清水理史の「イニシャルB」【特別編】
まるでNAS!? だけどランサムウェア対策が詰め込まれたSynology ActiveProtectの使い方を詳しく解説
管理者でも変更できないイミューダブル設定でハッカーからの攻撃を防ぐ！
- 提供：
- Synology Japan株式会社
2026年11月9日 06:00
Synologyのバックアップ専用アプライアンスActiveProtectシリーズ向けの最新OS「ActiveProtect Manager 2.0（APM 2.0）」がリリースされた。
最大の特長は、対応プラットフォームが大幅に拡大されたことだ。これにより、Proxmox VEなどの対応する仮想マシンプラットフォームが増え、さらにAWSなどのクラウドプラットフォームへの復元も可能になった。
将来的（APM 2.1）には「AI」活用による大量削除などの異常検知、復元前マルウェア検知なども実装予定だが、今回のAPM 2.0で多様化するプラットフォームへの対応という地盤を固めた印象がある。
実際にクロスプラットフォーム環境でのバックアップと復元を試してみた。
「手間がかからない」「操作に迷わない」「まぎれがない」
SynologyのActiveProtectデータ保護アプライアンスシリーズは、使えば使うほど「用途特化型」の合理性を感じられる製品だ。
Synologyと言えば、ファイル共有や各種アプリを利用できる汎用的なNASを思い浮かべる読者が多いかもしれないが、ActiveProtectシリーズはバックアップ専用に設計されたアプライアンスだ。ファイルサーバー、物理マシン、仮想マシン、データベース、クラウドサービス（Microsoft 365/Google Workspace）のバックアップと復元に特化した製品となっており、非常にシンプルなハードウェア構成と操作方法を提供している。
HDDを装着し、ネットワークに接続、電源をオンにして、最低限の初期設定をすれば、すぐに使える状態になり、ファイルサーバーや仮想マシンのバックアップを数クリックで開始できる。
管理者にとってみれば、「手間がかからない」「操作に迷わない」「まぎれがない（例外が発生しにくい）」というのは、心身ともに非常にありがたいことで、特に最後の「まぎれがない」というのは、構成や設定などのちょっとした分岐による、「あれれ？」という想定外の調査や検証を避けられるという点において非常に重要だ。「やっぱり専用機っていいよね」と素直に思える製品になっている。
そのうえで、昨今被害が深刻化しているランサムウェア対策として「イミュータブル（書き込んだバックアップを管理者であっても変更削除できない不変バックアップ）」に設定することが可能となっており、「データ保護」という観点でも優秀な製品になっている。
これは、まあ、稟議を通しやすいというのもあるが、実際にランサムウェアの脅威を身近に感じながら、レガシィな運用を継続している管理者にしてみれば、とても大きな魅力になる。
Proxmox VEユーザー歓喜のAPM 2.0がリリース！
そんなSynology ActiveProtectシリーズに、最新版OSとなるAPM 2.0がリリースされた。
このAPM 2.xシリーズは、本製品を「データ保護」に深化させるメジャーバージョンアップだ。APM 2.1ではAIを活用した脅威対策も追加される予定だが、今回の「APM 2.0」では主に対応プラットフォームの拡大と基本セキュリティの強化が実施されている。
具体的には、対応する仮想マシンプラットフォームとして、従来の「VMware」「Hyper-V」に加えて、新たに「Proxmox VE（！）」「Nutanix AHV」「Amazon EC2」「Azure VM」が追加された。Proxmox VEは筆者も自宅で使っているが、自宅サーバー界隈では定番のプラットフォームだ。昨今は、いわゆるVMware問題（コスト増）による法人環境での注目度も高く、規模の大小を問わずエンタープライズ分野での実績を伸ばしている。
APM 2.0では、この6つのプラットフォームのバックアップに加えて、クロスプラットフォームでの復元に対応しており、例えばHyper-V環境の仮想マシンのバックアップをProxmox VEに復元するとか、Amazon EC2からActiveProtectにバックアップして、それをProxmoxなどの仮想マシンに復元するといったことも可能だ。
