なぜイミュータブル(改変不可能)バックアップは
それでも侵害される可能性があるのか

イミュータビリティとエアギャップは、しばしば同じ文脈で語られがちですが、実際には異なる役割を果たしています。

Veeam社はこの違いを明確に示しています。エアギャップバックアップとは、ドライブを物理的に取り外す、あるいはポートを切断するなどして物理的にネットワークから隔離するか、またはそこへのネットワークトラフィックをデジタル的に遮断することで、ネットワークから隔離されたバックアップを指します。一方、イミュータブル(改変不可能)バックアップは、保持期間が満了するまで変更や削除ができませんが、イミュータブルであることは必ずしもオフラインであることを意味しません。ネットワーク経由でアクセス可能な状態のままである場合もあります。

Veeam社は、それぞれの弱点を明確に指摘しています。エアギャップからの復旧は、物理的なロジスティクスの都合上、時間がかかります。一方、イミュータブルバックアップはネットワーク経由でアクセス可能な状態が続くため、それを取り巻く管理体制が脆弱な場合にはリスクとなり得ます。

イミュータビリティは、バックアップが改ざんされるのを防ぎます。エアギャップは、バックアップに到達されるのを防ぎます。侵害された管理層は、自らが到達できないバックアップには影響を及ぼすことができません。

ベンダーに一つだけ質問をしてみてください。「フル権限を持つ管理者は、このプラットフォームのイミュータビリティ設定を上書きできるのか?」と。

その答えは、イミュータビリティがどのように実装されているかによって異なります。一部のシステムでは、十分な権限を持つユーザーがこの保護機能を上書きできる場合があります。一方、他のシステムでは、保持期間が満了するまで、どのユーザーもこれを解除することはできません。

次に、書き込み一回限りの保護がどこで実施されているかを確認してください。バックアップアプリケーションによって実装されるイミュータビリティは、そのアプリケーション自体が信頼できる状態を保っているかどうかに依存します。一方、S3互換ストレージにおけるオブジェクトロックや、WORM保護機能を備えたハードウェアアプライアンスなど、ストレージ層で実施されるイミュータビリティは、バックアップアプリケーションのみに依存するものではありません。

イミュータブルバックアップがどのように保護されているかを理解したら、次はその周辺インフラを守るための対策を講じましょう。