攻撃後に顧客データを失ったAWS中東データセンター、地域レジリエンスモデルに亀裂
AWSは、損傷した2つの拠点にのみ保存されていたデータは復旧できないと顧客に通知した。イランによる攻撃が同社インフラを直撃してから6カ月以上が経過している。この説明により、AWS中東データセンターの危機は長期障害から恒久的なデータ消失事案へと変わった。
影響を受けたインフラには、中東（バーレーン）リージョン全体と、UAEリージョン内の1つのアベイラビリティーゾーンが含まれる。Amazon Web Servicesはこれまで、アクセス可能なリソースを移行し、利用不能なワークロードはリモートバックアップから復元するよう顧客に促していた。
AWSは現在、インフラが利用不能になる前に移行されなかったリソースについて、復旧手段を尽くしたとしている。移行支援は提供しているものの、影響を受けたバーレーンリージョンまたはUAEゾーンの復旧時期は示していない。
この方針転換が重要なのは、クラウドリージョンが物理的な分離と冗長性を前提に販売されているためだ。顧客は依然としてアプリケーションアーキテクチャを管理する一方、その下層にある建物、電力設備、ネットワーク、ストレージハードウェアはプロバイダーが運用している。
この責任分担は、同じ地理的戦域にある複数の拠点が協調的な物理攻撃によって機能不全に陥るまでは機能していた。今回の攻撃は、従来の可用性計画が想定していなかったリスク、すなわち商用クラウドインフラを標的とする持続的な軍事作戦を浮き彫りにした。
銀行、決済サービス、政府機関、ソフトウェア企業にとって、実務上の教訓は厳しい。同一リージョン内の複数アベイラビリティーゾーンは、そのリージョン外にある独立した復旧環境と同じではない。
AWS中東データセンター、機能不全から復旧不能へ
AWSは、影響を受けたすべてのリソースを遅延中または一時的にアクセス不能なものとして説明する段階を終えた。現在、一部の顧客データは復旧不能と見なされている。
地域報道と同社のサービス健全性通知によると、AWSは9月15日に最新の評価を公表した。エンジニアは、他の場所に複製されていなかったリソースの復旧を試みる中で、損傷した施設を調査していた。
同社は、バーレーンリージョンにのみホストされていたリソースとデータへのアクセスを復元できなかったとした。UAEの影響を受けたmec1-az2アベイラビリティーゾーン内に限定されていたリソースについても、同じ結論に至った。
アベイラビリティーゾーンは、AWSリージョン内で分離されたインフラ拠点である。アプリケーションは複数のゾーンにワークロードを分散し、単一施設への依存を減らせる。
AWSリージョンには通常、少なくとも3つのゾーンが含まれる。各ゾーンは意味のある物理的距離で隔てられている一方、低遅延接続を支えられる程度には近接している。
この構造は、機器障害、停電、局所的な災害を含む多くの障害から保護する。しかし、複数の施設が協調攻撃や長期的な地域混乱に直面した場合の存続を保証するものではない。
最初の攻撃は3月1日に発生した。AWSによると、UAEの2施設が直接攻撃を受け、近隣で起きたドローン攻撃がバーレーンのインフラにも物理的な影響を及ぼした。
攻撃は構造的な損害を引き起こし、電力供給を中断させた。同社の更新情報によれば、消火活動により一部施設では水害も発生した。
UAEリージョンの3つのアベイラビリティーゾーンのうち2つが深刻な機能不全に陥った。バーレーンでは当初1施設が影響を受けたが、その後の攻撃と地域情勢の不安定化が混乱を増幅させた。
障害は、EC2コンピューティング、S3ストレージ、Lambdaサーバーレス機能、DynamoDBデータベース、AWS Management Consoleを含む中核サービスに及んだ。複数の銀行と消費者向けプラットフォームがサービス障害を報告した。
AWSは当初、物理的な損害により復旧は段階的に進むと説明していた。また、災害復旧計画を発動し、影響地域からワークロードを移行するよう顧客に助言した。
