「すぐに始められる効果的な対策」にも、想定される課題や環境に応じて3つの保護手法がある。

1．ローカルへのバックアップとリカバリー

2．遠隔地へのディザスターリカバリー

3．専用の領域に隔離されたイミュータブルコピー

　の3つだ。このうちバックアップとリカバリーは主に障害復旧、ディザスタリカバリーは災害復旧を想定した手段のに対し、ランサムウェア対策となるのが3つ目の手法だ。同氏はこれを「サイバーボールト」と表現している。

AWSのデータ保護手法（筆者撮影：セッション資料）

　サイバーボールトの「イミュータブル」とは、「変更不可能な」という意味だ。実現するには、「Write Once Read Many」（WORM）という技術がポイントになる。これは、一度書き込むと変更や上書き、削除などができず、読み取りだけ何度でも可能な仕組みだ。このWORMと「専用領域への隔離」の2つが重要な要素になるという。

　AWSでは、オブジェクトストレージの「Amazon S3」やブロックストレージの「Amazon EBS」、ファイルストレージサービスの「Amazon FSx for NetApp ONTAP」、そして複数のAWSサービスのバックアップを一元管理できる「AWS Backup」といった複数のサービスを提供している。それぞれ「オブジェクトロック」「EBSスナップショットロック」「SnapLock」「Vault Lock」というWORMによる保護機能が提供されており、ランサムウェア攻撃からの保護を担う。

　中でもEBSスナップショットロックはAPI経由で利用でき、「Amazon EventBridge」や「AWS Lambda」を組み合わせることで、ランサムウェアに備えて定期的かつ自動的にロックを適用できる。またファイル単位で保持期限などを設定できるSnapLockは、ランサムウェア対策はもちろん、コンプライアンス要件を満たす目的でも活用できる。

　AWS Backupは、サーバやデータベース、ストレージなど、複数のAWSサービスに対して統一的なバックアップのポリシーを適用し、一元管理できる。これを用いれば、Amazon EC2やAmazon RDSなどのバックアップを取得し、「Backup Vault」と呼ばれるコンテナに保存して一元的に管理できる。そこにWORMによる保護をかけるVault Lockは、効率的で、「すぐに始められる効果的な復旧対策」だと同氏は説明した。

WORM手法の比較（筆者撮影：セッション資料）

「3-2-1-1-0」ルールに基づき、包括的な復旧対策を

　WORMによる対策の次、「包括的な復旧対策」として挙げられたのは、「3-2-1-1-0」ルールに基づく対策だ。

　当初、ランサムウェアの主要な手口だった本番システムデータの暗号化に対しては、バックアップを取得して復旧させることで身代金支払いを避ける対策が広まった。しかし、次の手口として、バックアップもろとも暗号化し、業務継続を妨げる手口が用いられるようになってきた。

　こうした手口の高度化を踏まえて一般に提唱されるようになったのが、「3-2-1ルール」だ。その内容は、「3つのデータコピーを持ち」「2種類の異なる媒体に保存し」「うち1つは遠隔地に保存する」というもの。さらにAWSでは、このルールをさらに発展させた、「3-2-1-1-0」ルールを提唱している。違いは次の通りだ。

　向井氏が示した3-2-1-1-0ルールの最初の「3」は、オリジナルのソースデータとは別に3つのコピーを持つことを意味する。3つのコピーのうち2つは異なるAWSアカウントや異なるリージョンに持ち、うち1つはWORM技術を適用してイミュータブルな形で保存する。ディザスターリカバリー対策を兼ねて、コピーを異なるリージョンに保持する選択肢もある。

　従来のルールから加えられた4つ目の「1」は、コピーのうち1つを、障害復旧などですぐに戻せるようローカルに保持することを意味する。いわゆるバックアップが相当する。最後の「0」は、復旧テストや復旧訓練を行い、リストア時の問題をゼロにするというものだ。

　3-2-1-1-0ルールの実践においても、WORMによってイミュータブルにすることと、専用領域へのバックアップの隔離という2点が重要だと向井氏は述べた。

　WORMは前述の通り、AWSのさまざまなサービスによって実現できる。一方、専用領域への隔離は、「異なるアカウントへのコピー」によって実現できる点がAWSならではの特徴だという。

