JP2022552891A - 脆弱性についてのバックアップの検査 - Google Patents

Abstract

複数の検査済みバックアップスナップショットが生成される。複数のバックアップスナップショットの中でバックアップスナップショットが選択される。選択されたバックアップスナップショットの少なくとも一部分の復元されたインスタンスを生成するよう、選択されたバックアップスナップショットの少なくとも一部分が一次環境に復元される。選択された１つ以上の脆弱性を識別するよう、バックアップスナップショットの少なくとも一部分の復元されたインスタンスの脆弱性検査が実行される。選択されたバックアップスナップショットの検査済み部分と関連して１つ以上の脆弱性のインジケーションを記憶することによって、選択されたバックアップスナップショットの検査済み部分の１つ以上の脆弱性が追跡される。【選択図】図２

Description

コンピュータシステムに対するセキュリティリスクを発見及び解決するために脆弱性検査が周期的に実行される。例えば、コンピュータシステムのアプリケーションにおける既知の弱点を識別するために、コンピュータシステムが検査される。コンピュータシステムのアプリケーションにおける弱点は、システムを攻撃に対して空いたままにし、またはシステムに記憶された情報を脅威にさらすことを許容する、あらゆる欠陥を含む。脆弱性は、例えば、バグ、弱いパスワード、データ暗号化がないこと、バッファオーバフロー、承認がないこと、破られたアルゴリズムの使用、パストラバーサル、アプリケーションの重大な機能に対する認証がないこと、及びセキュリティ決定における信用されていない入力への依存などを含む。それらのものなどの脆弱性は、システムにおいてデータが処理及び記憶されるときなど、コンピュータシステムの一般的な動作の間に導入されることがある。脆弱性はまた、アプリケーション、仮想マシン、及びデータベースなどを含む新たなワークロードがコンピュータシステム上で実行されるときに導入されることがある。ワークロードは、外部プロバイダからコンピュータシステムにロードされることがある。公に知られた情報セキュリティ脆弱性は、Ｎａｔｉｏｎａｌ Ｃｙｂｅｒｓｅｃｕｒｉｔｙ ＦＦＲＤＣによって維持される、共通脆弱性・露出（ＣＶＥ）システムにおいて追跡される。

脆弱性について検査されるコンピューティングシステムは、ライブ生産データを扱う一次システムであることがある。一次システム上で脆弱性検査を実行することは、システムリソースに負担をかけることがあり、一次システムが性能問題に直面することを生じさせることがある。これは、一次システムの管理者が脆弱性検査の頻度を低減させること、または一次システムの性能を低減させないよう脆弱性検査を実行しないで悪化させることを生じさせることがある。これは、一次システムが危険に晒される機会を増大させる。他のシステムは、一次システム上に脆弱性検査を実行するエージェントをインストールすることがある。しかしながら、エージェントは、一次システムと関連付けられたダウンタイムを結果としてもたらすことがある、１つ以上の更新パッチにより維持される必要があることがある。

アプリケーション及びコンピュータハードウェアがオンプレミスで管理される場合、オペレータは典型的には、いずれかの脆弱性を管理及びパッチする能力を有する。アプリケーション及び／またはコンピュータハードウェアが、例えば、ソフトウェアアズアサービス（ＳａａＳ）と同様にクラウド方式である場合、アプリケーションを利用する企業のオペレータは、コンピューティングインフラストラクチャ及びそのインフラストラクチャ上で稼働するアプリケーションの構成に対してあまり制御を有さない可能性が高い。ＳａａＳアプリケーションが更新されるとき、アプリケーションの前のバージョンに存在しなかった新たな脆弱性が導入されることがある。

以下の詳細な説明及び添付図面において発明の様々な実施形態が開示される。

いくつかの実施形態に従った、脆弱性検査を実行するシステムを例示するブロック図である。 いくつかの実施形態に従った、脆弱性検査を実行する処理を例示するフローチャートである。 いくつかの実施形態に従った、バックアップスナップショットを復元する処理を例示するフローチャートである。 いくつかの実施形態に従った、バックアップスナップショットを選択する処理を例示するフローチャートである。 いくつかの実施形態に従った、バックアップスナップショットと関連付けられた回復時間を決定する処理を例示するフローチャートである。