最新の結論は、破壊またはアクセス不能となったインフラ上にのみ存在していたデータの復旧可能性を閉ざすものだ。AWS Supportは引き続き、代替リージョンへの移行を顧客に案内している。
サービスの復旧とデータの復旧を区別することは極めて重要である。AWSは最終的に建物を修理・交換できる可能性があるが、生き残ったコピーが存在しない顧客情報を再構築することはできない。
この結果は、6カ月という期間に異なる意味を与える。遅延は単に修理期間が長引いたということではない。ストレージメディアとインフラを回復できるかをめぐる長期的な調査でもあった。
AWSは、その調査により利用可能な選択肢をすべて尽くしたとしている。したがって、同社の地域復旧通知は、影響を受けたリソースに関する最終的な技術判断を示すものであり、暫定的な障害見通しの更新ではない。
当初の報道では、AWSが顧客をより安全な別のインフラへ誘導していると説明されていた。より強く確認された結論は、事業再開を望む影響顧客にとって移行が必須になったということだ。
一部のUAEワークロードは引き続き稼働しており、UAEリージョン全体が恒久的に失われたと宣言されたわけではない。しかしAWSは、損傷した地域インフラ全体で通常の顧客アプリケーションを安定して支援できる状況にはない。
バーレーンの状況はさらに深刻だ。そこにのみホストされていたリソースは、もはや復旧を待つ段階にはない。顧客は、存在する場合に限り、別の場所に保管されたコピーから再構築しなければならない。
協調攻撃の前に地域冗長性が機能しなかった理由
AWSは通常のインフラ障害を隔離するためにアベイラビリティーゾーンを設計したが、今回の攻撃はその隔離境界をまたぐ脅威を生み出した。
クラウドアーキテクチャでは通常、障害を管理可能な単位に分ける。サーバーが故障してもラック全体が停止するとは限らず、ラックが故障しても施設全体が無効になるとは限らない。
アベイラビリティーゾーンは、この考え方を複数施設に拡張するものだ。電力、冷却、ネットワークの各システムを分離し、1つの運用上の問題がアプリケーションのすべてのコピーに及ぶ可能性を減らしている。
しかし、同じリージョン内のゾーンは地理的につながっている。AWSによれば、顧客がゾーン間で高速かつプライベートなネットワーキングを必要とするため、ゾーン同士は一般に100キロメートル以内に配置されている。
この近接性は性能上の利点を生む。一方で、複数のゾーンが同じ紛争、空域、公益設備、政治危機にさらされ続ける可能性も意味する。
3月の攻撃は、その境界を示した。同じ作戦の間にUAEの3ゾーンのうち2つが機能不全に陥り、バーレーンの地域インフラも損害を受けた。
これは、ソフトウェア導入、設定ミス、ネットワーク部品の不具合といった一般的な障害パターンではなかった。物理的な破壊に続き、継続する安全保障上のリスクと制約された復旧条件が発生した。
AWSは、修理作業が進む中でも、より広範な運用環境は予測不能なままだと認めた。この不確実性は、人員の立ち入り、交換機器、電力復旧、建設スケジュールに影響しうる。
緊急対応要員には、クラウドハードウェアの復旧以外にも優先すべき事項がある。火災、構造の不安定性、不発兵器によって、技術的な修理が安全保障作戦へと変わることがある。
業界ではアベイラビリティーゾーンを物理的に分離されていると説明することが多い。顧客がその表現を、施設単位の災害に対する保護だと合理的に解釈することもある。
このアーキテクチャが意図どおりに機能したのは、生き残ったインフラにワークロードが分散されていた場合に限られる。アクセス不能なゾーン内にのみ保存されたリソースを保全することはできなかった。
AWSは、同社が基盤となるクラウドを保護し、顧客はその上で運用するものを保護・設定するという責任共有モデルを文書化している。災害復旧はその境界をまたぐ領域にある。
Amazonは物理的なデータセンターと地域サービスを運用する。データベース、バックアップ、アプリケーションイメージ、暗号化キー、ID依存関係を他リージョンへ複製するかどうかは、顧客が決める。