3-2-1-1-0ルール（筆者撮影：セッション資料）

　一般に、業務用システムを稼働させるAWSアカウントは複数の組織にまたがり、多くの関係者に利用される。しかし、アクセスできる関係者が多ければ、アカウント情報の漏えいなどによって、取得したバックアップが削除されてしまうリスクも高くなる。

　そこで向井氏が推奨するのが、AWS Backupを用い、異なるAWSアカウントへバックアップをコピーする方法だ。具体的にはバックアップ専用のAWSアカウントを作成し、一部の限られた従業員にのみアクセス権を与えることで、漏えい時のリスクを減らすことができる。

　こうしてバックアップにアクセスできるユーザーを限定し、さらにWORMによる保護をかけることで、万一、データ保護管理者の権限が漏えいしてしまった際でも、大事なバックアップデータを守っていくことができる。

よりアドバンストな対策で保護を徹底

　最後に紹介されたのが、「AWS Backup論理エアギャップボールト」を活用した、よりアドバンストな対策だ。バックアップデータをいっそう確実に隔離して保護し、復旧時間をさらに短縮できる点が利点だという。

　AWS Backup論理エアギャップボールトでは、利用者が作成して業務システムを稼働させているアカウントではなく、AWSの管理下にある専用アカウントでバックアップを取得し、隔離した形で保管する。デフォルトでVault Lockが有効化されているため、WORMによる保護を徹底できる。

論理エアギャップボールト（筆者撮影：セッション資料）

　さらに、「GuardDuty Malware Protection」と連携することで、取得したバックアップデータに対するマルウェアスキャンも可能だ。過去の報告では、マルウェア感染から復旧を図るべくリストアしようとしたら、実はバックアップデータまで汚染されていたというケースが存在している。しかし、定期的なスキャンに加え、リストア時に最新のシグネチャを用いてスキャンすれば、健全性を確認し、万全の体制でリストアできるようになる。

　向井氏はこのように、ランサムウェア感染に備えたバックアップの取得方法を説明した上で、さらに、リストアに備えた重要なポイントを指摘した。3-2-1-1-0ルールにも含まれている「復旧」のテストだ。

　ランサムウェア被害を受けてバックアップから復旧を図ろうとしてもうまくいかなかったという場合には、バックアップ自体が削除されたり、暗号化されたりするケースや、復旧準備の不備があるという。

　向井氏は、「ひとたび本番運用を開始したシステムでは、本当に業務が再開できるレベルで復旧作業を行うのは、非常に複雑で難易度が高い」と指摘し、本番稼働前の一度だけでなく、稼働後も定期的にリストアのテストを実施していくべきだとした。AWS Backupにはそれを支援する自動復元テスト機能が付属している。さらに、Amazon EventBridgeを利用して、その企業独自のテストを組み込むことも可能だ。

まずは「何を守りたいか」に基づいて対策の検討を

　向井氏は、AWS環境上での一連のバックアップ手法を説明した上で、最後に、オンプレミス環境からAmazon S3へのバックアップについても言及した。

　企業の状況によっては、クラウド移行を検討しながらもなかなかすぐには動けず、ひとまず、今のオンプレミス環境ですぐにランサムウェアからの復旧対策をしたいというニーズもある。そうした場合は、オンプレミス環境で広く利用されているバックアップソフトウェアを経由し、直接Amazon S3上へとバックアップが可能だ。製品によってはWORMによる保護を実施したり、リージョンをまたいでバックアップを取得してディザスターリカバリー対策を兼ねることもできる。

　最後に向井氏は「自社で抱える全てのシステムに対し画一的に対策が必要かというと、答えはノーです」と述べ、まず自分たちが守りたいデータを特定し、その重要度に応じてコストや要件とのトレードオフを検討しながら、複数のアプローチのうちどこまで対策を行うかを検討していってほしいと述べ、講演を締めくくった。

本稿は、2026年6月25〜26日に開催された「AWS Summit Japan」内で、アマゾン ウェブサービス ジャパンの向井稔氏が登壇したセッション「ランサムウェアに対して最優先で取るべきAWSの復旧対策」における解説内容を基に、編集部で再構成した。