無料会員登録
「バックアップを取っているのにランサムウェアに感染してデータが復元できなかった」——こうした被害の多くに関係しているのがVSS（ボリューム シャドウ コピー サービス）の削除です。
VSS（Volume Shadow Copy Service：ボリューム シャドウ コピー サービス）とは、Windowsが標準搭載するスナップショット機能です。使用中のファイルでもバックアップできる・過去のバージョンに素早く戻せる・システム稼働中にバックアップできるという特徴から、企業のバックアップ基盤として広く使われています。
一方で、ランサムウェアが最初に標的にするのもVSSです。本記事では、VSSの仕組み・3つのコンポーネント・シャドウコピーの作成方式・管理コマンド・セキュリティリスクまで徹底解説します。
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
VSSとは？
VSS（Volume Shadow Copy Service：ボリューム シャドウ コピー サービス）とは、Windowsが標準搭載するスナップショット（特定時点のデータコピー）機能です。Windows XPで導入され、Windows Server 2003以降の全バージョンおよびWindows Vista以降のクライアントOSで利用可能です。
VSSが解決する3つの問題
バックアップには従来から以下の課題がありました。VSSはこれらをすべて解決します。
| 課題 | VSSによる解決 |
|---|---|
| 実行中のアプリがファイルをロックしていてバックアップできない | シャドウコピーを使い、使用中のファイルもバックアップ可能 |
| バックアップ中にシステムを止める必要がある | システム稼働中でもシャドウコピーを作成できる |
| バックアップとアプリ・ストレージの連携が難しい | リクエスタ・ライター・プロバイダーの3役割でコンポーネント間の連携を標準化 |
VSSを活用する主なWindowsの機能
- Windowsバックアップ（Windows Server Backup）
- システムの復元
- 以前のバージョン（ファイルの右クリックから復元）
- 共有フォルダーのシャドウコピー
- System Center Data Protection Manager
VSSの3つのコンポーネント
VSSは「リクエスタ・ライター・プロバイダー」の3コンポーネントが連携して動作します。
①リクエスタ（Requester）
シャドウコピーの作成を「要求する」コンポーネントです。バックアップソフトウェアや「システムの復元」機能がリクエスタとして動作します。「今すぐバックアップを取って」という指示を出す役割です。
②ライター（Writer）
バックアップ対象のアプリケーションがライターとして動作し、データが整合性のある状態でシャドウコピーされるよう制御します。SQL Server・Exchange Server・Windowsレジストリなどがライターを持っています。バックアップ前に「開いているトランザクションを完了させる・キャッシュをフラッシュする」などの準備をして、スナップショット時点でデータの一貫性を保証します。
③プロバイダー（Provider）
シャドウコピーの実際の作成と管理を行うコンポーネントです。ソフトウェアプロバイダーとハードウェアプロバイダーの2種類があります。
- システムプロバイダー（Windowsに標準搭載）：コピーオンライト方式でシャドウコピーを作成する。NTFSボリュームが必要
- ハードウェアプロバイダー：SANなどのストレージアレイが提供。シャドウコピー作成・維持の作業をホストOSからオフロードできる
- サードパーティソフトウェアプロバイダー：独自の方式でシャドウコピーを作成するサードパーティ製品
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
シャドウコピーの作成プロセス
VSSがシャドウコピーを作成する際の流れは以下の通りです。
- リクエスタがVSSにシャドウコピーの作成を要求
- 各ライターがデータの一貫性を確保するための準備：開いているトランザクションを完了、ログをロール、キャッシュをフラッシュ
- VSSがアプリケーションの書き込みI/O要求を最大60秒凍結：ファイルシステムのメタデータを正確に記録するため。読み取りI/Oは継続可能
- プロバイダーがシャドウコピーを作成（最大10秒以内）
- VSSがファイルシステムの書き込みI/Oを解放
- ライターがアプリケーションの書き込みI/Oを再開
システムの書き込みI/Oが最大60秒凍結されますが、読み取りI/Oは継続可能なため、通常の利用には支障がありません。シャドウコピー自体の作成は10秒以内で完了します。
シャドウコピーの3種類の作成方式
①完全コピー（Full Copy）
特定時点で元のボリュームの完全なコピーを作成します。「スプリットミラー」方式とも呼ばれ、ミラー化されたボリュームを分離することで作成されます。シンプルですが大量のストレージが必要です。
②コピーオンライト（Copy on Write：CoW）
