それ、レプリケーションでよろしく。UDPともども。

ネットワーク分離構成がもたらす3つのメリット

メリット1：セキュリティの強化
最大のメリットは、セキュリティ要件の異なる通信経路を分離できる点です。

ランサムウェアの被害を想定した場合、攻撃者は業務サーバを踏み台にして業務LANのセグメントに侵入してくる可能性があります。

管理用ネットワークとバックアップ データ転送用ネットワークを物理的に分離しておけば、仮に業務LAN側のネットワークが掌握されたとしても、攻撃者はCRSの管理インターフェース（SSH）に到達することができません。管理アクセスを特定のネットワークのみに限定することで、CRSに対する多層防御が実現し、データの安全性が高まります。

メリット2：パフォーマンスと運用の安定化
サイバー攻撃の手口の1つに、業務LAN内の帯域を消費・枯渇させるボリューム ベース攻撃があります。これを受けた場合、管理者が状況を確認するためにSSH接続を試みても「応答が遅い」「接続がタイムアウトする」といった事態に陥りかねません。異常を検知して緊急の操作を行いたい場面で管理ポートにアクセスできないのは、運用上致命的です。

バックアップ データ転送用のネットワークと、SSHなどの管理ネットワークを業務LANと分離することで、業務LANでボリューム ベース攻撃を受けたとしても、管理操作のレスポンスや安定性が損なわれることはありません。これにより、管理者は確実かつ快適にCRSの状況をモニタリングし、制御することができます。

メリット3：イミュータブル性を担保する「NTS（時刻同期）」の確実な実行
前述の通り、CRSの「変更・削除不可（イミュータビリティ）」の機能は、システム時刻の正確性に依存しています。もし攻撃者が不正なNTPサーバを偽装し、CRSの時刻を「保存期間が過ぎた未来の時刻」に改ざんできてしまえば、ロックが解除され、CRS自らがデータを削除する危険性があります。

これを防ぐためにCRSは、暗号化通信によって時刻情報の改ざんやなりすましを防止する「NTS（Network Time Security）」による時刻同期を必要としています。しかし、業務LANは、セキュリティ上、インターネットから隔離された閉域網（ダークサイト）として構成しなければならない場合もあります。閉域網内にセキュアなNTS対応のローカルNTPサーバを構築するのは、証明書の管理等の面で導入ハードルが高くなります。

ネットワークを分離していれば、この課題を解決できます。データ転送用ポートはRPSとの閉域網に接続したまま、管理・外部通信用ポートだけをインターネットに接続し、パブリックなNTS対応NTPサーバと時刻同期を行わせることができます。ネットワーク要件（閉域網と外部通信）の矛盾を解消し、イミュータブル ストレージの要である「時間の信頼性」を担保できるのです。

CRS 1.6の新機能「ネットワーク プロファイル」による高度な運用

最後に、こうしたネットワーク構成を運用する上で強力な武器となる、Arcserve CRS 1.6（以下 CRS 1.6 と略記）から搭載された機能について触れておきましょう。

CRS 1.6では、ネットワーク プロファイル管理機能が追加されました。これは、ネットワークの接続設定を「プロファイル」として定義し、簡単に切り替えられる機能です。例えば、バックアップ用のインターフェースに対して固定IPアドレスを割り当てた static_ip というプロファイルをコマンド ラインから作成し、適用させることができます。

画期的なのは、有事の際の「アイソレーション（隔離）」への応用です。もし本番環境でランサムウェアの感染拡大が疑われる場合、CRSの管理画面から該当するネットワーク プロファイルを「Down（無効）」にするコマンドを実行するだけで、RPSとの接続を即座に論理遮断することができます。

サーバ ルームに駆け込んで物理的なLANケーブルを引き抜く必要はありません。安全な管理用ネットワーク（SSH）からのアクセスは維持したまま、データ転送ネットワークだけを瞬時に切り離し、CRS内のバックアップ データを隔離・保護できます。

まとめ

CRSは、ランサムウェア攻撃からArcserve UDPのバックアップ データを守る強力なイミュータブル バックアップ ソリューションです。

「バックアップ データ転送ネットワーク」と「システム管理・時刻同期ネットワーク」を「業務LAN」と分離する構成は、セキュリティの強化、パフォーマンスの安定化、そして確実な時刻同期という3つのメリットをもたらします。さらに、CRS 1.6 以降のネットワーク プロファイル機能を活用することで、有事の際の迅速な隔離運用も実現できます。

これからCRSの導入を検討される方、あるいは既に運用中の方は、ぜひこの「ネットワークの分離」を活用し、より堅牢で運用しやすいバックアップ インフラを構築してください。