従来のバックアップ手法を用いたADフォレストの復旧が、いざという場面で機能しない理由は大きく2つある。

　1つ目は、復旧プロセスの極端な複雑さだ。ADフォレストを完全に復旧させるためには、ドメイン（デバイスやエンドユーザーの管理範囲）ごとに、以下の手順を正確に踏む必要がある。

1. 適切なドメインコントローラーのバックアップを探し出す
2. 新しいマシンにADをインストールする
3. データをリストアする
4. ドメインコントローラーを隔離されたネットワークに置く
5. 設定を再構成する
6. マシンを再起動する

　これらは単なるファイルの復元とは次元が異なり、専用のツールなしに手動で実行することは極めて困難だ。この複雑さ故に、大半の企業は隔離されたシステム構成での完全なフォレスト復旧テストを実施できておらず、本番環境での復旧は「完全復旧か全停止か」のぶっつけ本番となってしまう。その結果、欠落したドメインコントローラーやDNS（名前解決システム）の障害、レプリケーションの切断といったインフラの不整合によって、復旧プロセスが連鎖的に崩壊する。

　2つ目は、バックアップデータを通じたマルウェアの再感染リスクだ。従来のバックアップはOSやハードウェアの依存関係を含んでいるため、システム全体をリストアすると、そこに潜んでいたマルウェアも同時に復元されてしまう。攻撃者はランサムウェアを展開する過程で、永続的なアクセスを維持するために、「SIDHistory」「AdminSDHolder」といったADの属性値を悪用してバックドアを仕込んだり、ドメインコントローラーを偽造する「DCShadow」攻撃やゴールデンチケット（あらゆるアクセスを可能にする偽造の特権チケット）などを駆使する。これらの脅威は従来のリカバリー手法では排除できず、管理者が多大な労力をかけて復旧した直後に、再び攻撃者にシステム全体を乗っ取られる事態を引き起こす。

　こうした課題を解決する手段として、年次カンファレンス「Microsoft Ignite 2025」のセッション「Active directory disaster recovery: What works, what fails」において解説されたのが、ソフトウェアベンダーCayosoftが提供するリカバリー方法だ。このアプローチは、オンプレミスシステム内のADデータをパブリッククラウドに複製し、そこで隔離された安全な予備システム「スタンバイフォレスト」を構築、待機させておくものだ。

　この手法の利点は、OSやハードウェアの依存関係を完全に切り離せる点にある。マルウェアが存在しない、クリーンでパッチ（修正プログラム）適用済みの、パブリッククラウド内の仮想マシンテンプレートに、ADの復旧に必要不可欠なコンポーネントのみを抽出してリストアする。これによって、脆弱（ぜいじゃく）なデバイスドライバやOSに潜む脅威を排除し、ランサムウェアやルートキット（侵入後にデバイスを遠隔操作するためのツール群）が再びシステムに侵入するリスクを根本から断ち切ることができる。

　スタンバイフォレストは複雑な復旧プロセスの自動化と定期的な整合性テストを可能にする。スケジュールに基づいて、パブリッククラウドに自動でクリーンなADフォレストが再構築され、オブジェクトの整合性や機能の検証が実行される。復旧のプロセスには、単なるデータのリストアだけでなく、「krbtgt」アカウント（ADの認証チケットを発行する中核アカウント）のパスワードリセットによるゴールデンチケットの無効化や、古いドメインコントローラー資格情報のブロックといった、再感染を防ぐための高度なセキュリティ措置が組み込まれる。

　重要なのは、テストが完了したスタンバイフォレストはパワーオフ状態にして保持されることだ。これによって、ネットワークから物理的かつ論理的に隔離され、本番環境でランサムウェアの感染が拡大した場合でも、スタンバイフォレストのデータが暗号化されるのを防ぐことができる。同時に、パブリッククラウドのコンピューティングリソースを常時稼働させないため、運用費用の大幅な節約にもつながる。

　実際に大規模な障害が発生した際は、パワーオフ状態のドメインコントローラーを起動させ、基本的なネットワーク設定を変更するだけでよい。企業全体の認証システムを安全なスタンバイフォレストへと即座に切り替えることが可能になる。

　サイバー攻撃が高度化し、事業継続においてADがますます重要になる中、単なるデータのバックアップだけでは企業を守り切ることはできない。OSから切り離された、パブリッククラウド内クリーンな仮想マシンを活用し、常に検証済みのスタンバイフォレストを確保するプローチは、万が一の事態において確実かつ迅速にビジネスを再開するための強力な手段になる。

本稿は、Microsoftが2025年11月20日に公開した動画「Active directory disaster recovery: What works what fails | ODSP1472」を基に作成しました。