元のボリュームに変更が加えられる際、変更前のデータブロックをシャドウコピー記憶域（差分領域：ディフ領域）に書き込む方式です。変更されたブロックのみ保存するため、ストレージ効率が高いです。Windowsのシステムプロバイダーが採用している方式です。
| 時点 | 元のデータ | シャドウコピー（差分） |
|---|---|---|
| T0（スナップショット前） | 1 2 3 4 5 | なし |
| T1（ブロック3が「3’」に変更される前） | 1 2 3 4 5 | 変更前の「3」を差分領域に保存 |
| T2（変更後） | 1 2 3′ 4 5 | 差分領域：3（変更前の値） |
③ライトオンリダイレクト（Redirect on Write：RoW）
元のボリュームへの変更を別のボリュームのシャドウコピー記憶域に書き込む方式です。元のボリュームは変更されず、差分と元のデータを組み合わせて最新状態を構成します。読み取りI/Oが多い環境ではコストが高くなる可能性があります。
VSSの管理コマンド
WindowsにはVSSを操作するための標準ツールが2つ用意されています。
VssAdmin（VssAdmin.exe）
シャドウコピーの作成・削除・一覧表示・ストレージ領域の管理に使います。Windows クライアントとServer両方で使用可能です。
| コマンド | 説明 |
|---|---|
vssadmin list shadows |
既存のシャドウコピーを一覧表示 |
vssadmin list writers |
登録されているVSSライターを一覧表示 |
vssadmin list providers |
登録されているVSSプロバイダーを一覧表示 |
vssadmin create shadow /for=C: |
Cドライブのシャドウコピーを作成 |
vssadmin delete shadows /all |
すべてのシャドウコピーを削除 |
vssadmin resize shadowstorage |
シャドウコピー記憶域のサイズを変更 |
DiskShadow（DiskShadow.exe）
より高度なVSS操作が可能なツールで、Windows Serverのみで使用可能です。シャドウコピーの作成・インポート・エクスポート・ドライブレターとしての公開などができます。
DiskShadowはWindowsの正規ツールですが、攻撃者がマルウェアのコード実行に悪用する「LOLBinS（Living off the Land Binaries）」の一つとして知られています。不審なDiskShadow の実行はセキュリティ監視の対象にしてください。
VSSのセキュリティリスク
VSSはバックアップの根幹を支える機能ですが、同時にランサムウェアが最初に標的にする機能でもあります。
ランサムウェアがVSSを削除する理由
ランサムウェアがファイルを暗号化した後、被害者はVSSのシャドウコピーから復元しようとします。これを防ぐため、現代のほぼすべてのランサムウェアはファイル暗号化の前にVSSのシャドウコピーを削除します。
ランサムウェアがVSS削除に使う主なコマンド
wmic shadowcopy delete
bcdedit /set {default} recoveryenabled No
wbadmin delete catalog -quiet
これらのコマンドを管理者権限で実行することで、すべてのシャドウコピーと回復オプションを無効化します。
VSS削除への対策
- 3-2-1バックアップルールの徹底：3つのコピー・2種類の媒体・1つはオフサイト（オフライン）に保存する。VSSのみに依存しない
- オフラインバックアップの実施：インターネットや社内ネットワークから切り離したバックアップを定期的に取得する
- VSSAdminへのアクセス制限：一般ユーザーアカウントからvssadminコマンドを実行できないよう権限を制限する
- EDRによるVSS削除の監視：vssadmin・wmic・bcdeditなどのコマンドでシャドウコピーを削除しようとする挙動を検知・ブロックする
- 不変（イミュータブル）バックアップの採用：一定期間は削除・変更できないWORM（Write Once Read Many）ストレージへのバックアップ
VSSに関連する被害・注意事例2選
事例1：LockBit3.0によるボリュームシャドウコピー削除
LockBit3.0は、世界的に被害が確認されているランサムウェアの一種です。サイバーセキュリティ.comの記事では、LockBit3.0の特徴として、システムのバックアップであるボリュームシャドウコピーを削除し、復旧を妨害する機能があると説明されています。
このように、ランサムウェアはファイルを暗号化するだけでなく、VSSのシャドウコピーを削除して復元手段を奪うことがあります。VSSは誤削除や上書きからの復元には便利ですが、ランサムウェア対策としては不十分です。オフラインバックアップや不変バックアップを併用し、vssadminやwmicによるシャドウコピー削除をEDRで監視することが重要です。