もともと、ActiveProtectは、アプライアンス本体に内蔵されたサンドボックス環境への仮想マシンの復元にも対応しており、本体にバックアップされたデータさえあれば、緊急で仮想マシンを起動してデータを取り出すことが可能だったが、その復元先として社内にある別のプラットフォームの仮想サーバーやクラウドプラットフォームも加わったことになる。
このほか複数の更新（詳細は以下を参照）があるが、要するに、APM 2.0なら「復元先に困らない」ということで、万が一、コストなどの技術的ではない面倒な理由で、組織で利用するプラットフォームが変化した場合でも、バックアップやリカバリの「機材」や「運用」を変えなくて済むということになる。「多様性を備えた専用機」と書くと、なんだか少し矛盾する気もするが、目的は明確で運用の柔軟性は高いというのが、APM 2.0を搭載したActiveProtectシリーズの印象だ。
▼Synology、対応プラットフォームの拡大とAI 駆動型セキュリティ強化を提供するActiveProtect Manager 2.0 をリリース（Syology プレスリリース）
DP340で検証！ Hyper-V→サンドボックス→Proxmox VEへのリストア
それでは、実際の使い方を見ていこう。今回は、デスクトップタイプの4ベイ製品となるDP340を利用し、Hyper-Vからの仮想マシンのバックアップ（もちろんイミュータブルで保護）し、いったんDP340の内部のサンドボックスにリカバリ、その後、サンドボックスの仮想マシンをProxmox VEにリストアする過程を画面で紹介する。
以下の動画でも紹介しているので、合わせて参考にしてほしい。
バックアップの設定
まずは、Hyper-V環境のバックアップから実行する。
ActiveProtectでは、仮想環境をエージェントレス、つまりホスト側に特別なソフトウェアをインストールことなく、必要なアカウントや最低限の設定のみでバックアップ可能となっている。
どのような仕組みでバックアップしているのか興味があったのだが、これはドキュメントに詳細に記述されている。
▼仮想マシンのバックアップ（Synology ナレッジセンター）
例えばHyper-Vの場合、完全にエージェントレスというわけでなく、一時的に利用するバックアップエージェントをWindows Serverの管理共有（c$）を利用してホストに展開し、WinRMを利用してActiveProtect側からPowerShellコマンドを駆使して仮想マシンのスナップショット作成やバックアップデータの転送といった操作を行う（このため後述する接続情報でWinRMのポート設定が必要）。
簡単に言えば、管理者が入力するコマンドをActiveProtectが代わりに入力してバックアップすると考えればいいだろう。というわけで、ホスト側の設定も含めて、どのような流れでバックアップするのかをダイジェストで紹介する。
STEP0 条件の確認
今回は、Windows Server 2025とProxmox VE 9.2.4がインストールされた2台のサーバー、そしてDP340を利用した。調達可能な機材の関係で、Windows Server 2025は2.5Gbpsのネットワーク、Proxmox VEは10Gbpsのネットワークで接続した状態となる。DP340は10Gbpsで接続している。
この状態で、Hyper-VとProxmox VEの両方の仮想マシンをDP340にバックアップし、Hyper-V上のWindows Server 2025の仮想マシンを一時的にDP340の組み込みサンドボックスに即時復元。その後、サンドボックスからProxmox VEへと移行するという流れを紹介する。
なお、バックアップやリストアには事前にホスト側の準備も必要になる。ActiveProtectは日本語のドキュメントが豊富で、以下のように注意点や要件などが詳しく解説されているので、このドキュメントを参考に必要な設定を済ませておくといいだろう。
▼ActiveProtect Manager に必要な Hyper-V サーバー上の Windows サービスはどれですか？（Synology ナレッジセンター）
▼ActiveProtect Manager に必要な Proxmox VE 権限は何ですか？（Synology ナレッジセンター）
STEP1 保護プランの作成
最初に仮想マシンをどのような設定でバックアップするかを定めた「保護プラン」を設定する。