一次システムは、１つ以上のワークロードをホストしてもよい。ワークロードの例は、アプリケーション、仮想マシン、コンテナ、ポッド、データベースなどである。一次システムは、記憶システムに結合されてもよい。一次システムは、記憶システムへのそのデータのバックアップスナップショットを実行するように構成されてもよい。一次システムは、バックアップポリシに従ってファイルシステムデータのバックアップスナップショットを実行してもよく、記憶システムにバックアップスナップショットを送信してもよい。バックアップスナップショットは、特定の時間点におけるシステムの状態（例えば、ファイルシステムデータの状態またはワークロードの状態）を表すことができる。バックアップスナップショットポリシは、完全バックアップスナップショットまたは増分バックアップスナップショットが実行されることを必要とすることがある。完全バックアップスナップショットは、特定の時間点における一次システムの全体状態を含んでもよい。増分バックアップスナップショットは、一次システムの最後のバックアップスナップショットから変更した一次システムの状態を含んでもよい。いくつかの実施形態では、完全バックアップスナップショットは、特定の時間点におけるワークロードの全体状態を含む。いくつかの実施形態では、増分バックアップスナップショットは、ワークロードの最後のバックアップスナップショットから変更したワークロードの状態を含む。

一次システムの１つ以上のワークロードを復元するために、バックアップスナップショットが使用されてもよい。ワークロードを復元することは、一次システムにおいてワークロードを初期化すること、別のコンピュータシステム上でワークロードの複製を初期化すること、及び／または一次システムから他のコンピュータシステムにワークロードを移動させることを含んでもよい。複数のバックアップスナップショットを記憶することは、ワークロードを復元することを選択するとき、１つ以上のワークロードの特定の状態の選択が行われることを可能にする。

バックアップスナップショットポリシは、バックアップスナップショットが周期的に（例えば、毎時、毎日、毎週、毎月など）実行されることを示すことができる。いくつかの実施形態では、バックアップスナップショットポリシは、データの閾値サイズ（例えば、一次システムと関連付けられたデータのサイズ、ワークロードと関連付けられたデータのサイズ）が変更したとき、バックアップスナップショットがバックアップされることを示す。いくつかの実施形態では、バックアップスナップショットポリシは、一次システムと関連付けられたユーザからのコマンドがあると、バックアップスナップショットが実行されることを示す。

記憶システムは、バックアップスナップショットに含まれるデータを受信及び摂取してもよい。バックアップスナップショットに含まれるデータは、参照によってその全体内容が組み込まれる、２０１９年８月２３日に出願された「Ｃｏｎｔｉｎｕｏｕｓ Ｄａｔａ Ｐｒｏｔｅｃｔｉｏｎ Ｕｓｉｎｇ Ａ Ｗｒｉｔｅ Ｆｉｌｔｅｒ」と題する米国特許出願第１６／５４９，７１９号に説明されるようなツリーデータ構造を使用して編成されてもよい。記憶システムは、バックアップスナップショットごとに対応するツリーデータ構造を生成及び記憶してもよい。

バックアップスナップショットに含まれる内容は、インデックス付けされてもよい。例えば、インデックスは、アプリケーションのどのバージョンがバックアップスナップショットにバックアップされたか、仮想マシンのどのバージョンがバックアップスナップショットにバックアップされたかなどを示すことができる。インデックスはまた、バックアップスナップショットのどの部分が脆弱性について検査されたかを示すことができる。例えば、インデックスは、アプリケーションのバージョンが脆弱性について検査されたこと、仮想マシンのバージョンが脆弱性について検査されたこと、またはバックアップスナップショット全体が脆弱性について検査されたことを氏ミズ得ことができる。

記憶システムは、１つ以上の脆弱性についてバックアップスナップショットの少なくとも一部を検査してもよい。検査済み部分は、１つ以上のワークロードに対応してもよい。記憶システムは、ワークロードの１つ（例えば、サンドボックス）を一時環境に復元してもよく、復元されたワークロードに対して脆弱性検査を実行してもよい。１つ以上のワークロードを一時環境に復元することは、脆弱性についてバックアップスナップショットを検査するとき、ライブワークロードに対して動作するように構成された脆弱性検査が使用されることを可能にする。

