この記事はKelly Smithによる”Retention lock your cloud database backups for increased ransomware protection”の日本語翻訳版記事です。

2023年12月26日

ランサムウェア攻撃は未だ頻繁に発生しており、ラスベガスのMGMリゾーツ社で発生したランサムウェア攻撃のように大きな被害になることもあります。米国の市場監視機関、SEC（Securities and Exchange Commission）は公開企業に対してインシデントの開示を義務付ける規則を導入したため、今後、さらに攻撃の内容は社会に晒されることになることが予測されます。これにより、特にOracle Database内のミッションクリティカルなデータの場合、これらの攻撃からのリカバリをすることが重要になります。

ランサムウェア攻撃や悪意のあるユーザーによる削除や変更に対してバックアップが安全であるということをお客様が保証できるように、Zero Data Loss Autonomous Recovery Serviceにバックアップの保存期間をロックできる新機能が導入されました。

この機能によりバックアップが一度ロックされると、お客様のテナント内のユーザーはテナンシ管理者を含めバックアップの保持期間を短くすることが出来なくなります。

また、この機能はユーザー定義の保護ポリシーの一機能として提供されています。

例えば、図１の「60 Days」というユーザー定義の保護ポリシーでは、2024年1月9日0:00 UTCからスケジュールされた保持ロックが有効になっています。

Protection Policy

図１：ユーザー定義の保護ポリシーに対する保持ロックの有効化

保持ロックが有効化されると、以下の制限がバックアップにかけられます：

  • テナンシ内のユーザーまたは管理者によってバックアップ保持期間が短縮されることを阻止します。これにより、保存期間内のすべてのバックアップは確実にデータベースの回復に使用できるようになります。保存期間は延長でき、設定後すぐに有効になることに注意してください。
  • データベースが別のポリシーに変更されないようにします。保持ロックがかかっている保護ポリシーが設定されるデータベースを保持期間の短い保護ポリシーに移動すると、保持ロックが強制され、保護ポリシーの変更が阻止されます。
  • データベースの終了 (削除) によってバックアップも同時に削除されないようにします。保持ロックが有効な場合、データベースの削除オプションとして「バックアップを72時間保持し、その後削除」を設定した場合でも、保持ロックが優先されます。バックアップはデータベースが終了後も保持され、コンソール上で簡単に見つけられます。
  • SYSDBA が RMAN を使用してバックアップを手動で削除できないようにします。 RMANからの削除操作をブロックすることで、バックアップが確実に削除されないことを保証します。

既に保持ロックが有効になった保護ポリシーにデータベースが追加された場合、最初の14日以内であればポリシーからデータベースを削除できます。保持期間はデータベース・バックアップの総ストレージコストに影響し、一度ロックされると変更できないため、管理者は間違いがあった場合に調整する時間を確保できます。14日間の猶予期間が経過すると、上記の制限が有効になります。

さらに、バックアップの保持ロックとリアルタイム・データ保護を組み合わせると、究極のレベルでデータを保護することもできます。これにより、データベースには最新のトランザクションまでカバーするバックアップが作成され、指定された保存期間が終了するまで削除されないようにロックされます。悪意のある操作が今行われた場合、これらを組み合わせた構成がどれほど強力になるかを考えてください。最後にデータベースのバックアップがいつ行われたかを確認する際にパニックになることはありません。「自動バックアップの構成」でクリックするだけでリアルタイム保護を有効にし (図 2)、保持ロック機能を完全に補完できます。

Configure Backup

図２：「自動バックアップの構成」からリアルタイム・データ保護を有効化

バックアップの保持ロックによりテナンシ内のどのユーザーもバックアップを削除できないようにすることに加え、データベースをリアルタイムで保護することで、データ保護のレベルをより高く引き上げることができます。

この構成は内部と外部の両方の脅威に対応することができます。また、リアルタイム・データ保護とバックアップの保持ロック、この独自の組み合わせはAutonomous Recovery Service を使用している場合にのみ利用できます。

詳細について


以下のドキュメントのリンクには自動バックアップ、リアルタイム保護、保持ロックを有効にするための追加手順が記載されています。