ランサムウェア耐性を持つバックアップ不変性の設計
国内最大級のオンライン学習プラットフォームを運営する企業は、動画配信基盤と受講履歴システムを約 240 の本番 AWS アカウントで運用しており、それらを AWS Organizations に集約したうえで AWS Backup によるバックアップを一元管理しています。外部監査法人によるセキュリティ評価で、ランサムウェア攻撃を受けた際にバックアップそのものが暗号化または削除される可能性が指摘されました。これを受けて経営層は「いずれかのアカウントの管理者権限の認証情報が奪われた場合でも、バックアップデータの改ざんと削除を成立させない」という方針を新たに定めました。この方針を満たすために実施すべき対策の組み合わせはどれですか。3 つ選択してください。
複数選択問題です (正解 3 つ)。選んでから判定してください。
解説を読む（正解: A、B、C）
ランサムウェア対策で問われるのは「侵害された権限でも壊せないか」という点であり、権限管理だけでは不十分です。AWS Backup Vault Lock は、ボールトに WORM (Write Once Read Many) 特性を与える機能です。コンプライアンスモードでロックを確定させると、アカウントのルートユーザーや AWS サポートであっても保持期間内のリカバリポイントを削除したり保持期間を短縮したりできなくなるため、特権認証情報の侵害を前提とした要件に直接応えられます (C)。加えて、バックアップコピーを本番とは別のアカウントのボールトへ複製しておけば、本番アカウントが完全に制圧されてもコピー先の資産には到達できず、被害範囲を封じ込められます (A)。さらに組織レベルの SCP でボールトやボールトポリシーの変更 API を拒否すれば、メンバーアカウント側で IAM ポリシーを書き換えても操作自体が成立せず、多層防御が完成します (B)。D の最小権限化は日常的なベストプラクティスですが、正規の権限を持つ管理者が侵害されたという前提のシナリオでは削除を防げません。E の S3 Glacier Deep Archive への移行はコスト最適化のためのストレージ階層変更にすぎず、それ自体は不変性を提供せず削除も可能です。F は前提が誤っており、AWS Backup はユーザー所有の任意の S3 バケットへリカバリポイントを書き出す構成を取れず、データは AWS Backup が管理するボールトに格納されます。
規制対応のためのイミュータブルなバックアップ保護
自治体の住民情報システムを運用する公共機関が、監査法人から次の要件を提示されました。バックアップは 7 年間保持し、その期間中はアカウントの管理者権限を持つ利用者やルートユーザーであっても削除・保持期間短縮ができないこと、そして本番アカウントの侵害時にもバックアップが残るよう別アカウント・別リージョンにコピーを保持すること。対象は Amazon EBS、Amazon RDS、Amazon EFS など複数サービスに及びます。この要件を満たす構成はどれですか。
解説を読む（正解: C）
規制対応では「権限を持つ者であっても消せない」というイミュータビリティ (WORM) が求められます。AWS Backup はバックアッププランで EBS、RDS、EFS、DynamoDB など複数サービスのバックアップを一元管理でき、コピーアクションによって別リージョンや別アカウントのボールトへ自動複製できます。この保護対象ボールトに AWS Backup Vault Lock をコンプライアンスモードで適用すると、ロックが確定した後は AWS アカウントのルートユーザーであっても、リカバリポイントの削除や保持期間の短縮、ロック自体の解除ができなくなります。別アカウントへのコピーと組み合わせることで、本番アカウントが侵害されてもバックアップが保全され、監査要件を満たせます。よって C が正解です。A のガバナンスモードは、特別な権限を持つプリンシパルであればロックの解除や削除が可能な設計であり、「管理者でも削除できないこと」という要件を満たしません。B は自前実装であり、Lambda の実行ロールを奪取されれば削除が可能で、SCP による MFA 必須化も保護できる範囲が限られるうえ、そもそも複数サービスのスナップショットを統一的に保護・レポートする仕組みを自作することになり運用負荷が高くなります。D は S3 Object Lock のガバナンスモードが同様に特権ユーザーによる上書きを許すため不十分であり、RDS や EFS のバックアップを S3 の単なるオブジェクトとして扱うことによるリストア手順の複雑化という問題も生じます。
ランサムウェア対策としての AWS Backup Vault Lock コンプライアンスモード
医療系 SaaS 事業者は、患者データを保持する Amazon EFS と Amazon RDS のバックアップを AWS Backup で本番アカウント内のバックアップボールトに保存しています。近年のランサムウェア被害を受け、監査部門から「管理者権限を奪取した攻撃者や root ユーザーであっても、保持期間内のバックアップを削除したり保持期間を短縮したりできないこと」「本番アカウントが完全に侵害されても復元元となるコピーが残ること」という 2 つの要件が提示されました。運用チームは、設定ミスによって不要なデータを長期間ロックしてしまう事故は避けたいと考えていますが、最終的には法規制対応のため解除不能な保護が必須であると理解しています。この要件を満たす構成はどれですか。
解説を読む（正解: B）
AWS Backup Vault Lock は、バックアップボールトに WORM (Write Once Read Many) 的な保護を与える機能で、ガバナンスモードとコンプライアンスモードの 2 種類があります。ガバナンスモードは特定の IAM 権限を持つプリンシパルがロックを解除・変更できるのに対し、コンプライアンスモードは Cooling-off 期間 (最短 3 日) を過ぎて確定すると、AWS アカウントの root ユーザーでも AWS サポートでも解除できず、保持期間の短縮やリカバリポイントの削除が一切できなくなります。ランサムウェア対策では、これに加えて「侵害されたアカウントの外側にコピーを持つ」ことが重要になります。
B は、コピー先を別アカウント・別リージョンの隔離ボールトにすることで本番アカウントの侵害から独立させ、そのボールトにコンプライアンスモードの Vault Lock を適用するため、攻撃者が本番アカウントの管理者権限を奪っても復元元を破壊できません。Cooling-off 期間中は設定を見直せるため誤設定のリスクにも配慮できており、すべての要件を満たします。
A は、SCP は組織の管理アカウントの権限を持つ者が変更でき、また管理アカウント自体には適用されないため解除不能な保護にはならず、同一アカウント内のコピーはアカウント侵害時に一緒に失われます。C は、ガバナンスモードが特権プリンシパルによって解除可能であり「root でも削除できない」という要件を満たさず、同一リージョン・同一アカウントのコピーも隔離になりません。D は、AWS Backup のバックアップボールトの保存先を利用者が用意した S3 バケットに変更することはできず、構成自体が成立しません。