事例2：RansomHubによるVSSスナップショット削除
RansomHubは、企業や組織を標的に確認されているランサムウェアの一種です。Trend Microの調査では、RansomHubにvssadmin.exeを利用してWindowsのボリュームシャドウコピーサービス（VSS）のスナップショットをすべて削除する機能があると説明されています。
VSSのスナップショットが削除されると、暗号化されたファイルを「以前のバージョン」から復元することが難しくなります。ランサムウェア対策では、VSSのみに依存せず、オフラインバックアップや不変バックアップを用意し、vssadminやwmic shadowcopy deleteなどの不審な実行をEDRで監視することが重要です。
参考：ランサムウェア「RansomHub」がEDRKillShifterを用いてEDR製品を無効化｜Trend Micro
よくある質問（FAQ）
Q. VSSとバックアップの違いは何ですか？
VSSのシャドウコピーはハードディスク内に保存されているため、ディスク障害が発生した場合は失われます。また、ランサムウェアにVSSを削除されると復元できなくなります。本格的なバックアップは、テープ・外付けHDD・クラウドなど別の媒体へのデータコピーを指します。VSSはあくまで「誤削除・誤変更への素早い対処ツール」であり、バックアップの代替にはなりません。
Q. 1つのボリュームに保存できるシャドウコピーの最大数は？
システムプロバイダー（Windows標準）が作成するソフトウェアシャドウコピーは各ボリュームに最大512個まで保存できます。ただし共有フォルダーのシャドウコピー機能で使われるシャドウコピーはデフォルトで最大64個です。領域が不足した場合は古いものから自動的に削除されます。
Q. VSSの差分領域（ディフ領域）はどこに保存されますか？
NTFSボリューム上に保存する必要があります。既定では変更量に応じて自動的にサイズが決まりますが、vssadmin resize shadowstorageコマンドで最大サイズを変更できます。シャドウコピーするボリュームは必ずしもNTFSである必要はありませんが、システムにマウントされた少なくとも1つのボリュームがNTFSである必要があります。
Q. VSSを無効にすべきではないですか？
VSSを無効にすることはMicrosoftも推奨していません。システムの復元・Windowsバックアップ・以前のバージョン機能などVSSに依存する多くの機能が動作しなくなります。セキュリティの観点でも、VSSを無効にするとランサムウェア被害後の復元オプションがさらに減ります。VSSは有効のまま、オフラインバックアップとの組み合わせで対策することが正しいアプローチです。
Q. ランサムウェア感染後にVSSでファイルを復元できますか？
現代のランサムウェアのほぼすべては暗号化前にVSSのシャドウコピーを削除します。そのため、ランサムウェア感染後にVSSで復元できるケースは非常に限られます。ランサムウェア対策として最も重要なのは、インターネットや社内ネットワークから切り離したオフラインバックアップを定期的に取得することです。
まとめ
VSS（Volume Shadow Copy Service）とは、Windowsが標準搭載するスナップショット機能で、使用中のファイルでもバックアップできる・システム稼働中にシャドウコピーを作成できるという特徴から、Windowsシステムのバックアップ基盤として広く活用されています。
VSSはリクエスタ・ライター・プロバイダーの3コンポーネントが連携して動作し、シャドウコピーの作成方式にはコピーオンライト（Windowsシステムプロバイダー採用）・完全コピー・ライトオンリダイレクトの3種類があります。管理にはVssAdminとDiskShadowの2つのツールが使えます。
一方で、VSSはランサムウェアが最初に狙う標的でもあります。現代のランサムウェアのほぼすべてがファイル暗号化前にVSSのシャドウコピーを削除します。VSSのみに依存したバックアップ体制は危険であり、オフラインバックアップとの組み合わせ・EDRによるVSS削除の監視・不変バックアップの採用が現在の標準的な対策です。
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
関連コラム（あわせて、以下の記事もよく読まれています）
Windows Server2003のサポート終了による３つの問題点と対応について
WDigest
Juicy Potato
ntdsutil
EternalBlue
RVWP
PPL
Robocopyとは？差分コピーの仕組みからコマンド・オプション・自動バックアップまでわかりやすく解説
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
VSSは「防犯カメラが一定間隔で録画している映像」のようなものです。ファイルを誤って削除・上書きしてしまった場合、録画映像（シャドウコピー）を再生して「あの時点の状態」に戻せます。重要なのは録画は常に裏で動いており、撮影中に建物（システム）を使い続けられる点です。