☆こんにちは！株式会社ネットワールドVeeam/DDチームです！！バックアップ基盤の運用に携わる皆さまに、少しでも役立つ情報をお届けできればと思います☆
さて、近年ランサムウェアは「バックアップも狙う」 時代です。そのため、改ざんや削除ができないバックアップを実現する仕組みの導入は、避けては通れない重要課題です。本稿では、”Veeam Backup & Replication”と”Dell PowerProtect DD（Data Domain）の Retention Lock Compliance”機能を連携して改ざん/削除できないバックアップを実現している設定がどのようなものであるかを確認してみます
今回は既に設定してある状態を確認します、設定手順については別の機会をお待ちください。
♢♢♢ まずはDDがどのような設定であるべきかを示します ♢♢♢
[DD設定]
・NTP同期が正常に動作している
・DD Boostを有効にする
・DDのRetention Lock Compliance を有効にする
・DD MTree(Local Storage Unit)を作成する
・DD MTree(Local Storage Unit)のRetention Lock Complianceを有効にする
システム時刻の変更や時刻のずれは厳格に監視・制御されています。異常な時刻変更が検知された場合には、バックアップデータの保護を優先し、自動的にファイルシステムを利用できない状態となります。そのため、正確なシステム時刻を維持するためのNTPによる時刻同期は必須です。なお、この動作によって既存のバックアップデータが消失することはありません。
これは、DDへの不正ログイン者がシステム時刻を意図的に進めることでRetention Lockの保持期限を不正に経過させ、バックアップデータを削除可能な状態にする攻撃を防止するための仕組みです。時刻情報をバックアップデータ保護の重要な要素として扱うことで、ランサムウェア攻撃や内部不正によるデータ改ざん・削除のリスクを低減し、バックアップの不変性（Immutability）を維持しています。
※DD（Dell Data Domain）のRetention Lock には Compliance モード と Governance モード の2種類があります。
「Compliance モード」
※このブログではCompliance モードを利用した環境を説明しています
法規制対応向けに設計されており、設定した保持期間内は管理者であっても削除や変更が一切できない厳格なロックです。SEC 17a-4(f) などの規制要件に対応する用途で使われます。
SEC 17a-4(f) は「金融機関の電子記録を改ざん不能な形で保存し、監査・検査時に提示できるようにするためのSEC規則です。
「Governance モード」
コーポレートガバナンス向けのモードで、保持期間中はデータの変更や削除はできませんが、管理者の操作によりロックを解除することが可能です。
※「Governance モード」を利用する場合、Veeamの管理コンソールに「ベストプラクティスから外れている」ことを知らせる注意喚起が表示されます
♢♢♢ 次にDDの設定を確認してみます ♢♢♢
[DD設定]
【ntp status】
NTP同期が成功しています
※Clock Last Synchronized Wed Jun 3 13:03:11.724 2026
【ddboost status】
DD Boostが有効になっています
※DD Boost status : enabled
【system retention-lock compliance status】
DDのRetention Lock Complianceが有効になっています
※Retention-lock compliance status : enabled
<< DELL社の説明URLリンク>>
Data Domain：Retention Lock Compliance Enabled Systemに「Security Clock Drift is Detected」というメッセージが表示され、アラートが表示されるか、FSが無効になる場合がある | Dell 日本
【mtree list /data/col1/veeam-retentionlock】
DD MTreeのRetention Lock Complianceが有効になっています
※Status RW/RLCE
♢♢♢ Veeamがどのような設定であるべきかを示します ♢♢♢
[Veeam設定]
・DD MTree(Local Storage Unit)をバックアップリポジトリとして登録する
・バックアップリポジトリにImmutable期間を設定する
♢♢♢ Veeamの設定を確認してみます ♢♢♢
[Veeam設定]
【Backup Repository】
DD MTree(Local Storage Unit)をリポジトリとして登録して
Immutable期間が設定されています
Make recent backups immutable for :60 days
※7～1827 daysの範囲で設定できます
♢♢♢ バックアップの状態をVeeamで確認してみます ♢♢♢
[Veeam]
バックアップ対象はWindows Server 2022、画像内のObject:windows40gです
エージェントレス方式でvSphere VMをバックアップしました
DataDomain リポジトリに保存されているバックアップファイル名は下記のとおりです
DD-RetentionLock - 10.10.40.101D2026-06-03T124641_FDB5.vbk
※バックアップは 2026/8/2まで変更不可（Immutable）であることが示されています
Immutable Until：2026/08/02
※バックアップの削除を試してみます
Remove from > Diskを選びます
Unable to delete 1 immutable backup fileと表示されて削除できませんでした
が削除できないのが正常な動作です
かつ、Backup files can be deleted after 2026/08/02 13:35 とも表示されました
♢♢♢ DDからもバックアップの状態を確認してみます ♢♢♢
[DD]
次のコマンドによりバックアップファイルの状態を確認できます
【mtree retention-lock report generate retention-details mtree /data/col1/veeam-retentionlock】
ファイル「DD-RetentionLock - 10.10.40.101D2026-06-03T124641_FDB5.vbk」
は2026/8/2までロック状態であることが示されており、この日時を過ぎないとVeeamから操作しても削除できません。
※ DDのMTreeの削除を試みます
次のコマンドによりMTreeの削除を試みます
【mtree delete /data/col1/veeam-retentionlock】
このコマンドは管理者権限ユーザーのみが実行できます。
実行すると、セキュリティ権限ユーザーである so_user のユーザー名とパスワードも要求されます。
コマンドは成功しましたがMTreeにファイルがあるため削除できないことが示されています。
***** MTree "/data/col1/veeam-retentionlock" contains ddboost storage unit, cannot be deleted. *****
先述のとおりファイルを削除するためにはVeeamからバックアップを削除する必要がありますがリテンションロック期限内のバックアップは削除できませんのでMTreeは削除できません。
☆☆☆ キーポイントを整理します ☆☆☆
[キーポイント]
・DD Boostを使用したバックアップはCIFS/NFSのようにファイル共有されないのでバックアップファイルへのアクセス手段はVeeamのみとなる
・Veeamサーバーに不正ログインされたらバックアップの削除を試みることはできるが、Veeam の操作によりバックアップの削除を試みても DD 側が拒否するため、データは安全に保持される
・DD管理者権限とセキュリティユーザー権限が漏洩しても保存されたバックアップファイルを消去したり保持期間を短縮することはできない
本稿ではVeeam Backup & Replication と DD Retention Lock（Compliance モード）によるバックアップ保護が構成された実機環境にて、その設定がどのようなものであるかをご説明いたしました。
お読みいただきましてありがとうございました。
