バックアップの課題
現在、ランサムウェアはバックアップそのものを標的とし、暗号化や削除によって「最後の砦」を無力化するリスクが高まっています。管理者の誤操作や内部不正も含め、バックアップデータをいかに安全に守るかが大きな課題です。
一方で、オンプレミスのSAN/NAS やテープ保管、ハイパースケーラーのクラウドストレージの容量課金・API 課金などによりバックアップコストは年々高騰し、特に 7～10 年といった長期保管データの増加が、ストレージ更改のたびに大きな投資負担となっています。
さらに、金融・医療・公共分野などを中心に、WORM やイミュータブルストレージによる「改ざん不能なバックアップ」がコンプライアンスや監査で求められるようになり、国内保管や各種認証・監査対応も含め、バックアップ基盤に対して高い説明責任が課せられている状況です。
弊社ではこういった課題に対し、Wasabi Technologies 社の Wasabi 製品の利用を提案しております。
Wasabi 製品とは
Wasabi Technologies 社のクラウドストレージである Wasabi は、オブジェクトロック（イミュータブル機能）により、一定期間データの削除や上書きを不可能にすることで、ランサムウェア攻撃や管理者の誤操作・内部不正からバックアップを保護し、「消せない・改ざんできない」バックアップを実現します。
Wasabi は容量単価が安価で API リクエストや取り出しに追加コストが発生しないシンプルな料金体系により、長期保管を含むバックアップコストを予測しやすく、運用コストの削減が期待できます。
また、S3 API 互換であるため、多くの既存バックアップソフトやアプライアンスと容易に連携でき、設計や運用を大きく変えることなく移行しやすい点も特長です。加えて、一般的なアーカイブ専用ストレージと比較して高い読み出し性能と可用性を持ち、障害やインシデント発生時の迅速な復旧を支援する DR 基盤としても有効です。
コンプライアンスの面においても、日本国内リージョンでのデータ保管や各種認証・監査レポートにより、データ主権や法令順守、コンプライアンス要件に対応しやすく、監査時の説明性にも優れたバックアップ／アーカイブ基盤を構築できます。
事例
お客様の要望
仮想基盤（プライベートクラウド）環境で VM をご利用中のお客様より、昨今のランサムウェア被害の増加を受け、「Veeamを利用した既存のバックアップ運用を維持したまま、外部のイミュータブルストレージへも二重でバックアップを取得できるようにしたい」というご相談をいただきました。
具体的なご要望・検証要件は以下の通りです。
バックアップデータの二重化とイミュータブル保管：現在行っている基盤内ストレージへの日次バックアップ運用はそのまま活かしつつ、ランサムウェア対策の「最後の砦」として、お客様側で用意した Wasabi ストレージへも改ざん不能（オブジェクトロック）な二次バックアップを並行取得したい。
確実なリストア性の実証：バックアップが取得できるだけでなく、有事の際に Wasabi 上のイミュータブルバックアップからテスト用 VM へ問題なくリストアできることを実機検証で確認したい。
コスト・ライセンスの最適化：追加の専用オプションライセンス費用を極力抑え、下り転送（Egress）費用が発生しない Wasabi の特性を活かして、TCO（総保有コスト）を最小化したい。
ネットワーク帯域への配慮：外部クラウド宛てのデータ転送が日中の業務通信や他システムに影響を与えないよう、転送トラフィックの制御を考慮したい。
提案内容
お客様のご要望を満たすため、「既存の一次バックアップ（ローカル運用）はそのまま維持しつつ、Veeam のバックアップコピージョブを用いて Wasabi へ二次イミュータブルバックアップを取得する構成」を提案・検証しました。
システム構成：v12 の Direct 構成と v11 当時の SOBR 構成
Veeam のバージョンによってオブジェクトストレージ連携のアーキテクチャが大きく異なります。
【現行・推奨】Veeam v12 以降：Direct to Object Storage
現在の Veeam v12 では機能拡張が行われ、Wasabi を単体のオブジェクトストレージリポジトリとして直接登録し、バックアップコピージョブ（Backup Copy Job）のターゲットに直接指定（Direct to Object Storage）できるようになりました。構成が非常にシンプルになり、一次側ストレージの構成を変更することなく外部連携が可能です。
【検証当時の経緯】Veeam v11 での SOBR 構成
本検証をスタートした当初は Veeam v11 環境であったため、Wasabi を直接ターゲットに指定することができませんでした。そのため、当時は以下の手順で SOBR（Scale-Out Backup Repository）を構成して実現しました。
