はじめに

Re:Q Tech Blogをご覧いただきありがとうございます。
インフラ技術部のO.M.です。

本ブログは、【Veeam×ランサムウェア対策】シリーズの第2弾です。
前回の記事でもご紹介した通り、Veeam Backup & Replication（以降VBR）はランサムウェアからバックアップデータを守るための様々な検出・保護機能を備えており、「バックアップ時」「データ保管中」「リストア前」のそれぞれの段階で機能します。

今回は、「バックアップ時」に着目し、バックアップジョブの実行中にデータの異常をリアルタイムで監視して、ランサムウェアの兆候を検知する下記の3つの機能について、概要と実装のポイントを解説します。
・Inline Scan
・Guest Indexing Data Scan
・IoC Tools Scanner

※補足：本ブログの情報は、2026年5月時点の最新版である Veeam Backup & Replication v13 を前提としています。

目次

Inline Scan
Guest Indexing Data Scan
IoC Tools Scanner
検知時の挙動
機能比較表
まとめ：結局どの機能を使用すれば良いのか？
おわりに

Inline Scan

概要

バックアップジョブ実行中のデータストリームを分析し、マルウェアが暗号化したファイルや作成したテキストを検出する機能です。過去のバックアップ時のデータと新しいデータを比較し、過去のデータよりも多くの検知対象が含まれている場合、マルウェア検出イベントが作成されます。

検知対象は以下の3つとなります。
・大量のデータ暗号化ファイル
・Onionアドレス(ダークウェブのURL)を含むファイル
・ランサムウェアノート（脅迫メッセージ等が書かれたファイル）

検知動作

1. バックアップジョブ実行中に、バックアッププロキシサーバーがバックアップ対象のディスクをブロックレベルで
   分析する
2. 分析したデータを、ランサムウェアインデックス（.RIDX）ファイルとしてバックアップサーバーに転送する
3. バックアップサーバーのVeeam Data Analyzer Serviceが、基準となる過去のランサムウェアインデックス（.RIDX）ファイルと最新のランサムウェアインデックス（.RIDX）ファイルを比較*する
   *直近25時間に取得したバックアップの内、最も古いバックアップ時のデータが比較の基準となります。
   上記に該当するバックアップが無い場合は、直近30日間で最新のバックアップが参照されます。
4. 概要に記載の検知対象が検出された場合、『Malware Detection Event（マルウェア検出イベント）』を発行し、対象のバックアップデータに「Suspicious（疑わしい）」ラベルを付与する

導入前に確認したい「Inline Scan」の実装ポイント

Inline Scanは強力なマルウェア検出機能ですが、ファイルシステムやディスクの構成によっては、スキャンの対象外となる場合があります。本来の性能を発揮させるため、予め以下の要件を確認してください。

• 対象ファイルシステム
  NTFS、ext4、ext3、ext2のみがサポート対象
• 特殊なディスクやファイルは対象外
  ダイナミックディスクや、BitLockerで暗号化されたファイルはスキャンをスキップされる

※他にも詳細要件が存在するため、事前に公式ドキュメントの確認と検証を行うことを推奨いたします。
<公式ドキュメント：Inline Scan>
https://helpcenter.veeam.com/docs/vbr/userguide/malware_detection_data_blocks.html?ver=13

Guest Indexing Data Scan

概要

バックアップ対象のファイルシステムインデックス情報を基に、危険な拡張子をもつファイルの有無や、大量のファイル削除・拡張子変更などを検出する機能です。取得したインデックスデータを過去のバックアップ時のデータや事前定義ファイルと比較し、検知した場合はマルウェア検出イベントが作成されます。
検知対象は以下の2つとなります。
・ 既知の疑わしいファイル名・拡張子を持つファイル
　事前定義ファイル(SuspiciousFiles.xml）で定義されたファイル名や拡張子に該当するファイルが存在する場合検知します。
・ 大量の拡張子変更・削除
　特定の拡張子のファイルにおいて、閾値を超える数のファイルで拡張子の変更や削除が行われていた場合検知します。