今回の攻撃は、この責任分担を消し去ったわけではない。地域障害が数時間ではなく数カ月に及ぶとき、その帰結がどれほど高くつくかを示した。
企業は、アプリケーションを3つのゾーンにまたがって運用し、高可用性を備えていると合理的に考えるかもしれない。それでも、永続データがすべて1つのリージョン内に残っていれば、地理的な復旧能力は欠けている。
クロスリージョンレプリケーションは、別の地理的リージョンに利用可能なコピーを維持することで、このリスクに対処する。ただし、遅延、ネットワーク料金、運用上の複雑さ、規制上のリスクを増加させる可能性がある。
こうしたトレードオフは、組織がデータをローカルに保持することがある理由を説明する。金融機関や公的機関は、顧客情報をどこへ移転できるかを制限するデータ所在地規則に直面する場合がある。
低遅延は、決済、取引、通信、対話型サービスにとっても重要だ。遠隔地の復旧リージョンは可用性を維持できる一方で、アプリケーション性能を低下させる可能性がある。
攻撃以前は、一部の組織にとってこうしたコストはマルチリージョン展開を先送りする理由になりえた。恒久的なデータ消失は、その計算を変える。
最初の攻撃評価では、損害は世界規模ではなく局所的な混乱を引き起こしたと指摘されている。この限定的な被害範囲は、グローバルなAWSネットワークにとっては好材料だった。
しかし、リソースの唯一のコピーが損傷した範囲内にあった顧客にとっては、ほとんど慰めにならなかった。グローバルなクラウド規模が、アプリケーションのグローバルなレジリエンスを自動的に生み出すわけではない。
顧客がその利点を得られるのは、プライマリーリージョンの外にレプリカ、バックアップ、認証情報、ネットワークルート、復旧手順を設定した後だけだ。プロバイダーがそれらのコピーを遡及的に推測または作成することはできない。
核心的な逆転はクラウドレジリエンスと地理的集中の間にある
クラウドはサーバーを顧客のオフィスから取り除いたが、そのサーバーを地理、政治、戦争から切り離したわけではない。
AWS中東データセンターは、湾岸地域全体で低遅延コンピューティングとローカルデータストレージへのアクセスを拡大した。こうした利点は、重要なワークロードを地域のユーザーに近い場所に置くことを組織に促した。
今回の攻撃は、影響を受けた顧客にとってその価値提案を覆した。かつてコンプライアンスと性能の利点だった地域性は、共通の集中リスクとなった。
これは、クラウドコンピューティングが本質的にプライベートインフラよりレジリエンスに劣ることを意味しない。個々の企業であれば、ハイパースケールプロバイダーより保護された施設を運用したり、損傷したハードウェアをより迅速に復旧したりできる企業はほとんどない。
問題は、インフラ規模とワークロード分散を混同することにある。AWSは数百の施設を運用できても、各顧客のデータをその間で自動的に分散するわけではない。
データベースをどこで動かすかは顧客が選ぶ。バックアップをリージョン外へ出すか、アプリケーションを別の場所で起動できるようにするかも顧客が決める。
これにより、約束と現実の間に厄介な対立が生じる。クラウドは冗長化されたインフラへのアクセスを簡素化するが、それを安全に利用するアーキテクチャは依然として顧客自身が構築しなければならない。
マルチゾーン展開は重要な種類の問題を解決する。しかし、脅威が近接する複数の施設に及びうる場合、マルチリージョン復旧の代替にはならない。
この区別は3月以前から理解されていたが、しばしば理論上のものに見えていた。クラウド障害は通常、エンジニアがソフトウェア、ルーティング、電力、冷却の問題を修正すると終息していた。
物理的な破壊は復旧の上限を変える。損傷したストレージ機器は、エンジニアがどれだけ長く調査しても、二度と戻らない可能性がある。
AWSのインシデントは、バックアップにも独自の障害境界が必要である理由を示している。同じ被害地域に保管されたバックアップは、本番ワークロードとともに失われる可能性がある。
