ランサムウェアからバックアップを保護する方法：ウェブサイトを救うための簡単なステップ
Joella Dunn
Joella Dunn
John Turner
John Turner
ランサムウェア攻撃は、毎日数千ものWordPressサイトを襲っています。
バックアップが安全だと思っていたために、長年のコンテンツと顧客データを失って泣いている中小企業の経営者を何人も見てきました。
WordPressのバックアップは、問題が発生したときのセーフティネットとなるはずです。災害が発生したときに迅速に復旧できるようになるはずです。
しかし、恐ろしいのは、ハッカーがランサムウェア攻撃中にバックアップファイルを標的にしていることです。バックアップを破壊できれば、支払うしかなくなることを彼らは知っています。
このガイドでは、ランサムウェアからWordPressのバックアップを保護する方法を紹介します！
目次
ランサムウェアとは？
ランサムウェアは基本的にデジタル恐喝です。ファイルを暗号化し、あなたのウェブサイトへのアクセスをブロックする悪意のあるソフトウェアです。
攻撃者は、データをロック解除するために（通常は暗号通貨で）支払いを要求します。私は、数百ドルから数千ドルに及ぶ身代金要求に直面したクライアントと仕事をしてきました。
これらの攻撃は通常、フィッシングメール、侵害されたプラグイン、またはセキュリティの脆弱性を持つ古いWordPressのインストールを通じて開始されます。
ランサムウェアが侵入すると、システム全体に急速に広がる可能性があります。
結果は壊滅的になる可能性があります：データの損失、ウェブサイトのダウンタイム、経済的損失、評判へのダメージ。
さらに、身代金を支払ったとしても、データが返される保証はありません。
ランサムウェアからバックアップを保護する必要がある理由
ランサムウェア攻撃がバックアップを標的にすると、セーフティネットが完全に削除されます。クリーンなバックアップがないと、攻撃前の状態にサイトを復元することができません。
考えてみてください：唯一のバックアップコピーがウェブサイトと同じサーバーに保存されている場合、それらも攻撃に対して脆弱になります。ランサムウェアが襲うとき、ライブファイルとバックアップファイルを区別しません。
リスクは非常に高いです。サイトとバックアップの両方がハッキングされた場合、あなたは不可能な選択に直面します：復旧の保証なしに身代金を支払うか、すべてを失って最初からやり直すか。
ランサムウェアからバックアップを保護する方法
朗報です：WordPressのバックアップをランサムウェアから保護することは複雑ではありません。効果的なデータ保護戦略を実装するために、セキュリティ専門家である必要はありません。
私は、何百ものサイトオーナーが攻撃から回復し、将来の攻撃を防ぐのを支援する中で、これらの戦略を開発しました。これらの方法は、あらゆる規模のサイトに有効です。
重要なのは、攻撃が発生する前に先手を打つことです。ランサムウェアに感染した後では、これらの保護策を講じても手遅れです。
バックアップをランサムウェア対策済みにするために、今日からできる具体的なステップを見ていきましょう。
1. ディザスタリカバリ計画を立てる
災害復旧計画は、問題が発生した場合の対処法を記したステップバイステップのプレイブックです。これにより、ランサムウェア復旧プロセスにおけるパニックを防ぐことができます。
私はすべてのクライアントにこれらの計画を作成しています。なぜなら、全員が何をすべきかを正確に理解していれば、復旧がどれほど速くなるかを目の当たりにしてきたからです。
Duplicatorは、災害復旧に優れたWordPressバックアッププラグインです。他のバックアップソリューションが失敗した際に、数分でサイトを復旧するために自身でも使用してきました。
最初のステップは、問題が発生する前に、今すぐ完全なローカルバックアップを作成することです。
これを災害復旧ポイントとして設定してください。これがクリーンな出発点となります。
Duplicatorでこれを行うと、復旧リンクとランチャーファイルの両方が提供されます。
これらはウェブサイトとは完全に別の場所に保存してください。オフラインで保管するUSBドライブや、サイトに接続されていない安全なクラウドストレージなどが考えられます。
私がDuplicatorを気に入っているのは、危機的状況での復元が非常に簡単だからです。サイトがダウンした場合、その復旧リンクを新しいブラウザに貼り付けるだけです。または、復旧ファイルを開いてください。