この設定は、「プラン」の「保護プラン」から設定しておく必要がある。今回は、標準の「Daily Backup」を選択したが、Synology ActiveProtectシリーズの特長の1つでもあるイミュータブルバックアップを実行したい場合は、あらかじめイミュータブル用のプランを作成しておき、それを選択する必要がある。
また、面白い機能として「バックアップ検証」というものもあり、バックアップしたデータを組み込みサンドボックスで起動し、その様子を動画で確認することもできる。
STEP2 ハイパーバイザーの登録
続いて、バックアップ対象の仮想マシンプラットフォームを追加する。
まずは、Hyper-Vから登録する。管理画面の「インフラストラクチャ」-「hypervisor」からHyper-Vを選択し、Windows Server 2025の接続情報を登録する。このとき、DP340からWindows Server 2025を操作するためにWinRMのポートを設定しておく。HTTPSも選択できるが、今回はHTTPの5985を利用した。
完了したら同様にProxmox VEも登録しておく。Proxmox VEの場合は、ルートのアカウントを使ってSSH経由でバックアップを実行する。このための必要な情報を登録しておく。
STEP3 バックアップ対象の登録
続いて、「マシン」の「仮想マシン」に、バックアップ対象の仮想マシンを登録する。STEP2からの流れで登録することもできるので、そのまま続けると簡単だ。
登録方法としては、仮想マシンを個別に登録する方法と、対象のhypervisor（サーバー）を指定して配下の仮想マシンをまとめてバックアップする方法の2通りから選べる。
バックアップの実行と確認
バックアップを実行したら、その状況や結果を確認する。
STEP4 バックアップの実行
設定が完了したら、最初のバックアップをすぐに実行する。
STEP1の仮想マシンの一覧でも確認できるが、「アクティビティ」から現在実行されているタスクを確認できる。なお、実際の速度は構成やネットワーク環境に左右されるが、10Gbpsのネットワークを利用してProxmox VE上の30GBほどの仮想マシンをバックアップした場合は522MB/s（4176Mbps）で転送できた。非常に高速だ。
STEP5 バックアップデータの確認
バックアップがすべて完了したら、状況を確認しておこう。まずはダッシュボードを見るといい。ここでバックアップのワークロード（タスク）や合計サイズ、台数などを確認できる。
注目は「重複排除率」だ。ActiveProtectは、重複するデータを省略してバックアップ容量を減らすことができる。詳細はドキュメントを参照して欲しいが、データ自体がストレージに書き込まれる前に冗長なデータを削除するインライン重複排除技術を利用している。今回は、86%という値となったが、この値はバックアップ対象のデータによって変化する。
STEP6 イミュータブルのチェック
今回はSTEP01でイミュータブルのプランを作成したので、そのデータを削除できるかどうかを確認しておく。仮想マシンの一覧からバックアップされたマシンを選択し、「削除」を実行しようとすると、以下のように拒否される。これは管理者であっても不可能となっており、プランで設定した期間（標準は30日）が経過しないと削除できない。
昨今のランサムウェアは、データの暗号化よりも前に、バックアップを削除しようと試みるというレポートもあったが、こうした攻撃からバックアップを守ることができる。さらに、ActiveProtectでは、バックアップ時以外はネットワーク経由での接続をブロックする「エアギャップ」にも対応している。ランサムウェア対策として活用するといいだろう。
▼ランサムウェアは「暗号化より先にバックアップを消す」、OS標準機能の悪用が前月比7割増〜Halcyonがレポート（INTERNET Watch）
サンドボックスへの即時復元
続いて復元していこう。
STEP7 バックアップの復元
ActiveProtectでは以下のような複数の方式を選択できる。
- ファイルレベルのダウンロード
バックアップしたマシンのストレージをマウントし、ファイルを指定して取り出すことができる - 即時復元
ActiveProtectの組み込みサンドボックスに復元し、ActiveProtect上でバックアップしたマシンを稼働させる。もしくは、ActiveProtect上のバックアップデータを元のサーバーからiSCSIで接続して起動することができる。 - 完全復元