・Performance Tier の作成：オンプレミス側に一時保管用リポジトリを作成
・Capacity Tier の作成：Wasabi のオブジェクトロック有効バケットを登録し、イミュータブル期間を設定
・SOBR ポリシーの設定：2 つのリポジトリを束ね、「作成されたバックアップを即座にオブジェクトストレージへコピーする（Copy policy）」を設定
※ポイント：その後 Veeam v12 へのバージョンアップ検証も実施し、Direct 構成でも v11と同様に確実なイミュータブルバックアップと増分転送が行われることを確認しています。
設計・検証で押さえるべき重要ポイント
本構成を安定運用・コスト最適化するために、検証を通じて確認した技術的なポイントです。
① 増分バックアップと論理マージの仕組み
・転送量：イミュータブル（Object Lock）を有効にした場合でも、2 回目以降は増分データ（変更ブロックのみ）がクラウドへ転送されます。
・フルバックアップの更新：保持期間（例: 7 日）を迎えた後のマージ処理は、クラウド側で大掛かりなファイル結合を行うのではなく、メタデータの更新（参照の切り替え）によって論理的に処理されるため、余計な転送トラフィックは発生することはありません。
② イミュータブル期間と保持期間の設計（ゴースト課金防止）
Veeam の保持期間（Retention Policy）と Wasabi 側のイミュータブル期間は、原則として「保持期間 ≧ イミュータブル期間」で設計します。
もし「イミュータブル期間 ＞ 保持期間」にしてしまうと、Veeam の管理画面からは削除されたデータが Wasabi 上にロックされたまま残り続け、意図しないストレージ課金（ゴースト課金）の原因になります。
業務要件によって異なるイミュータブル期間を設定したい場合は、Wasabi 側でフォルダ（またはバケット）を分け、Veeam 側で別々のリポジトリとして登録する必要があります。
③ 実効データ保持期間の計算とブロック生成期間（+10 日）の落とし穴
Wasabi 上のストレージ容量サイジングおよびコスト試算を行う際、「設定した保持日数よりも長くデータが保持される」という仕様に注意が必要です。
実際のデータ保持期間は以下の計算式となります。
実効データ保持期間 ＝ ジョブ保持ポリシー日数 ＋ イミュータブル日数 ＋ ブロック生成期間（10 日）
ブロック生成期間（Block Generation Period）：Veeam が S3 API の呼び出し（オブジェクトロック延長リクエスト）回数を抑えるための内部仕様（デフォルト 10 日）です。
計算例（7 日保持 ＋ 7 日イミュータブルの場合）：7 日 ＋ 7 日 ＋ 10 日 ＝ 合計 24 日間分のデータが Wasabi 上に保持される前提で容量設計を行います。
管理画面での見え方（現場 Tips）：ブロック生成期間を含めたトータルの実効保持期間はVeeam の管理画面からは確認できない（内部処理される）仕様です。そのため、設計段階で上記計算式を用いてストレージ見積もりを行うことが重要です。※さらに Wasabi 側の最低利用期間ポリシー（通常 30 日または 90 日）も併せて考慮する必要があります。
④ ネットワーク帯域の制御（FW 側 QoS の活用）
Veeam 標準機能として「Network Traffic Throttling Rules」も備わっていますが、今回はクラウド向け通信の一元制御や社内全体のネットワーク安定性を最優先とし、ファイアウォール（FW）側の QoS 機能を用いて Wasabi 宛てトラフィックをシェーピングする方式を採用しました。
⑤ リストア検証の確認結果
Wasabi 上にオブジェクトロック（不変）状態で保管されているバックアップデータからでも、通常のバックアップデータと全く同様の手順でテスト用 VM へのリストア（Entire VM Restore / Instant VM Recovery 等）が正常に完了することを確認しました。
⑥ コスト・ライセンス面のメリット
Veeam・Wasabi ともに基本機能で対応：今回の環境（サービスプロバイダー契約/標準ライセンスポリシー）において、イミュータブル連携のための特別な追加オプションライセンスの購入を伴わずに標準機能の範囲で実現できたことが、導入を後押しする大きなポイントとなりました。
※ご契約内容（ライセンス形態やエディション）によって条件が異なる場合があるため、導入時は事前のご確認を推奨します。
おわりに
イミュータブルバックアップは、ランサムウェア被害時の「復旧不能」という最悪の事態を防ぐうえで非常に有効な対策ですが、情報漏えいそのものを防ぐものではありません。だからこそ、ネットワーク防御・エンドポイント対策・権限管理・ログ監査などの多層防御と組み合わせ、「侵入されても業務と信頼を取り戻せる」最後の砦として、Wasabi によるイミュータブルストレージを活用したバックアップ基盤の導入をご提案いたします。