サイトを復旧するためのステップバイステップの説明が表示されます。インストーラーを開始するためにWordPressダッシュボードを必要としないため、ランサムウェア攻撃の後でも簡単にデータを復旧できます！
2. クラウドにバックアップをいくつか保存する
クラウドバックアップは、ランサムウェアに対する最初の防御線です。ウェブサイトサーバーとは別に存在するため、攻撃者がアクセスしにくくなっています。
クラウドバックアップは、異なる銀行に現金を保管するようなものだと考えています。一つが強盗に遭っても、すべてを失うわけではありません。
Duplicatorは11の異なるクラウドストレージロケーションに接続でき、多くの選択肢があります。私は個人的にGoogle Drive、Dropbox、Amazon S3でDuplicatorを設定しましたが、各接続はわずか数分で完了します。
Duplicatorでクラウドバックアップを設定するのは簡単です。新しいストレージロケーションを追加し、ログイン情報を入力するだけです。
次に、クラウドへの自動バックアップを設定することをお勧めします。これにより、サイトのバックアップを忘れることがなくなります。
新しいスケジュールを作成し、先ほど設定したクラウドストレージプロバイダーを選択します。フルサイト以外のカスタムバックアップが必要な場合は、新しいバックアップテンプレートを追加して選択してください。
バックアップスケジュールをどのくらいの頻度で実行したいかを決定します。Duplicatorは、1時間ごと、毎日、毎週、毎月の自動バックアップをサポートしています。
最後に、新しいスケジュールを保存します。
わずか5分未満で、バックアップをクラウドに送信することでランサムウェアから保護しました！
3. 複数の場所にバックアップを保存する
すべてのバックアップを1か所に保管しないでください。リスクが高すぎますし、多くのサイト所有者がこの教訓を苦い経験から学んでいます。
複数のバックアップロケーションがあれば、問題が発生した場合に複数の復旧オプションが利用できます。
真剣な保護のために、3-2-1バックアップルールに従う価値があります。これは次のことを意味します：
- 合計3つのデータバックアップコピー。
- 2つの異なるストレージタイプ（サーバーとクラウドなど）。
- 1つのコピーをオフサイト（物理的にメインサーバーから離れた場所）に保存します。
このアプローチにより、サーバーの障害やハッキングに対処する際に何度も救われました。
Duplicatorを使用すると、3-2-1ルールを簡単に遵守できます。単一のバックアッププロセスから、サーバー、クラウドサービス、さらにはコンピューターにバックアップを送信するように設定できます。
このセットアップは、長年自分のサイトで実行しています。
4. 定期的にバックアップをスケジュールする
バックアップの古さは、失われる可能性のあるデータ量に直接影響します。古いバックアップは、数週間または数ヶ月の作業を失う可能性があることを意味します。
Duplicatorのスケジュール機能を使用すると、月次、週次、日次、さらには時間単位で自動バックアップを作成できます。
特に便利なのは、複数のカスタムスケジュールを作成できることです。これにより、静的なコンテンツ（画像など）よりも頻繁に、重要なコンテンツ（データベースなど）をバックアップできます。
サイトの毎日の変更には、それらを保護するために毎日のバックアップが必要です。ほとんどのサイトでは、毎日のデータベースバックアップと週次のサイト全体バックアップを設定しています。
このアプローチにより、クライアントのストレージスペースを大幅に節約しながら、重要なデータをランサムウェアから安全に保つことができました。
5. WordPressを定期的に更新する
古いWordPressのインストールは、窓が開いたままの家のようなもので、侵入者を practically 招き入れています。
セキュリティアップデートが存在するのには理由があり、それを無視するとサイトは深刻なリスクにさらされます。
アップデートを実行する前には、必ず完全なバックアップを作成してください。アップデートがうまくいかなかったシナリオを数多く見てきた後、すべてのクライアントにこれを厳格なルールにしています。Duplicatorは、アップデート前のバックアップを迅速かつ簡単に行えます。
アップデートで何か問題が発生した場合（そして eventually 発生します）、その直前のバックアップがあれば、問題を解決するのに何時間も費やすのではなく、数分で復元できます。