元のサーバー、もしくは新しいサーバー（別プラットフォーム含む）に復元する
今回は、この中から組み込みサンドボックスへの即時復元を試してみた。この方法は、元のサーバーが稼働できないが業務上止まったままにできないときなど、とにかくすぐに復元したいときに便利だ。とりあえず復旧させるという一時的な復元になる。
復元は、「復元ポータル」から実行できる。この画面は管理者だけでなく、あらかじめ許可した権限を持つユーザーもアクセス可能になっており、いわゆるセルフページとして自分のマシンの復元などにも利用できる。
異なるプラットフォームへの移行
この組み込みサンドボックスへの復元は便利だが、そのままDP340上で仮想マシンを動かし続けるのは、パフォーマンスや容量の問題がある。このため、サンドボックスから完全復元で新しいハードウェアに復元する必要がある。
STEP8 バックアップをProxmox VEに移行
今回は、せっかくなのでProxmox VE上に移行してみた。復元ポータルから「移行」を選択し、移行先を選ぶだけと簡単だ。
これにより、もともとHyper-Vで動作していたWindows Server 2025の仮想マシンが、組み込みサンドボックスを経由して、Proxmox VEへと移動するわけだ。もちろん、組み込みサンドボックス経由ではなく、直接Proxmox VEに復元することも可能だ。このあたりは以下のドキュメントを参照して欲しい。
APM 2.1も待ち遠しい
以上、APM 2.0を搭載したSynologyのActiveProtect DP340のバックアップと復元を紹介した。
なかなか凝った方法を解説したが、ご覧のとおり、基本的には画面上の指示に従って操作するだけと簡単だ。いくつか条件や設定が必要になるが、事前の復元計画として、これらの文書を読んでおけば、いざというときでも慌てることはないだろう。
ということで、「バックアップと復元」という基本的な仕様が強化され、より実践的な活用が可能になった今回のAPM 2.0だが、遠からずAPM 2.1へのバージョンアップも予定されている。
近日提供予定のAPM 2.1アップデートでは、AI/MLを活用した異常検出機能が追加予定で、各バックアップバージョンについて、変更率の変化、ファイルの変更、大量削除などを追跡し、不審なバックアップコピーを隔離領域に移動したり、管理者が調査したりできるようになっている。
また、Microsoft Defender、Bitdefender、ESETなどの統合されたサードパーティ製マルウェア対策ソフトウェアを使用して、復元前にバックアップのマルウェアスキャンを実行することも可能になる予定だ。最新のバックアップでマルウェアが検出された場合は、自動的に別のクリーンなバージョンで復元することができる。
こうなると、本製品の肩書きの通り、「データ保護アプライアンス」としての性格がかなり強くなってくる。
APM 2.0でバックアップ専用アプライアンスとしての基盤が固まったことで、今度は、バックアップしたデータ自体をより確実に守ろうという方向性に進化することになる。ランサムウェアの脅威が現実化する中、今後のActiveProtectシリーズの進化にさらに注目していきたいところだ。
Synologyでは、企業向けITソリューションを求めるビジネスユーザー、システムインテグレーター、ソリューションプロバイダー向けのリアルイベント「Synology Solution Day 2026」を開催する。
2026年11月13日14時～18時30分（13時開場）に東京ポートシティ竹芝1Fポートホールにて開催。AI時代において企業に求められるITインフラのあり方と、データレジリエンス強化に向けた考え方や実践について紹介するという。
参加申し込みは11月12日18時までで、定員に足し次第終了。申し込みは下記サイトから受け付けているので、興味のある方はぜひ足を運んでいただければ幸いだ。
本稿でも紹介しているSynology ActiveProtectと新しくなったAPM2.0の機能や魅力、そして使い方を清水理史が動画で紹介。文章だけでは伝わりづらい細かなセットアップ方法を動画でステップバイステップで分かりやすく解説します。
製品レビューなど幅広く執筆しているが、実際に大手企業でネットワーク管理者をしていたこともあり、Windowsのネットワーク全般が得意ジャンル。「できるWindows 11」ほか多数の著書がある。YouTube「清水理史の『イニシャルB』チャンネル」で動画も配信中