検知動作

1. バックアップジョブ実行中に、バックアップサーバーがゲストインタラクションプロキシを使用してバックアップ対象のファイルシステムインデックス情報を取得する
2. 取得したインデックスデータをバックアップサーバーに転送する
3. バックアップサーバーのVeeam Data Analyzer Serviceが、以下のパターンでインデックスデータを比較する
   ・事前定義ファイル(SuspiciousFiles.xml）の内容と最新のインデックスデータ比較する
   ・基準となる過去のインデックスデータと最新のインデックスデータを比較*する
   *直近25時間に取得したバックアップの内、最も古いバックアップ時のデータが比較の基準となります。
   上記に該当するバックアップが無い場合は、直近30日間で最新のバックアップが参照されます。
4. 概要に記載の検知対象が検出された場合、『Malware Detection Event（マルウェア検出イベント）』を発行し、対象のバックアップデータに「Suspicious（疑わしい）」ラベルを付与する

導入前に確認したい「Guest Indexing Data Scan」の実装ポイント

バックアップ対象からインデックスデータを収集するという特性上、以下のような追加の要件が発生します。

• 対象が仮想マシンの場合、ゲストOSのインデックス情報にアクセスするために、以下を実施していること。
  ・VBRへ仮想マシンの認証情報の登録
  ・(VMwareの場合)VMware Toolsのインストール
• 対象がLinuxの場合、対象にopenssh、gzip、tarのパッケージがインストールされていること

※他にも詳細要件が存在するため、事前に公式ドキュメントの確認と検証を行うことを推奨いたします。
<公式ドキュメント：Guest Indexing Data Scan>
https://helpcenter.veeam.com/docs/vbr/userguide/malware_detection_guest_index.html?ver=13

IoC Tools Scanner

概要

バックアップ対象のファイルシステムインデックス情報を基に、事前定義ファイル(SuspiciousFiles.xml）で事前に定義されたリストに一致するツールを検出する機能です。リストの内容はカスタムできませんが、Guest Indexing Data Scanと同様にインターネットから最新のリストを入手することができます(オフライン環境の場合も手動ダウンロードでの更新が可能)。
※IoC Tools Scannerは、公式上はGuest Indexing Data Scanの検知タイプの一つですが、本記事では分かりやすさを優先して独立して解説します。

具体的には何のリスト？

MITRE ATT&CK(攻撃者が用いる戦略や技術のナレッジをまとめたデータベース)で定義されている攻撃プロセスの各段階において、使用されることが知られているツール群のリストです。これらのツールを検知することで、システム上に意図せず配置されていた場合に攻撃の兆候を早期に発見することができます。

検知動作

1. バックアップジョブ実行中に、バックアップサーバーがゲストインタラクションプロキシを使用してバックアップ対象のファイルシステムインデックス情報を取得する
2. 取得したインデックスデータをバックアップサーバーに転送する
3. バックアップサーバーのVeeam Data Analyzer Serviceが事前定義ファイル(SuspiciousFiles.xml）の内容と最新のインデックスデータを比較する
4. 概要に記載の検知対象が検出された場合、『Malware Detection Event（マルウェア検出イベント）』を発行し、対象のバックアップデータに「Suspicious（疑わしい）」ラベルを付与する

※Guest Indexing Data Scanの機能の一部として提供されているため、検知の仕組みは同じ

導入前に確認したい「IoC Tools Scanner」の実装ポイント

Guest Indexing Data Scanと同様に、バックアップ対象からインデックスデータを収集するという特性上、以下のような追加の要件が発生します。

• 対象が仮想マシンの場合、ゲストOSのインデックス情報にアクセスするために、以下を実施していること。
  ・VBRへ仮想マシンの認証情報の登録
  ・(VMwareの場合)VMware Toolsのインストール
• 対象がLinuxの場合、対象にopenssh、gzip、tarのパッケージがインストールされていること

※Guest Indexing Data Scanと同一の要件
※他にも詳細要件が存在するため、事前に公式ドキュメントの確認と検証を行うことを推奨いたします。
<公式ドキュメント：Indicators of Compromise>
https://helpcenter.veeam.com/docs/vbr/userguide/malware_detection_guest_index_ioc.html?ver=13

