知識マップ: ランサムウェアに耐えるバックアップ ── 3-2-1ルール、書き換えできない保存先、戻せるかの確認

記事「ランサムウェアに耐えるバックアップ ── 3-2-1ルール、書き換えできない保存先、戻せるかの確認」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

ランサムウェアは手の届くバックアップを探して削除・暗号化し、vssadminでシャドウコピーを消すこともある。警察庁の令和7年上半期の報告では、バックアップを取っていた企業・団体の多くが戻せず、理由で最も多いのはバックアップも暗号化されていたことだった。以前のバージョン(シャドウコピー)はバックアップの代わりにならない。3-2-1ルールで複製の数と置き場所を決め、感染したPCから書き換えられないオフラインバックアップか不変ストレージを1つ持ち、世代を残す。Azure Blob Storageの不変ストレージやS3 Object Lockが不変ストレージの例である。取ったバックアップはリストアテストで戻してみて、かかった時間と戻った時点をRTOとRPOに照らして確かめる。

flowchart LR
    accTitle: ランサムウェアに耐えるバックアップの知識マップ
    accDescr: ランサムウェアがシャドウコピーやバックアップを消すこと、3-2-1ルールにオフラインバックアップや不変ストレージ、世代管理を加えて被害を軽減すること、リストアテストでバックアップとRTO・RPOを確かめることを示す図
    ransomware["ランサムウェア"]
    data_backup["バックアップ"]
    offline_backup["オフラインバックアップ"]
    immutable_storage["不変ストレージ(WORM)"]
    restore_test["リストアテスト"]
    vssadmin["vssadmin"]
    shared_folder_shadow_copies["共有フォルダーのシャドウコピー(以前のバージョン)"]
    backup_3_2_1_rule["3-2-1ルール"]
    azure_blob_immutable_storage["Azure Blob Storageの不変ストレージ"]
    s3_object_lock["S3 Object Lock"]
    backup_generation_management["世代管理(バックアップ)"]
    security_6_articles["情報セキュリティ6か条"]
    recovery_time_objective["目標復旧時間(RTO)"]
    recovery_point_objective["目標復旧時点(RPO)"]
    ransomware -->|"利用する"| vssadmin
    shared_folder_shadow_copies -->|"用いるのは非推奨"| data_backup
    backup_3_2_1_rule -->|"推奨される対応"| data_backup
    offline_backup -->|"軽減する"| ransomware
    immutable_storage -.->|"軽減する"| ransomware
    azure_blob_immutable_storage -->|"実装を担う"| immutable_storage
    s3_object_lock -->|"実装を担う"| immutable_storage
    backup_generation_management -.->|"軽減する"| ransomware
    data_backup -->|"軽減する"| ransomware
    security_6_articles -->|"利用する"| data_backup
    data_backup -->|"で確認できる"| restore_test
    recovery_time_objective -->|"で確認できる"| restore_test
    recovery_point_objective -->|"で確認できる"| restore_test

