3-2-1 ルールを実際に機能する構成にする方法です。オンサイトの高速なバックアップ、オフサイトのコピー、そして削除も上書きもできないコピーを少なくとも 1 つ（S3 Object Lock または Linux の強化リポジトリ）用意し、暗号化、保持、復元テスト、コピー失敗時のアラートを加えます。
ネットワークに侵入した攻撃者は、サーバーを暗号化する前にまずバックアップを削除または暗号化しようとするのが一般的です。そのため、盗まれた管理者アカウントで削除できるバックアップだけでは不十分です。このガイドでは BackupZit で多層的な保護を構築します。ローカル ストレージ上のプライマリ バックアップ、別の場所へのコピー、そしてストレージの認証情報があっても設定期間が終わるまでバックアップを破壊できないストレージです。BackupZit は無料のオープンソース（AGPLv3）で、ここで説明する内容はすべて無料の製品に含まれます。
3-2-1 ルール：データのコピーを 3 つ、2 種類の異なるメディアに保存し、そのうち 1 つはオフサイトに置きます。拡張版の 3-2-1-1-0 では、変更不可またはオフラインのコピーを 1 つ追加し、バックアップの検証で 0 エラーであることを求めます。BackupZit では次のとおりです。
| 要素 | BackupZit での実現 |
|---|---|
| 3 つのコピー | 本番データ、バックアップ ジョブ、バックアップ コピー ジョブ。 |
| 2 種類のメディア | 2 つのストレージ ターゲット。例：SMB または SFTP の NAS と S3 バケット。 |
| 1 つはオフサイト | コピーをクラウド（S3、Azure Blob Storage）または別の建物の強化リポジトリに送ります。 |
| 1 つは変更不可またはオフライン | Object Lock 付きの S3、強化リポジトリ、またはローテーションする USB ディスク。 |
| 0 エラー | 自動復元テストと保存データ全体のチェック。失敗するとアラートが届きます。 |
保護するマシンにエージェントを入れた BackupZit コンソールが必要です。最初の手順は Proxmox VE、Hyper-V、Windows ディスク イメージの各ガイドで説明しています。
コンソールで ストレージ → ストレージ ターゲットを追加 を開きます。最初のコピーには、バックアップと復元がフルスピードで動くようローカル ネットワーク上のストレージを選びます。ファイル サーバーや NAS の SMB 共有、または SFTP で接続する Linux サーバーや NAS（ホスト キーは固定されます）です。ターゲットにはバックアップ フォルダーにだけ書き込める専用アカウントを使い、バックアップ ストレージは Windows ドメインに参加させないでください。
保存するとコンソールがすぐにターゲットをテストするため、パスワード、ホスト キー、共有の誤りは最初のバックアップではなくその場でわかります。ストレージ一覧の 接続をテスト でテストを繰り返せます。
BackupZit には、期間が終わるまでバックアップを削除も上書きもできないストレージが 2 種類あります。オフサイトにも置けば、1 つのターゲットで両方の条件を満たせます。
mc mb --with-lock です。mc ilm rule add --noncurrent-expire-days 1 --expire-delete-marker）。ロックされたバックアップを削除しても削除マーカーが付くだけで、ロックの期限が切れるとこのルールが領域を解放します。するとエージェントが書き込むすべてのファイルが、その期間に 1 日を加えた間 コンプライアンス モードでロックされます。キーを持つ攻撃者もバケットの所有者も、それまでは削除や上書きができません。新しいバックアップが古いバックアップから再利用するデータはロックが延長されるため、どの復元ポイントも期間全体にわたって保護されます。変更不可のストレージでは、接続テストはサインインと一覧取得だけを行い、バケットに本当に Object Lock があるかも確認します。
Azure と Google Cloud：Azure Blob Storage では、Azure 側でコンテナーに時間ベースの保持ポリシー付きのバージョン レベルの不変性を有効にします。Google Cloud Storage は S3 ターゲットとして使えますが、Object Lock オプションはありません。代わりに Google Cloud でバケットの保持ポリシーを設定（してロック）してください。
専用の Linux サーバーで backupzit-repo を動かします（deb と rpm のパッケージは各 GitHub リリースに添付されています）。
apt install ./backupzit-repo_*.deb # または: dnf install ./backupzit-repo-*.rpm
vi /etc/backupzit-repo/repo.env # BACKUPZIT_REPO_LOCK_DAYS=30
systemctl start backupzit-repo
backupzit-repo add-key office-console # アクセス キーを一度だけ表示
backupzit-repo fingerprint # 証明書のフィンガープリントコンソールで種類 強化リポジトリ（Linux 上の backupzit-repo、変更不可） のターゲットを追加し、サーバーのアドレス（既定のポートは 8500）、アクセス キー、フィンガープリントを入力します。
chattr +i）が付きます。root でも、先に属性を外さない限り削除できません。設定が終わったら、そのサーバーの SSH やその他のリモート アクセスを無効にし、ローカル コンソール、iDRAC/iLO、ハイパーバイザーからのアクセスを保護してください。保護の強さはそのマシンの root アカウント次第です。