有用な復旧用コピーは、被害を受けた地域に依存せずアクセスできなければならない。また、検証済みの認証情報、暗号鍵、ネットワーク構成、アプリケーションの依存関係も必要となる。
データベースのコピーだけでは、サービスを復旧できない場合がある。チームにはインフラ定義、コンテナイメージ、ソフトウェアパッケージ、ドメイン制御、監視システムも必要だ。
迅速に復旧できた組織は、おそらく攻撃前にこうした要素を準備していた。ローカルレプリカしか持たないチームは、技術的な冗長性と地理的なレジリエンスが別のものだと認識することになった。
6か月後のアップデートは、この隔たりを物語の中心に据えている。AWSは、アクセス不能となった拠点について、短期的な通常運用への復帰を提示していない。
その代わりに、顧客が稼働中のリージョンへ移行する支援を行っている。欧州、米国、アジア太平洋地域は、以前のガイダンスで代替先として挙げられていた。
どの選択肢にも新たな制約が伴う。欧州リージョンは北米拠点より低遅延を提供できる可能性があるが、法規制や業界固有のルールは依然として確認が必要だ。
アプリケーションの移行は、ネットワーク経路、障害依存関係、運用手順も変化させる。顧客は、アイデンティティー、セキュリティー、可観測性のシステムが復旧環境から機能することを確認しなければならない。
また、移転が一時的なものかどうかも判断する必要がある。湾岸地域で再建すれば低遅延やデータ主権の利点を取り戻せるが、同じ地政学的リスクを再び抱え込むことになる。
このため、この出来事は単なる災害復旧の教訓にとどまらない。修復されたクラウドリージョンが自然に以前の戦略的価値を取り戻すという前提を問い直している。
顧客は現在、そのインフラが意図的に標的にされたことを知っている。AWSが再建できるかだけでなく、攻撃者が再び攻撃できるかも判断しなければならない。
イランの国営メディアおよび軍と関係する情報源は、紛争中に技術インフラを標的の一部として位置付けた。AWSは、特定施設の軍事的な標的化理由に関する主張を確認していない。
商用データセンターには、互いに無関係な数千の顧客が存在し得る。これらを軍事関連の標的として扱うことは、紛争リスクを銀行、小売企業、物流会社、ソフトウェア提供企業、一般ユーザーへ転嫁することになる。
AWSの競合各社も、同じ根本的なリスクに直面している。Microsoft、Google、Oracle、地域事業者はいずれも、特定可能な施設、電力接続、光ファイバールート、冷却システムに依存している。
同じ地理的脅威圏内でプロバイダーを切り替えても、問題が自動的に解決するわけではない。競合クラウドのリージョンはベンダー依存を軽減できる一方、類似した軍事リスクには引き続きさらされる可能性がある。
より強力な選択肢は、地理的に独立した復旧体制だ。別のAWSリージョン、異なるクラウドプロバイダー、プライベートインフラ、あるいはその3つを組み合わせる方法が考えられる。
適切な設計は、規制上の制約と事業上許容できるリスクに左右される。このインシデントは万能の移転先を示してはいないが、単一リージョンへの依存を正当化しにくくしている。
地下施設で対処できるリスクは一部にすぎない
データセンターを地下に設置すればドローンへの露出を抑えられる可能性があるが、堅牢化された建物でもクラウドリージョンを取り巻くすべての依存関係は解決できない。
AWSへの攻撃は、湾岸地域における堅牢化・地下型データセンターの議論を再燃させた。地下建設は物理的な遮蔽を提供できるほか、冷却面での利点も見込める。
しかし、このアプローチは被害を受けたインフラを迅速に置き換えるものではない。掘削、構造補強、換気、排水、防火、セキュアなアクセスには、高度なエンジニアリング要件が伴う。
データセンターは膨大な電力も消費する。地下のコンピューティングホールも、発電、変電所、燃料、送電線、非常用電源に依存し続ける。
攻撃者は、供給電力を妨害できれば、すべてのサーバールームに侵入する必要はない。冗長電源は役立つが、地域紛争は複数の電源系統を同時に脅かす可能性がある。
