c2.18 データをバックアップし、改ざん不能にする

AWS Backup で集約する

AWS Backup は、ポリシーベースのマネージドサービスで、AWS サービス（Amazon EBS、EC2、RDS、DynamoDB、EFS、S3 など）横断でバックアップを集約・自動化し、サービスごとのスクリプトを置き換えます。バックアップのスケジュールと保持をポリシーとして定義し、アクティビティを一元的に監視します。

バックアップを改ざん不能かつ隔離する

バックアップは、攻撃者が破壊できない場合にのみ役立ちます。

• AWS Backup Vault Lock は WORM（書き込み一度・読み取り多数）の改ざん不能性を強制します。コンプライアンスモードでは、保持期間中はロックを解除できません。
• 論理的にエアギャップされたボールト は、デフォルトでロックされた改ざん不能・暗号化済みのコピーを保存し、アカウント間の復旧のために共有できます。
• バックアップのコピーは、厳格なアクセス制御を施した別アカウントに保持し、ワークロードアカウントが侵害されても到達できないようにします。

バックアップをマルウェアスキャンする

改ざん不能なバックアップでも、すでにランサムウェアが含まれていたら意味がありません。Amazon GuardDuty Malware Protection for AWS Backup は、各バックアップの完了後に復旧ポイント（EBS スナップショット、EC2 AMI、S3 復旧ポイント）をスキャンします。これにより、復旧時に再感染するのではなく、クリーンだと確認できたコピーから復元できます。

オンプレミスをクラウドにバックアップする

Amazon S3 Glacier などの低コストのストレージクラスを活用するため、オンプレミスのインフラをクラウドにバックアップすることを検討します。バックアップツールがオンプレミスで動作している場合は、下り（egress）のデータ転送コストを避けるため、クラウドにデプロイ可能な選択肢を検討します。