検知時の挙動

異常が検知されたバックアップは、「Suspicious(疑わしい)」や「Infected(感染)」ラベルが付与され、管理者に異常を
知らせます。
＜検知例：Inline Scan＞

また、スキャン機能によって異常が検知されたバックアップデータに対して、自動でウィルススキャンを実行するよう構成することも可能です。この場合、Veeam独自のスキャンエンジンであるVeeam Threat Hunter、もしくはサードパーティ製のアンチウィルスソフトを使用することができます。

機能比較表

改めて、ここまでに解説した3つのスキャン機能を簡単に表で比較してみます。

項目	Inline Scan	Guest Indexing Data Scan	IoC Tools Scanner
スキャン対象	バックアップ中のデータストリーム内のブロック	バックアップ対象のインデックスデータ	バックアップ対象のインデックスデータ
検知対象	・大量のデータ暗号化 ・Onionアドレス(.onion)を含むファイル ・ランサムウェアノート	・疑わしいファイル名 ・拡張子を持つファイル ・大量の拡張子変更やファイル削除	・ MITRE ATT&CKを基にした既知の攻撃用ツール
実行コンポーネント	・バックアップサーバー ・バックアッププロキシサーバー	・バックアップサーバー ・バックアップ対象VM ・ゲストインタラクションプロキシ	・バックアップサーバー ・バックアップ対象VM ・ゲストインタラクションプロキシ

　

まとめ：結局どの機能を使用すれば良いのか？

ここまで各機能の仕組みを読んで、「 スキャンにも色々あることは分かったけど、結局どれを使えばいいの？」と思われた方もいらっしゃるかもしれません。
結論から申し上げれば、可能な限りすべてを組み合わせて使用することをおすすめします。
全てを組み合わせるべき理由は、それぞれの機能が監視している「対象」が異なるためです。

• Inline Scanで、データストリームを分析し、「データの変化（暗号化の兆候）」を検知する
• Guest Indexing Data Scanで、ファイルシステムをスキャンし、「ファイル一覧の異常な変化」を検知する
• IoC Tools Scannerで、OS内部をスキャンし、「攻撃者が持ち込んだツール（足跡）」を察知する

「暗号化はされていないが、ハッキングツールが置かれている状態」や「ツールは見つからないが、裏でデータが急激に暗号化されている状態」など、攻撃のフェーズによってすり抜ける穴は異なりますが、これらの検知機能が多層的に補完し合うことで、検知の網の目を細かくし、よりプロアクティブな対策が可能となります。

導入時の留意点

セキュリティ観点としては「全ての機能を使用する」のが理想ではありますが、その結果、リソース設計や運用に大きく影響する点に留意する必要があります。
具体的には、バックアップサーバーやバックアッププロキシサーバーのリソース（CPU・メモリ・ディスク）使用率の増加や、インデックス作成・分析処理に伴うバックアップ時間の長期化が挙げられます。例えばInline Scanを実行する場合、バックアッププロキシサーバーのCPU使用率が平均10％～15％増加するとされています。
そのため、これらを考慮したサイジングを行うか、あるいはリソースへの影響を確認しながら「Inline Scan」から段階的に実装し、重要システムから適用範囲を広げていくようなアプローチを考える必要があります。

おわりに

今回は、Veeamのバックアップジョブと並行して動作する3つの検知機能をご紹介しました。 「バックアップを取って終わり」ではなく、「綺麗なデータを取れているか」を常に監視してくれるのが、Veeamの検知機能です。
次回第3弾では、保管中のバックアップデータを保護する「Hardened Repository（Linux 強化リポジトリ）」についてご紹介する予定です！
是非ご覧ください。

■「Veeam×ランサムウェア対策」シリーズ
・第1弾　ランサムウェアからバックアップを守るVeeamのセキュリティ機能とは？
・第2弾　バックアップ中に兆候を検知！3つのスキャン機能　←本ブログ
・第3弾　Coming soon..
・第4弾　Coming soon..
・第5弾　Coming soon..