バックアップを見つけて、復元をクリックするだけです。
6. バックアップと復旧をテストする
テストされていないバックアップは、存在しないのと同じです。サイトの所有者が、最も必要とするときにバックアップが破損していることを発見したのを何度見たかわかりません。
緊急事態になる前に、データ復旧プロセスが機能することを確認する必要があります。
Duplicatorは、バックアップからステージングサイトを作成するのに優れています。これにより、安全な環境でバックアップの整合性と復元プロセスの両方をテストできます。私は自分のサイトで四半期ごとにこれを行い、クライアントにも同様に行うことをお勧めします。
テストプロセスは簡単です。バックアップをステージングエリアに復元し、すべてが正しく機能することを確認し、見つかった問題を文書化します。1時間かかりますが、後で数日間の頭痛の種を救うことができます。
7. バックアップへのアクセスを制限する
バックアップにアクセスできる人が多いほど、セキュリティリスクは高まります。経験の浅いチームメンバーが誤ってバックアップを削除または破損する可能性があります。
バックアップへのアクセスは、家の鍵のように扱ってください。信頼できる人だけがアクセスできるようにしてください。
Duplicatorの高度な権限機能を使用すると、バックアップを作成、ダウンロード、または復元できるユーザーを制御できます。これらの機能を特定のユーザーロールまたは個々のユーザーに制限できます。
複数の管理者がいるクライアントサイトでは、バックアップ管理をサイト所有者と私だけに常に制限しています。
8. バックアップを暗号化する
暗号化されたバックアップは、保護の層を追加します。誰かがバックアップファイルを手に入れたとしても、暗号化キーなしではデータを使用できません。
暗号化を、ファイル周りの金庫のようなものと考えてください。組み合わせなしでは中身は役に立ちません。
Duplicatorはバックアップ暗号化をサポートしており、私はすべてのクライアントに有効にしています。パフォーマンスへの影響は最小限ですが、セキュリティ上のメリットは非常に大きいです。
暗号化キーは、バックアップ自体とは別に安全に保管することを忘れないでください。私はこの目的のためにパスワードマネージャーを使用しています。
9. バックアップの失敗を監視する
サイレントバックアップの失敗は危険です。バックアップが数週間も失敗していることに気づかずにいると、復元が必要になったときに困ったことになります。
バックアップの状態をリアルタイムで把握する必要があります。
Duplicatorはバックアップが失敗したときに管理者にメールを送信します。これらの通知は、ストレージの問題やサーバーの問題が深刻になる前に警告してくれるため、何度も私を救ってくれました。
一貫したメールサマリーも、私が頼りにしている別の機能です。すべてのバックアップアクティビティの概要を素早く把握できるため、問題が発生する前にパターンや潜在的な問題を特定しやすくなります。
これは毎日、毎週、毎月など、好みに応じて設定できます。さらに、これらのメールを受信するユーザーをカスタマイズすることもできます。
10. イミュータブルストレージを使用する
イミュータブルバックアップは、ランサムウェア対策のゴールドスタンダードです。データが書き込まれると、設定された期間中は管理者であっても変更または削除できません。
Duplicator自体はイミュータブルストレージではありませんが、イミュータビリティを提供するサービスにバックアップするために使用できます。
たとえば、私はDuplicatorを使用して、オブジェクトロックが有効になっているAmazon S3にバックアップを送信しており、これらのバックアップを30日間イミュータブルにしています。
このアプローチは少し高度ですが、ビジネスで重要なウェブサイトには検討する価値があります。
11. バックアップアカウントに強力なパスワードを使用する
弱いパスワードはハッカーへの招待状です。単純なパスワードを使用したために侵害されたサイトを復元するのを手伝ったことが何度もあります。
バックアップに関連するすべてのアカウントには、強力でユニークなパスワードが必要です。複雑なパスワードを生成および保存するために、パスワードマネージャーを使用することをお勧めします。
バックアップを保持するクラウドストレージアカウントについては、追加のセキュリティレイヤーとして二要素認証を有効にしてください。
