DevelopersIO2026 -バックアップは“消されないこと”が9割-

AWS Backupで考えるランサムウェア対策とVaultの選び方

Transcript

2. 2 ⾃⼰紹介 DevelopersIO 2026 名前 吉⽥ 達弥（ぱかさん） 所属 クラスメソッド株式会社 好きなこと ゲーム🎮、⽇本酒🍶 好きなAWS Amazon MSK、Amazon S3 最近の失敗 明⽇から使えるのコーヒー券を店員に出して失笑させ。 余儀なく定価購⼊。券がもう1枚出た 2
3. 3 ランサムウェアの現状 ランサムウェアは、復旧を妨げるためにバックアップも狙います。 226件 約8割 約7割 被害の報告件数 バックアップから復元できず 原因はバックアップの暗号化‧消去 令和7年。依然として⾼⽔準 有効回答99件のうち79件 有効回答72件のうち48件 バックアップは取るだけでなく、消されないことが⼤事です。 DevelopersIO 2026 出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」p.13、p.129、p.130 3
4. AWS Backupとは AWSの各種リソースのバックアップを⼀元管理するサービス 4
5. 「取っていたのに戻せない」2パターン 攻撃者は管理者権限を奪うと、バックアップそのものを狙います。 5
6. 6 Vaultの種類 Vaultは標準と論理的エアギャップの2種類です。標準VaultにはVault Lockを付けられます。 種類 特徴 標準Vault ロックなし。権限があれば削除や保持期間の変更ができる L Vault Lock 標準Vaultに付与できる機能 L ガバナンスモード ロック中は削除を拒否。十分なIAM権限があれば解除できる L コンプライアンスモード 猶予期間（3日以上）後は、ルートユーザーも解除不可 論理的エアギャップVault 常にコンプライアンスモード。RAMで共有して別アカウントで復元 DevelopersIO 2026 6
7. 7 Vaultごとに防げること 削除をルートユーザーを含む誰からも防げるのは、Vault Lockのコンプライアンスモードと論理的 エアギャップVaultです。 観点 標準Vault ガバナンス コンプライアンス エアギャップ 削除を防ぐ × 防げない △ 権限者は除く ◦ 防げる ◦ 防げる ルートユーザーも防ぐ × 防げない △ IAM権限次第 ◦ 防げる ◦ 防げる ロックの解除 ― ロックなし △ いつでも可 ◦ 猶予期間だけ ◦ 解除不可 DevelopersIO 2026 7
8. 論理的エアギャップVaultの制約 8 使えないリソースや暗号化の条件があります。導⼊前に、対象のリソースが使えるかを確認 します。 項目 内容 対象リソース RDS（Aurora以外）とDynamoDB（高度な機能なし）は使えない 暗号化キー EC2・EBS・Auroraなどは、元がカスタマー管理キーで暗号化されている必要 暗号化なしのDB 暗号化していないAurora・DocumentDB・Neptuneは使えない 保持期間 最小保持期間は7日以上 共有先の操作 共有先のアカウントは閲覧と復元だけで、コピーは作れない DevelopersIO 2026 8
9. 論理的エアギャップVaultの使いどころ 9 変更不可と、本番からの切り離しを1つで実現できるのが強みです。次のような場⾯で使いま す。 場面 論理的エアギャップ Vaultでできること バックアップ用アカウントを持ちたくない Vault Lock＋別アカウントへのコピーを1つで実現 アカウントごと使えなくなっても戻したい マルチパーティ承認で、別のアカウントから復元 別の組織のアカウントで復元したい RAMで共有し、侵害されていない環境で復元 バックアップを2重に持ちたくない 最初の保存先にして、標準Vaultとの2重保存をなくす DevelopersIO 2026 9
10. 10 コストと運⽤負担 Vault Lockに追加料⾦はかかりません。ただ、消せない間は保管料⾦がかかり続け、アカウ ント設計の⼿間も増えます。 Vault 費用 長く保持したとき 設計・運用の手間 標準Vault なし いつでも削除できる 少ない 標準Vault＋ガバナンス なし 権限者は削除できる 解除権限を絞る 標準Vault＋コンプライアンス なし 期間満了まで消せない 保持期間を慎重に決める 論理的エアギャップVault ちょっと高い 期間満了まで消せない 共有先・承認者の設計 DevelopersIO 2026 10
11. コスト試算の例：前提条件 11 EC2のディスク30GBを毎⽇バックアップし、30⽇間保持する場合で⽐べます。 項目 内容 対象 EC2のEBSボリューム（gp3）30GB 取得頻度と保持期間 毎日取得、30日保持 日次変化 2%（約0.6GB／日） 保存量 初回30GB＋差分約17.2GB＝約47.2GB-月 リージョン 東京 その他 標準ボールトはマルチアカウント無し想定 DevelopersIO 2026 11
12. 12 コスト試算の例：内訳 論理的エアギャップVaultは、ちょっと⾼い DevelopersIO 2026 内訳 標準Vault＋コンプライアンス 論理的エアギャップVault 保存量 約47.2GB-月 約47.2GB-月 保管単価（GB-月） 0.05 USD 0.0575 USD 月額 2.36 USD 約2.71 USD 追加料金 ― 約0.35 USD／月 12
13. まとめ 13 バックアップは取るだけでなく、消されないことが9割です。 確認する ⾃分の環境のVaultがどの種類かを確認する 選ぶ 判断フローで、守りたい範囲に合うVaultを選ぶ 確かめる 復元テストで、本当に戻せるかを確かめる DevelopersIO 2026 13
14. アンケートにご協⼒お願いします！ DevIO Passから回答が可能です
15. スタンプラリーに挑戦しよう！ イベント会場（20会場）に、 QRコードが設置されております！ 全部集めて景品をGETしよう！ ※スタンプコンプリート先着10名様に 豪華景品をプレゼント！ 景品引き換え場所 ⽇⽐⾕フォートタワー26階 メイン会場 Cafe （くらにゃんブース横） 感想は ハッシュタグ #devio2026
16. 日比谷オフィス 26階 会場MAP サテライト会場 4-7階