概念間の関係(全13件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

• ランサムウェアはvssadminを利用します。CISAの#StopRansomwareガイドは、vssadmin.exeなどのWindows標準ツールの悪用を、システムの復旧を妨げるランサムウェアのよくある手口としている。MITRE ATT&CKのT1490(Inhibit System Recovery)は、vssadmin.exe delete shadows /all /quiet ですべてのシャドウコピーを消す例を挙げている。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典 出典
• 共有フォルダーのシャドウコピー(以前のバージョン)をバックアップに用いることは推奨されません。以前のバージョン(シャドウコピー)は元のボリュームの差分で、空き不足や攻撃で削除される。Microsoftは、シャドウコピーからテープなどの媒体へ写したものをバックアップとしている。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典
• 3-2-1ルールはバックアップに対する本記事の推奨です。US-CERT向けの資料Data Backup Optionsは、バックアップを3つ・2種類の媒体・1つは社外に置く3-2-1ルールに従うよう勧めている。社外の複製がオフラインか書き換えできないかまでは求めていない。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典 出典
• オフラインバックアップはランサムウェアを軽減します。感染したPCから書き込めないため、手の届くバックアップを削除・暗号化する手口を受けにくい。警察庁の令和7年上半期の報告では、バックアップから戻せなかった理由で最も多いのは、バックアップも暗号化されていたことだった。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典 出典 出典
• 不変ストレージ(WORM)はランサムウェアを軽減します。決めた期間は書き換えと削除を受け付けないため、オンラインのバックアップを消される被害を軽減する。モードや設定によって保護の強さが変わり、設定を誤ると費用がかさむことがある。 / 確度: 条件付きの関係 / 確認日: 2026-11-01 出典 出典 出典 出典
• Azure Blob Storageの不変ストレージは不変ストレージ(WORM)の実装を担います。Azure Blob Storageは、時間ベースの保持ポリシーと訴訟ホールドで、データをWORMの状態に保つ。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典
• S3 Object Lockは不変ストレージ(WORM)の実装を担います。S3 Object LockはWORMのモデルでオブジェクトを保管する。コンプライアンスモードではルートユーザーも保持期間中は削除できない。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典
• 世代管理(バックアップ)はランサムウェアを軽減します。暗号化に気づくまでに時間がかかると、直近のバックアップは暗号化された後のデータになる。複数の世代を残していれば、それより前の時点に戻れる。 / 確度: 条件付きの関係 / 確認日: 2026-11-01 出典 出典
• バックアップはランサムウェアを軽減します。IPAのガイドラインは、バックアップを取得・保管・復旧の3つに分けて運用し、復旧では正しく戻せることを確認するよう求めている。本記事は、そのうえで感染したPCから書き換えられない複製を持つことを勧めている。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典
• 情報セキュリティ6か条はバックアップを利用します。第4.0版で6か条に「バックアップを取ろう！」が加わり、対策例には媒体をバックアップ時のみ接続することや、戻せるかを定期的に確認することが含まれる。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典
• バックアップはリストアテストで確認できます。取ったバックアップが実際に戻せるかは、戻してみて確かめる。IPAとCISAはどちらも定期的な確認を求めているが、回数は示していない。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典 出典
• 目標復旧時間(RTO)はリストアテストで確認できます。IPAのガイドラインは、RTOとRPOに合わせてバックアップと手順を整え、訓練で実効性を確かめるよう求めている。リストアテストで戻すのにかかった時間をRTOと比べる。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典
• 目標復旧時点(RPO)はリストアテストで確認できます。リストアテストで戻った時点を、決めたRPOと比べる。 / 確度: 確立した関係 / 確認日: 2026-11-01 出典

主要概念の定義

ランサムウェア

データを暗号化するなどして事業活動を停止させ、復旧と引き換えに金銭を要求する攻撃・不正プログラム。IPA「情報セキュリティ10大脅威2026」組織編で11年連続の1位。

バックアップ

システムやデータの複製を取得・隔離保管し、復旧できることを確認する対策。

オフラインバックアップ

本番のシステムやネットワークから切り離して保管するバックアップ。感染したPCから書き込めないため、手の届くバックアップを探して削除・暗号化するランサムウェアの影響を受けにくい。

不変ストレージ(WORM)

決めた保持期間の間、または保留が解除されるまで、保存したデータの変更と削除を受け付けない保管方式。

リストアテスト

バックアップから実際にデータやシステムを戻し、戻せること、戻すのにかかる時間、戻る時点を確かめる作業。

共有フォルダーのシャドウコピー(以前のバージョン)

共有上のファイルのある時点のコピーを定期的に保持し、利用者が管理者の手を借りずに削除・上書きしたファイルを戻せるようにする機能。

3-2-1ルール

大事なファイルを元の1つとバックアップ2つの合わせて3つ持ち、2種類の媒体に置き、そのうち1つを事業所の外に置くというバックアップの経験則。

Azure Blob Storageの不変ストレージ

Azure Blob StorageのデータをWORMの状態で保管する機能。時間ベースの保持ポリシーと訴訟ホールドがあり、ロックした保持ポリシーは削除できず、保持期間を縮められない。

S3 Object Lock

Amazon S3のオブジェクトのバージョンを、保持期間または訴訟ホールドの間、上書き・削除できないようにする機能。バージョニングを有効にしたバケットで使い、コンプライアンスモードとガバナンスモードがある。

世代管理(バックアップ)

複数の時点のバックアップを保持し、データが壊れたり失われたりしたときに特定の時点まで遡って戻せるようにする方法。

情報セキュリティ6か条

IPAが中小企業向けに示す最低限の対策項目。OS・ソフトの更新、ウイルス対策ソフト、パスワード強化、共有設定の見直し、バックアップ、手口を知ることの6項目からなる。

目標復旧時間(RTO)

事業継続の計画で定める、目標とする復旧の水準まで戻すのにかけてよい時間。

目標復旧時点(RPO)

事業継続の計画で定める、復旧したときに戻る目標の時点。直近のバックアップの時点に当たる。

機械可読データ

• JSON-LD / Turtle ── この記事の知識グラフ全体
• 概念一覧 / 語彙(述語)の定義

このデータセットについて

作成

合同会社小村ソフト

ライセンス

CC BY 4.0 ── 出典(合同会社小村ソフト)とライセンスへのリンクを明示し、改変した場合はその旨を示すことを条件に、再配布・改変を含めて再利用できます

最終確認日

2026-11-01 ── 収録する関係のうち、最後に出典と照合した日

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。