接続性も別の制約となる。クラウド施設は、地上の光ファイバー、通信事業者間接続、海底ケーブルルートに依存しており、それらすべてを堅牢化構造の内部に収めることはできない。
冷却システムにも外部設備とエネルギーが必要だ。地下配置は周囲環境の影響を和らげられるが、高密度コンピューティングは依然として施設外へ排出すべき熱を発生させる。
出入口、換気シャフト、搬入エリア、ネットワーク経路は、引き続き潜在的な弱点となる。堅牢な建物は攻撃面を変えるが、サービスを無敵にするわけではない。
UAEは、建設コストと実用可能な容量も比較検討しなければならない。クラウドプロバイダーには、特に人工知能ワークロードの需要拡大に対応できる、大規模で拡張可能なキャンパスが必要となる。
バンカー型の施設は、選定された重要システムには適している可能性がある。しかし、ハイパースケールの容量を地下で再現するには、はるかに大規模な建設・インフラ計画が必要だ。
したがって戦略的な問いは、地下データセンターが有用かどうかではない。どのワークロードが追加保護を正当化し、どの依存関係に個別の防御が必要かである。
湾岸地域のクラウドへの期待は消えていない。政府とテクノロジー企業は今も、AI、デジタルサービス、経済多様化にとって地域のコンピューティング能力が重要だと見ている。
しかし、リスクモデルは変わった。新規プロジェクトでは、熱、水の利用可能性、機器障害、偶発的な停止だけでなく、意図的な攻撃も考慮しなければならない。
地域政策分析は、地下立地をすでに検討されている選択肢の一つとして挙げた。また、イランからより離れた場所が魅力的になり得るとも指摘している。
距離は一部の兵器や戦略的圧力への露出を減らせる。しかし、ミサイル、ドローン、代理勢力、インフラ破壊工作を伴うより広範な紛争において、安全を保証することはできない。
能動的な防空体制も別の層を提供するが、その場合、商用施設は軍事的保護に依存することになる。この関係は、民間インフラと戦略インフラの境界をさらに曖昧にする可能性がある。
保険会社と顧客も同様の疑問を抱くだろう。プロバイダーはサイトを堅牢化できても、購入者にはサービス全体が周辺で起きる障害を乗り越えられる証拠が必要だ。
その証拠には、電力の多様性、ネットワークの多様性、修理アクセス、リージョン間レプリケーション、現実的な復旧テストが含まれるべきだ。アーキテクチャ図だけでは、有事のレジリエンスを証明できない。
懐疑的な見方では、地下建設は運用上の集中を解消せず、目立つ象徴になるだけかもしれない。外部のライフラインが一点に集中していれば、堅牢化されたサーバーも脆弱なままだ。
失われた地域容量を再建するAWSの公開タイムラインも存在しない。同社は、代替施設で地下設計や大幅に強化された設計を採用するかについて詳細を明らかにしていない。
この情報不足は、AWSに計画がないことを意味しない。新施設や防御措置の詳細な公開は、セキュリティー上の懸念から考えにくい。
したがって顧客は、インフラのロードマップが明確になる前に判断を迫られる。AWSが専用リソースを復元できないとしている以上、修復されたBahrainリージョンを待つことは復旧戦略ではない。
最も安全な当面の前提は、アクセス不能なデータは引き続きアクセス不能だということである。将来の施設は、失われたリソースへの復帰手段ではなく、新たな容量として評価すべきだ。
AWSが信頼を再構築できるかを示す3つのシグナル
次の試練は建設発表ではない。AWSが復旧可能な容量、信頼できる保護、そして顧客が戻る理由を提供できるかどうかだ。
最初のシグナルは、具体的な地域復旧計画である。顧客は、AWSがBahrainを再開するのか、損傷したUAEの容量を置き換えるのか、あるいは湾岸地域での拠点配置を再設計するのかを知る必要がある。
有用な計画は、利用可能なサービスの復旧と失われたインフラの置き換えを区別するだろう。また、どのサービスが先に復帰するか、地域依存関係がどう変化したかも説明するはずだ。