この簡単な手順で、バックアップファイルやアカウントへの不正アクセスを防ぐことができます。
よくある質問（FAQ）
バックアップの3-2-1-1ルールとは何ですか？
3-2-1-1ルールは、3-2-1バックアップ戦略の強化版です。これには以下が含まれます：
- データの3つのコピー
- 2つの異なるストレージタイプ
- オフサイトに保存された1つのコピー
- 1つのオフライン、エアギャップ、またはイミュータブルなコピー
最後の「1」は追加の保護レイヤーです。オフラインまたはエアギャップバックアップとは、ネットワークから完全に切断されていることを意味します。これは、バックアップを作成するときにのみ接続するUSBドライブのようなものです。これにより、ランサムウェアが到達できなくなります。
クラウドバックアップはランサムウェアから保護しますか？
クラウドバックアップはサーバーのみのバックアップよりも優れていますが、自動的にランサムウェア対策になるわけではありません。クラウドストレージアカウントの認証情報が侵害された場合、攻撃者はこれらのバックアップを削除する可能性もあります。
クラウドバックアップを確実に保護するには、強力なパスワードを使用し、二要素認証を有効にし、バージョン管理やイミュータブルストレージオプションを提供するサービスを検討してください。私は各クラウドストレージアカウントに異なるパスワードを使用し、すべてで2FAを要求しています。
Windowsのバックアップはランサムウェアから保護しますか？
Windowsのバックアップツールは基本的な保護を提供しますが、ウェブサイトのバックアップセキュリティには限界があります。ほとんどのWindowsバックアップはネットワークに接続されたままなので、メインシステムを襲う可能性のある同じランサムウェアに対して脆弱になります。
WordPressサイトの場合、Duplicatorのような専門ツールは、暗号化、クラウド統合、スケジュールバックアップなどのより優れた保護機能を提供します。私は何年も前にDuplicatorに切り替え、それ以来後悔していません。
ランサムウェア保護に最適なバックアップソフトウェアは何ですか？
ランサムウェアバックアップ保護に最適なソフトウェアには、いくつかの重要な機能が含まれています：
- オフサイトバックアップ機能
- 複数のストレージ場所オプション
- 自動スケジュール
- 強力な暗号化
- アクセス制御
- バックアップ失敗通知
- 簡単なテストと検証
- イミュータブルストレージ互換性
Duplicatorはこれらすべての条件を満たしているので、クライアントに推奨しています。私は長年多くのバックアップソリューションをテストしてきましたが、DuplicatorはWordPressサイトに特化した使いやすさとセキュリティ機能のバランスにおいて、常に最高のパフォーマンスを発揮します。
最終的な考え
ランサムウェアはなくなることはありません。実際、攻撃はより頻繁かつ巧妙になっています。
これらのプラクティスは、あなたがランサムウェアの犠牲者になるのを避けるのに役立ちます。それらは、ランサムウェアがバックアップを標的とする特定の方法に対処するため、効果があります。
最後のヒント：WordPressダッシュボードにアクセスできるすべての人に、ランサムウェア対策についてトレーニングしてください。フィッシング詐欺や不審なアクティビティの見分け方を示し、全体的なサイバーレジリエンスを強化してください。
WordPressサイトの可能な限り強力な保護をご希望ですか？ Duplicator Proには、スケジュールされたクラウドバックアップ、より強力な暗号化オプション、電子メール通知などの高度な機能がすべて1つのパッケージに含まれています。私は長年、自分のサイトやダウンタイムを許容できないクライアントのために使用してきました。
バックアップセキュリティを改善するために、攻撃後に待たないでください。今投資するわずかな時間は、後であなたのウェブサイト全体を救うかもしれません。
せっかくなので、これらの他のWordPressガイドも気に入ると思います。
- WordPressセキュリティチェックリスト：サイトを保護するためのステップバイステップガイド
- WordPressサイトのクリーンアップ方法
- あなたのWordPressサイトは明日消えるかもしれません（これをしない限り）
- ウェブサイトをハッカーから保護する方法
- ハッキングされたWordPressサイトを復旧する方法
- 最も一般的なWordPressエラー20選（および簡単な修正方法）
