Synologyの「ActiveProtect」で強固なランサムウェア対策を実現【ナレッジ編】

ランサムウェアや外部からの悪意ある攻撃などからデータを守るサイバーセキュリティ施策は非常に重要だ。しかし、どれだけ強固なセキュリティを用意しても、万一の事態への備えは必須。被害に遭った際に、どのようにして迅速かつ確実に復旧し、事業を正常化できるかは企業にとって大きな課題だ。

そのために3-2-1-1-0バックアップルールの考え方も普及してきているが、いざ実施するとなるとどうやればいいのか分からないというケースも多いだろう。Synology（シノロジー）の「ActiveProtectアプライアンス（以下、ActiveProtect）」はバックアップと復旧に特化したNASで、まさにそのためのソリューションだ。少ない負担で安心の保護、高速復旧体制を構築できる。

株式会社アスクはSynology社の正規代理店です。家庭用NASから法人向けのラックマウントNAS、「ActiveProtect」シリーズまでお取り扱いがございます。資料請求やお問い合わせはこちらのページよりお気軽にご連絡ください。

確実な復旧のための3-2-1-1-0バックアップルール

「ActiveProtect」ならまとめて実現可能

バックアップは、機器の故障や、ランサムウェアなど外部からの攻撃などからデータを守るためのものだ。故障への備えであれば、定期的にデータをコピーするだけでも事足りるケースも多いが、外部からの攻撃になると話が変わる。ランサムウェアはバックアップデータもターゲットにするからだ。こうした事情から、近年バックアップは攻撃への備えという意味合いが強くなっている。そのための基本的な考え方が3-2-1-1-0バックアップルールだ。これに沿ってバックアップすることで、データを守り、万一の際にもダウンタイムを最小限にすることができる。

一方で、既存の汎用NASやバックアップサーバーでこれらを実現するのは簡単とは言えず、環境の構築や運用で壁にぶつかることが多い。そこで「ActiveProtect」の出番だ。「ActiveProtect」をバックアップの中心に据えることで、3-2-1-1-0ルールに対応したバックアップと確実な復旧の体制を作り上げられる。

3-2-1-1-0ルールをおおまかに説明すると、複数種類のバックアップを組み合わせることで安全性を高めようということだ。特に一切の書き換えや削除を禁止する「イミュータブルバックアップ」は、ランサムウェア対策として極めて有効。「ActiveProtect」はこうした施策も標準機能で実施できる。

3-2-1-1-0ルールの詳細はこちら

Synology（シノロジー）社とは？

Synology社は台湾に本社を構え、高機能NASの「DiskStation」シリーズや「RackStation」シリーズを展開する、ネットワーク接続ストレージのリーディングカンパニー。1,300万台以上のサーバー導入実績があり、グローバルで信頼を得ている。そのSynologyが3-2-1-1-0ルールを実現するために開発したのがこの「ActiveProtect」シリーズだ。

3-2-1-1-0ルールと「ActiveProtect」

以下に、3-2-1-1-0ルールが求めていることと、それに対応する「ActiveProtect」が備えている機能をまとめた。

3-2-1-1-0ルールは複数のバックアップや遠隔地でのバックアップを求めているため、全ての施策を1台でまかなうことはできない。しかし「ActiveProtect」は他の「ActiveProtect」やクラウドストレージと連携する機能を備えており、「ActiveProtect」を中心に据えることで簡単に実現できる。「ActiveProtect」なら、堅牢なバックアップ体制を構築できるということだ。

また、イミュータブルバックアップを標準機能として備えているほか、保存されたデータが破損していないかチェックするデータスクラビング、内蔵した仮想環境による仮想マシンや物理サーバーの起動テストも可能。バックアップの作成から復元までがパッケージになっているのだ。

「DP320」で見る「ActiveProtect」

外観はNASと変わらないが中身は異なる

それでは、「DP320」を例に「ActiveProtect」の製品を見ていこう。「DP320」は「ActiveProtect」の中で最も小規模で、HDDを2台搭載した製品だ。同社のNAS、「DiskStation DS725+」と外観が似ているが、機能は大幅に異なる。

外観はNASそのもの

スペックで目立つのは、組み込み向けのAMD Ryzenシリーズと8GBのメモリというNASとしては高性能な仕様だ。それだけ負荷の高い機能を備えているということだ。

「ActiveProtect」は推奨ストレージ構成が組み込まれた状態で出荷される。「DP320」は8TBのHDDを2台、RAID 1構成で搭載しており、バックアップデータするデータ量は5TBが目安となっている。HDDの容量と大きく異なるのは、「ActiveProtect」がバックアップの世代管理を前提にしているためだ。「APM」のインストール領域やシステムを動作させるための領域もあるため、効率よく保存しているとはいえHDDの容量全体を使えるわけではない。

OOB（Out of Band）管理用のLAN端子は、非常に重要な機能だ。万一外部からの攻撃を受けた場合でも、管理用の回線が分かれていれば攻撃者は設定にアクセスできないため、致命的なダメージを避けられる。

