Airgap+とQHora-301Wで実現する安全・簡単バックアップ方法を解説

現代の企業にとって、サイバー攻撃、とりわけランサムウェアによる攻撃は大きな脅威です。

多くの場合、攻撃に使われるランサムウェアやマルウェア、ウィルスはネットワークを通じて感染し、ネットワークを通じて他の端末やサーバーにも被害をもたらします。

そこでエアギャップという考え方による防御があります。

しかし、現代のIT環境において、エアギャップは非効率な部分もあるでしょう。

この記事では、ネットワークを物理的に切断することなく安全性を高められるAirgap+という機能について解説します。

企業のネットワークに侵入し、重要データの改ざんや窃取を行うサイバー攻撃は、現代では企業にとって身近なリスクです。

このリスクに対して、様々なセキュリティソフトやファイアウォール製品が選定されますが「エアギャップ」という手段もあります。

エアギャップとは、サイバー攻撃の最大の手段となるネットワーク、つまり攻撃者の通り道を切断することで重要データを守る方法です。

具体的には、ネットワークケーブルを引き抜いて、NASやコンピューターをネットワークから切り離し、オフラインストレージとして運用するような方法を指します。

このような状態のコンピューターを「スタンドアロン」と呼びます。

スタンドアロンとなったコンピューターやNASは、攻撃者がそのデバイスに外部からアクセスしようとしても、ネットワークという通り道がないため、攻撃ができません。

ある意味では極めて外部からの攻撃に強くなるというメリットがありますが、逐一ネットワークを接続する手間が生じる非効率さは大きなデメリットです。

そこで「エアギャップ」という言葉を受け継ぎつつ、ネットワークを物理的に切断するのではなく「必要なときだけ通信ポートを解放する機能」を提供するのが、QNAPの「Airgap+」というサービスです。

Airgap+の具体的な仕組みについて解説します。

まず、先に解説したように、Airgap+はネットワークケーブルを遮断する・引き抜くのではなく、あくまで通信を制限するという方法でエアギャップによく似た保護方法を提供します。

このAirgap+の仕組みは、NAS同士をつなぐネットワーク機器（QNAP ルーター／スイッチ）が、NASのバックアップ／同期ジョブ中のみ通信ポートを解放し、それ以外の時間は通信遮断状態となります。

これにより「ケーブルは繋がっていても通信ができない」という隔離状態が成立し「必要なときだけ接続・通信ができる安全性」を実現できるのです。

Airgap+の特徴と機能は以下のとおりです。

・ネットワーク隔離を自動化
・適用できるデバイス・環境
・ネットワーク速度を担保
・拡張性と容易な運用

それぞれ具体的に見ていきましょう。

Airgap+は、基本的にバックアップNASとソースNASとの通信を遮断して隔離します。

これにより、ソースNAS側がパブリックネットワークに接続されていても、バックアップNASのデータを保護することができます。

ソースNASがHBSによるバックアップ・同期ジョブを実行している間のみ通信が自動で許可されることで、運用担当者の負担になることなく、隔離と通信とを切り替えて使うことができます。

Airgap+は、QNAP社製のNASと、Airgap+に対応するQNAP社製のルーターが必要です。

HBSの設定によりAirgap+ルーターのQuRouterOSとNASの間の通信を許可する、相互TLS設定など、導入時の設定は必要となります。

Airgap+ルーターではない標準的なルーターでは、Airgap+の機能は使用できません。

QNAP QHora-301W

Airgap+によるネットワーク隔離と、HBSによる限定的な通信でのバックアップという文脈から、通信帯域の制限や、それによる速度低下が懸念されます。

しかし、Airgap+はあくまで通信タイミングを制限するものであり、NASやルーター自身の通信速度や帯域を制限するものではありません。

そのため、高速なネットワークを使用していれば、速度を損なうことなくバックアップジョブを実行可能です。

Airgap+を使ったバックアップでも、QNAP NASが持つ本来の拡張性や運用は損なわれません。

QNAP NASのホットスワップハードドライブや、拡張ユニットの使用など、柔軟な拡張や運用はAirgap+のバックアップ環境でも変わらず利用可能です。

Airgap+がNASバックアップにとって有望な選択肢となるのは、安全と利便性を両立できることにあります。

ネットワークを経由してバックアップを取得・復元するNASの機能は、IT資産を守るうえで極めて利便性が高い反面、常にネットワークに接続されているという弱点も同時に持っています。

Airgap+はこの弱点に対して、ネットワークケーブルを遮断することなく、通信の許可／不許可によって従来のエアギャップに相当する安全性を高めつつ、逐一担当者がケーブルを挿しなおす非効率部分の解消を実現してくれます。

また、限られたタイミングでのみ通信が許可されるバックアップNASは、攻撃者からは「普段は見えない」デバイスになります。

ネットワークに接続されていないデバイスと判定されるためです。

これにより、そもそも攻撃の対象から外れる可能性も実現しています。

近年のサイバー攻撃で大きな脅威となっているランサムウェアに対しては、「3-2-1-1-0」というバックアップルールが対策として提示されています。

つまり3つのコピーを保持し、2つの異なるメディアに保存し、1つはオフサイト（遠隔地）に保存し、1つの書き換え不能コピー（イミュータブル）を保持する、そして定期的な検証でエラーを0にする、という方式です。

Airgap+はこのルールに則ったバックアップに組み込みやすく、それによりバックアップの安全性を高めることに大きな効果が期待できます。

Airgap+の導入を検討する際には、その利便性と安全性の両立という観点がもっとも評価しやすいでしょう。

特に、Airgap+ではなく従来のエアギャップによるバックアップを未だに使用しているという場合に有効です。

また、エアギャップによりスタンドアロン端末を設けることは、現代ではリスキーな選択であるという指摘もあります。

その理由は、スタンドアロン端末自体がバックアップ時にネットワークに接続される際に、適切にアップデートされていない端末が脅威にさらされるためです。

Airgap+はスタンドアロン端末を生み出すのではなく、許可した通信のみ通過します。

また、NASデバイス自体のアップデートは可能であるため、常に最新状態を維持できる点が強みです。

データの損失はすべての企業にとってのリスクですが、特に機密性の高い情報を扱う企業や、損失による影響範囲が大きいデータを保持する企業にとって、Airgap+の導入は心強い選択肢となるでしょう。

この記事では、QNAPが提供するAirgap+という機能について解説しました。

バックアップが安全に確保されていること、それが確実に利用できることは、データ保全の観点から現代の企業にとって必須の安全対策です。

しかし、安全性を重視するあまり、従来型のエアギャップを導入することは、必ずしも合理的ではありません。

この記事で紹介したAirgap+は、エアギャップの安全性とNASの利便性の両立が実現できる選択肢です。

バックアップ施策を検討している担当者の方は、ぜひこの記事を参考にして、Airgap+の導入を検討してみてください。

QNAPは台湾のネットワーク機器専業メーカーで、世界28カ国で展開するグローバル企業です。IT機器の専門商社で、QNAPの正規代理店でもあるテックウインドは、豊富なノウハウを基に的確なモデル・構成のご提案をいたします。

NAS導入をお考えの法人様のお見積り・ご相談を承っております。
ぜひお気軽にお問い合わせください。

QNAP製品や特長のご紹介ページはこちら