ランサムウェアはもう怖くない！ZRCVが有効な理由を徹底解説

ランサムウェアの被害が日常的に報じられるなか、オンプレミス、クラウド問わずOracle Databaseを運用している環境では、

は避けて通れないテーマです。

前回の記事では、まず『3-2-1-1-0 バックアップ・ルール』（3つのコピー、2種類のメディア、1つはオフサイト、1つはオフライン、0はエラーなし）で求められる対策を整理し、その上でOracle Cloud Infrastructure（以下、OCI）のバックアップサービスであるZero Data Loss Autonomous Recovery Service（以下、ZRCV）の特徴と有効化するまでの5ステップをご紹介しました。

Oracle Databaseユーザー必見！ZRCVで始めるランサムウェア対策

ランサムウェアの脅威からデータベースを守る！OCIのフルマネージドバックアップサービスZRCVは、3-2-1-1-0ルールに対応し、データ損失ゼロに近い復旧を実現します。本記事では堅牢な保護機能と、GUIで完結するわずか5ステップのシンプルな設定方法を解説します。

www.ashisuto.co.jp

ZRCVにバックアップを取得することで、物理的・論理的に切り離された「最後の砦」を用意できるという点がポイントでした。

前回の記事から一歩踏み込み、次の観点で「どのようにバックアップを守り切るのか」をご説明します。

企業にとってバックアップは事業継続の「最後の砦」です。
そのため、近年のランサムウェアはこの「最後の砦」を攻撃の対象とします。
特にデータベース環境では、感染後の復旧を不可能にするためにバックアップを探索し、削除する動きが一般的になっています。

ランサムウェアの典型的な攻撃ステップを整理すると、次のようになります。

つまり、

1. バックアップにたどり着ける
2. バックアップの中身が平文で見える
3. バックアップを消せる

このような状態では、ランサムウェアに一度侵入を許してしまうと、バックアップまで到達され、攻撃を受けるリスクが高まります。

ZRCVはOracle Database専用のバックアップサービスで、取得したバックアップをOCI上で保管します。

内部ではOracle DatabaseのバックアップツールであるRecovery Manager（以下、RMAN）が利用されています。
RMANの専用チャネル経由でバックアップがZRCVへ送られ、取得されたバックアップはOSから直接参照できないように管理されます。

ZRCVは初回のみフルバックアップを取得し、2回目以降は永久的に増分バックアップを取得します。定期的にフルバックアップを取得する必要がないため、大容量のデータベースであっても高速にバックアップを取得できます。

さらに変更履歴が格納されるREDOログをリアルタイムで転送しているため、バックアップ取得時点ではなく「最新の状態」まで復旧することができます。

もしZRCVが取得したバックアップに破損があった場合、その場で破損ファイルとして拒否され、保存されず、管理者へ通知されます。

復旧時には、OCIコンソールから「復旧したい時点」を指定するだけで、ZRCVがフルバックアップ、増分バックアップから必要なデータを組み合わせてリストア用セットを用意し、それを使ってデータベースを復旧します。

ランサムウェアの攻撃対象となりやすいバックアップの状態として次のように整理しました。

1. バックアップにたどり着ける
2. バックアップの中身が平文で見える
3. バックアップを消せる

ZRCVはこれら3つの弱点をそれぞれ次のように補強します。

ZRCVで取得したバックアップは、RMAN専用チャネル経由でしかアクセスできません。
そのため、OCIコンソールやOSの管理者権限を持っていても、バックアップの保存領域へ到達することはできません。

これは、いわゆる「論理的エアギャップ」の仕組みです。

管理者権限を奪われたとしてもバックアップの保存領域に到達できないため、攻撃ステップのうち「3. データ取得」フェーズに対して強力な防御となります。

ZRCVは取得したバックアップを常に暗号化して保存します。

暗号化や鍵管理が不十分なバックアップ運用では、バックアップを窃取されるとその中身を平文のまま読まれ、バックアップの中身を人質に取られるというリスクがありました。

ZRCVでは
・バックアップの暗号化が強制される
・復号に必要な鍵はデータベース側で分離管理される
ため、正規の復旧手順でリストア・リカバリしない限りデータを参照できません。