ラックマウントタイプも

タワー型、1Uタイプ、2Uタイプをラインアップ

「ActiveProtect」はバックアップする容量によって複数のモデルがある。「DP320」などのタワー型は置き場所の自由度が高い一方、バックアップ容量は小さめ。ラックマウントタイプはラックが必要になる代わりにバックアップ容量は最大83.5TBと大きい。現行のラインアップは以下の通りだ。

管理には「ActiveProtect Manager（APM）」を使用

バックアップに特化した専用OS

Synology製のNASはOSとして「DiskStation Manager（DSM）」を利用する。多くの機能を備え、アプリを追加することで拡張もできるのが特徴だ。一方、「ActiveProtect」にインストールする「ActiveProtect Manager（APM）」は機能をバックアップ関連に特化したOSだ。アプリの追加もできない。

機能が絞られているのは運用上のメリットもある。例えば、汎用的なNASは24時間ネットワークに接続していることが前提だ。しかしそれは24時間攻撃リスクにさらされているという意味でもある。バックアップ専用であれば、データのコピー中以外は常時接続している必要がないため、特定の時間以外は全ての通信をシャットアウトするエアギャップ機能も自然に運用できる。

「APM」でできることは、主に以下の通り。

• バックアップの内容やスケジュールの設定
• イミュータブルバックアップの作成
• エアギャップ（ネットワークからの切り離し）の設定
• クラウドストレージや他の「ActiveProtectアプライアンス」との連携

順番に見ていこう。

バックアップの設定

バックアップ設定は、バックアップ対象に応じてワークロードを「PC/Mac」、「物理サーバー」、「ファイルサーバー」、「仮想マシン」から選べる。詳細な内容は「保護プラン」で設定し、追加したバックアップ対象に割り当てる形になるため、バックアップ対象を追加するごとに一から設定し直す必要はない。

書き換えが不可能なイミュータブルバックアップ

イミュータブルバックアップは、内容を変更できないバックアップだ。一度その状態になると、後から書き換えができない。ランサムウェアはファイルを勝手に暗号化し、復号のために金銭を要求するというのが常套手段のため、イミュータブルバックアップがその対策になる。「ActiveProtect」のイミュータブルバックアップは、一度イミュータブルになると管理者でも解除できないため、非常に強力だ。

アクセスを遮断するエアギャップ

外部からの攻撃のリスクがあるのは、ネットワークに接続しているからだ。エアギャップは、設定した時間以外はネットワーク接続をシャットアウトする。攻撃者がそもそもたどり着けないようにしてバックアップを守る機能だ。一般的なNASやファイルサーバーは常時接続が基本になるのに対し、接続しないで守るという方法が取れるのはバックアップ専用だからこそだ。

他のバックアップ機能との連携

「ActiveProtect」は強力なバックアップ機能を備えているが、3-2-1-1-0ルールで求められる「2つの異なるメディア」や「1つの遠隔地のバックアップ」の要件は満たせない。そこで、「ActiveProtect」は連携機能も備えている。他の「ActiveProtect」やクラウドストレージと連携することで、より強固なバックアップが可能だ。

バックアップの検証

せっかくバックアップを保存していても、そのデータが破損していたり、システムの復元ができなければ意味がない。「ActiveProtect」はデータの整合性を確認するデータスクラビング機能を備えているほか、内蔵した仮想環境を利用して復元テストを行えるなど、バックアップを検証する機能を備えている。万一の時に確実に復旧できるようにすることで、3-2-1-1-0ルールの「バックアップエラー0」の項目を満たせる。

ドライブの交換は「機器コンソール」から

RAIDやボリューム作成などの設定は自動で行われるため、ユーザー側で行うドライブ管理は主に健康状態の確認となる。普段は触らない機能なので「APM」のメインメニューにはなく、「機器コンソール」を開いて操作する。「機器コンソール」は「ActiveProtect」の管理用アドレスの末尾に「:5001」を付けるとアクセスできる。

「APM 2.0」ではバックアップ可能な仮想環境が拡充

「APM」は2026年9月に大規模アップデートがあり、バージョン2.0となった。最も大きい更新は、仮想環境への対応が大幅に強化されたことだ。「APM 2.0」ではオンプレミスの「Proxmox VE」と「Nutanix AHV」を新たにサポートし、クラウドでは「Amazon EC2」と「Azure VM」にも対応した。さらにクロスプラットフォーム復元の機能が追加され、バックアップしたOSを異なる仮想環境に復元することも可能になった。

Synology「DiskStation」シリーズとの違いは？

「DiskStation」シリーズは汎用性が高い

「ActiveProtect」はバックアップ機能に特化しているため、「DiskStation」シリーズと比べると以下の点が異なる。Synology製NASにはラックマウント方式の「RackStation」シリーズもあるが、機能面の違いは同じだ。

表の通り、「ActiveProtect」はバックアップ専用のため、機能の追加やファイル共有といった一般的なNASの機能には対応していない。一方で、専用だからこそバックアップに必要な機能を網羅しており、バックアップを厳格に運用したいニーズに最適だ。

次回は「DP320」を例に、「ActiveProtect」を使ってどんなことができるかを検証していく。

（文・写真＝株式会社アスク）

※ 記載されている会社名および商品・サービス名は、各社の登録商標または商標です。

※ 本記事は執筆時の情報に基づいており、販売が既に終了している製品や、最新の情報と異なる場合がありますのでご了承ください。