AWSが信頼できるスケジュールを公表すれば、再建が評価段階を超えたことを示すことになる。沈黙が続けば、移行こそが唯一信頼できる運用前提だという認識を強めるだろう。
2つ目のシグナルは顧客の行動だ。銀行、決済企業、公共機関、大手ソフトウェアプラットフォームは、その展開先の選択を通じて信頼が戻るかを示す。
修復されたリージョンも、主要顧客が中核システムを別の場所に置き続ければ、商業的には弱体化したままになり得る。チームが高額な移行を完了した後は、戻ることに抵抗する可能性がある。
低遅延とデータ所在要件は、依然としてワークロードを湾岸地域へ引き寄せる可能性がある。しかし顧客は、復帰の条件としてリージョン間復旧を求める可能性が高い。
この変化はクラウド支出のパターンを変える。組織は、複製ストレージ、待機コンピューティング、より広域なネットワーク、より頻繁な復旧テストに費用を支払うことになる。
小規模企業は最も厳しいトレードオフに直面する。地域の低遅延の恩恵を受ける一方、高度なマルチリージョン運用に必要な人員や予算を持たない可能性がある。
クラウドプロバイダーは、より簡単なレプリケーションおよび復旧サービスにより、この負担を軽減できる。しかし、別の地域で独立した容量を維持するコストそのものをなくすことはできない。
3つ目のシグナルは、新しい湾岸地域の施設がどのように設計・規制されるかである。地下建設、堅牢化された電力システム、より広い地理的分散は、物理的セキュリティーがクラウド計画を左右するようになったことを示すだろう。
政府は、銀行および重要インフラ向けのレジリエンス要件を改定する可能性もある。そうした規則は、単一の国内クラウドリージョンの外部にバックアップや稼働可能な復旧環境を求める可能性がある。
こうした政策はレジリエンスを高める一方で、データ主権の目標との緊張を生む。規制当局は、可用性が厳格な地理的ローカライゼーションを上回るのはいつかを判断する必要がある。
競合各社もこの判断に影響を与える。Microsoft、Google、Oracle、地域事業者は、地理的復旧の選択肢や物理リスクに関する開示を通じて、提供内容を差別化できる。
業界は、AWSの被害を狭いベンダー比較に矮小化すべきではない。活発な紛争地帯に集中したインフラを持つプロバイダーは、いずれも関連するリスクに直面する。
マルチクラウド戦略は単一事業者への依存を減らせるが、両方のプロバイダーが同じ脅威圏に存在する場合には役に立たない。地理が依然として本質的な変数だ。
後続する攻撃の衛星証拠は、リスクが最初の3月のインシデントで終わらなかったことをすでに示している。その後のサイト被害は、当初の攻撃を孤立した事象として扱う根拠を弱めた。
この経緯は、顧客が将来の復旧発表をどう解釈するかを形作るべきだ。再開された施設は運用能力であり、周囲の脅威が消えた証拠ではない。
技術リーダーにとって当面の行動は、単一リージョン内にしか存在しないすべての依存関係を把握することだ。その棚卸しには、データ、鍵、アイデンティティーシステム、デプロイツール、ベンダー統合を含めるべきである。
次にチームは、障害が発生したリージョンの支援なしに、別の場所で再構築できるかをテストすべきだ。アクセス不能なインフラへのアクセスを必要とする復旧計画は、独立したものではない。
事業リーダーも、許容可能なデータ損失とダウンタイムを定義する必要がある。これらの目標によって、バックアップで十分か、継続的に稼働するセカンダリー環境が必要かが決まる。
AWS中東データセンター危機は、その影響をこれまでになく明確に示した。リージョン間の冗長性によって一部のサービスは維持されたが、破壊されたインフラ内にしか存在しなかった情報を復旧することはできなかった。
今後3か月は、AWSの再建計画、顧客の移行判断、湾岸地域のインフラ政策がより厳しく注視されるだろう。これらの動向は、地域クラウドに対する信頼が回復できるかを示すことになる。
組織は、その結論を待ってから自社システムを検証すべきではない。最も重要なワークロードを、データと依存関係を保ったまま現在のリージョン外で再起動できるだろうか？