バックアップを暗号化（AES-256） はオンのままにします（既定）。ファイルの内容、名前、フォルダー構造、スナップショット一覧はエージェントを出る前に AES-256-GCM で暗号化され、データへの変更はすべて検出されます。変更不可は削除を防ぎ、暗号化は読み取りを防ぎます。両方が必要です。
暗号化した各ターゲットについて、コンソールは リカバリーキー を表示し、リカバリー シートを提供します。オフラインで、バックアップとは別の場所に保管してください。キー、ストレージの場所、その認証情報があればコンソールなしでも復元できます。キーがなければ、BackupZit のサポートを含め誰もバックアップを読めません。
バックアップ ジョブ で、ステップ 1 のプライマリ ストレージを使うジョブを作成します。バックアップの保持 で、最新 N 個に加えて日次・週次・月次の復元ポイントを設定します。たとえば最新 3、日次 7、週次 4、月次 6 なら、約 20 の復元ポイントで半年ほどの履歴が残ります。重複排除により、変更のないデータは一度しか保存されません。
目標復旧時点（RPO）、時間 は、最新の正常なバックアップがどこまで古くなってよいかを決めます（日次ジョブなら 26 など）。これを満たさないジョブはダッシュボードに表示されて通知されるため、何日もオフラインのエージェントや誤って削除されたスケジュールにも気付けます。
2 つ目のジョブを作成して バックアップ コピー を選びます。次のジョブのバックアップをコピー でステップ 4 のジョブを選び、ストレージ先 にはステップ 2 の変更不可またはオフサイトのターゲットを指定します。
ファイルと VM（Proxmox VE、Hyper-V、VMware）のバックアップは、オリジナルと同じようにコピーから復元できます。ディスク イメージのコピーはコマンドライン エージェントで復元します。今すぐコピー ですぐにコピーを開始できます。
小規模オフィス向けのオフライン コピー：ターゲットの種類 ローテーションする USB / リムーバブルディスク（オフラインコピー） は、ボリューム ラベル（BZBACKUP1、BZBACKUP2 …）でディスクを見つけます。コピー ジョブをこのターゲットに向け、ディスクを定期的に（たとえば毎週）交換し、取り外したディスクは安全な場所に保管してください。ディスクが 1 台も接続されていないと、実行はアラート付きで失敗します。
バックアップは復元して初めて実証されます。設定 → 復元テスト で次を設定します。
ジョブのページの 復元をテスト と データを確認 で、すぐに実行できます。結果は アクティビティ と レポート に表示され、失敗したテストは他の失敗と同じくアラートを送ります。
何週間も失敗し続けているオフサイト コピーは、コピーとは言えません。設定 → メール通知 を設定し（テストメールを送信 で確認）、失敗 をオンのままにします。失敗した実行ごとに理由付きのメールが届きます（バックアップ、コピー、復元、復元テスト）。必要なら日次レポートも送れます。設定 → チャットと Webhook は同じ内容を Slack、Microsoft Teams、任意の HTTP エンドポイントに送ります。ダッシュボードの 要対応 には、失敗したジョブ、守られなかったスケジュールと RPO、オフラインのエージェント、90 % まで埋まったか 30 日以内に満杯になるストレージが表示されます。
さらに、各バックアップはそのジョブの最近の履歴と比較されます。普段よりはるかに多くのファイルが変更された、新しいデータが圧縮できなくなった（暗号化されたファイルはランダムに見える）、ファイル数が 3 分の 1 以上急減した、新しいデータ量が急増した、といった場合に不審としてマークされます。BackupZit はアラートを送り、確認が必要な不審なバックアップ に表示し、ジョブの保持を一時停止します（保持は一時停止中です）。そのため、損傷したバックアップが届き続けても、最後の正常なバックアップは削除されません。マシンを確認したら 確認済み — 保持を再開 をクリックします。
変更不可のストレージが守るのはバックアップです。何をバックアップし何を残すかを決めるのは引き続きコンソールです。設定 → サインインとセキュリティ で管理者に 2 要素認証を必須にし、4 つの目による承認 をオンにします。するとジョブやストレージ ターゲットの削除、保持の短縮、不審なバックアップ後の保持の再開、承認機能の無効化には 2 人目のユーザーが必要になります。コンソールは内部ネットワークに置き、ポート 8443 をインターネットに公開せず、リモート管理には VPN を使ってください。設定 → コンソールのバックアップ を使えば、コンソール自身も毎日ネットワーク ストレージ ターゲットにバックアップされます。
バックアップが削除または上書きされた場合は、攻撃前の状態のストレージを読み取ります。読み取り専用で、Object Lock 付きの S3 と強化リポジトリで使えます。
backupzit-agent snapshots --repo <リポジトリ> --as-of 2026-10-01T14:30
backupzit-agent restore --repo <リポジトリ> --as-of 2026-10-01T14:30 --target D:\Restore latest強化リポジトリでは、管理者が隠されたファイルを元に戻し、バックアップを通常どおり続けることもできます。
backupzit-repo status
backupzit-repo undelete --since 2026-10-01T14:00BackupZit をダウンロードして、ランサムウェア対策とすべてのストレージ ターゲットを確認するか、コンソール内蔵のガイドでストレージ ターゲットとランサムウェア対策の章をお読みください。BackupZit 自体の開発とリリースの方法はセキュリティのページにあります。ジョブの設定は Proxmox VE、Hyper-V、Microsoft 365、Windows のベアメタル復元の各ガイドで説明しています。ご質問は GitHub Discussions へどうぞ。企業向けには MaxZit が有償サポートを提供しています（英語のみ）。