これにより、「バックアップの中身を人質に取られる」タイプの攻撃を強く抑止できます。

SQL> SELECT START_TIME,ENCRYPTED,TAG
 1   FROM   V$BACKUP_PIECE;
　
START_TIME       ENCRYPT TAG                                 
----------------------- --------------- -------------------------------------------------------     
2025/09/30 03:54 YES           DBTREGULAR-L11759204092226BZ8       
2025/09/30 03:54 YES           DBTREGULAR-L11759204092226BZ8       
2025/09/30 03:55 YES           DBTREGULAR-L11759204092226BZ8       
2025/09/30 03:55 YES           DBTREGULAR-L11759204092226BZ8       
2025/09/30 03:55 YES           DBTREGULAR-L11759204092226BZ8       
2025/09/30 03:55 YES           TAG20250930T035553                  
2025/09/30 03:55 YES           DBTREGULAR-L11759204092226BZ8  

ENCRYPTED列がYESになっていることから、バックアップが暗号化されていることがわかります。

ZRCVではデータベースを復元できる期間として 14／35／65／95日の 4 パターンから選択でき、指定した期間内は管理者権限であってもバックアップを削除することはできません。

ZRCVを利用していない環境では攻撃者に管理者権限を奪われ、バックアップを削除する攻撃を受けるリスクがありますが、ZRCVでは削除阻止の機能により、指定期間内のバックアップを確実に守ることができます。

RMAN> delete backup;
delete backup;
allocated channel: ORA_SBT_TAPE_1
channel ORA_SBT_TAPE_1: SID=45 device type=SBT_TAPE
channel ORA_SBT_TAPE_1: RA Library (RANRTP3) SID=3FB026E29C2A4E7EE0632701000A7D6B
=== 一部省略 ===
RMAN Command Id : 2025-09-26T07:22:26
RMAN-00571: ==========================================================
RMAN-00569: ============== ERROR MESSAGE STACK FOLLOWS =============
RMAN-00571: ==========================================================
RMAN-03009: failure of delete command on ORA_SBT_TAPE_1 channel at 09/26/2025 07:23:15
ORA-19509: failed to delete sequential file, handle="0244jobe_2_1_1_BASEDB", parms=""
ORA-27027: sbtremove2 returned error
ORA-19511: non RMAN, but media manager or vendor specific failure, error text:

バックアップを削除するコマンド(delete backup)を実行しましたが、データベースを復元できる期間内であるため削除に失敗しています。

もし攻撃者が無理に消そうとしても、このようにエラーを返して削除を阻止できます。

ここまでで、ZRCVがランサムウェア対策として有効である理由を理解いただけたのではないでしょうか。
しかし、取得したバックアップ自体が破損していて使えなければ意味がありません。
実際に利用できるバックアップであるかはリストア/リカバリ試験を実施すれば確認できますが、バックアップ取得のたびに行うのは現実的ではありません。

ZRCVでは取得したバックアップに破損がないかを定期的にチェックしています。
破損を検知した際には運用担当者へ通知を行う設定も可能です。
ZRCVがバックアップの完全性を確認してくれるので、「取得したバックアップに問題はないのか」という不安を抱かずに安心して運用することができます。

ZRCVで取得したバックアップに破損がないかの定期的なチェック（画像をクリックすると拡大表示します）

×

ZRCVで取得したバックアップに破損がないかの定期的なチェック

・ヘルスが「保護」
　復旧リスクが高まった状態の場合は「重大」、「警告」に変化します。
・データ損失の危険性が「1秒」
と表示されており、ほぼ最新の状態まで復旧できることを一目で確認できます。

バックアップはランサムウェアが最優先で狙う資産です。
バックアップを失うと事業継続に長期的な影響が出るだけでなく、「身代金を払うしかない」状況に追い込まれかねません。

ZRCVは、
・たどり着けない（論理的エアギャップ）
・見えない（暗号化の強制）
・消せない（削除阻止）
を実現し、Oracle Databaseの「最後の砦」をより強固にします。

通常のバックアップから一歩進み、「ランサムウェアに狙われても守り切れるバックアップ」を実現する選択肢として、ぜひZRCVを検討してみてください。

本資料では、ランサムウェア被害、管理コンソールの設定不備、ストレージ公開ミスなど実際のインシデント事例を基に、IAM Policy／Cloud Guard／OCI Logging／RCV・ZRCV* といった「今すぐ・低コスト」で始められる優先対策を解説します。費用対効果の高いアシストの支援メニューをご確認ください。
_{*ランサムウェア対策のOracle Databaseバックアップ・リカバリサービス
　RCV：Oracle Database Autonomous Recovery Service
　ZRCV：Oracle Zero Data Loss Autonomous Recovery Service}