脆弱性検査を実行することは、バグ、データ暗号化がないこと、バッファオーバフロー、またはいずれかの他の適切な脆弱性など、複数の脆弱性タイプについて復元されたバックアップスナップショットを検査することを含んでもよい。脆弱性検査は、ＣＶＥシステムによって追跡されるものなど、既知の脆弱性に関連するバックアップスナップショットにおける脆弱性を識別するように構成されてもよい。

いくつかの実施形態では、検査済み部分は、バックアップスナップショットの全体部分に対応する。記憶システムは、バックアップスナップショットに対応する一次システムのバージョンを一時環境に復元してもよく、一次システムの復元されたバージョンに対して脆弱性検査を実行してもよい。有利なことに、記憶システムは、１つ以上の脆弱性を決定するために一次システムリソースを使用する必要なく、バックアップスナップショットの少なくとも一部と関連付けられた１つ以上の脆弱性を決定してもよい。

記憶システムは、複数の記憶ノードから構成される。各々の記憶ノードは、対応するプロセッサを有する。いくつかの実施形態では、複数の記憶ノードは、脆弱性検査を共に実行する。いくつかの実施形態では、記憶ノードの１つは、脆弱性検査を実行する。複数の記憶ノードまたは記憶ノードの１つが脆弱性検査を実行するかどうかに関わらず、１つ以上の記憶ノードは、脆弱性検査を実行するために利用可能な有限量のリソースを有する。１つ以上の記憶ノードは、実行する１つ以上の一次機能性（例えば、データをバックアップすること、データを再現すること、データを復元することなど）及び／または１つ以上の他のタスク（例えば、ガーベッジコレクション、デフラグメンテーション、試験／ｄｅｖ環境を設けることなど）を有してもよい。脆弱性検査を実行することは、１つ以上の記憶ノードが１つ以上の一次機能性及び／または１つ以上の他のタスク（例えば、ガーベッジコレクション、デフラグメンテーション、試験／ｄｅｖ環境を設けることなど）を実行するために利用可能なリソースの総量を低減させる。脆弱性検査が実行されるイベントでは、記憶システムは、検査周期の間に（例えば、３０～６０分）脆弱性検査を実行するために特定の量のリソースを割り当ててもよく、特定の量のリソースは、再割り当てされなくてもよい。

記憶システムが一次システムからバックアップスナップショットデータを受信する頻度に応じて、記憶システムが受信されたバックアップスナップショットの各々を検査することは実用的でないことがあり、及び／または可能でないことがある。例えば、一次システムは、１時間ごとにバックアップスナップショットを実行してもよい。バックアップスナップショットバージョンの間で変更したデータの量は、最小であってもよい（例えば、変更閾値量未満である）。記憶システムが脆弱性検査のために必要なリソースを１つ以上の他の処理に割り当てる必要がある場合があることを理由に、１時間ごとに各々のバックアップスナップショットの少なくとも一部に対して検査を実行することは実用的でないことがある。記憶システムが脆弱性検査のために必要なリソースを１つ以上の他の処理に既に割り当てていることを理由に、各々のバックアップスナップショットの少なくとも一部に対して検査を実行することが可能でないことがある。

記憶システムは、対応する検査スコアを、一次システムから受信されたバックアップスナップショットの各々に割り振ってもよい。記憶システムは、バックアップスナップショットと関連付けられた対応する検査スコアに基づいて、複数のバックアップスナップショットのどれを検査するかを選択してもよい。バックアップスナップショットと関連付けられた検査スコアは、複数の因子に基づいてもよい。例えば、検査スコアは、特定のバックアップスナップショットと最新のバックアップスナップショットとの間のスナップショット距離、特定のバックアップスナップショットと前の検査との間のスナップショット距離、特定のバックアップスナップショットと１つ以上の重大な脆弱性を含んでいた前の検査との間のスナップショット距離、評価されるバックアップスナップショットにおけるワークロードの状態と１つ以上の脆弱性を含むバックアップスナップショットの状態との間の相関関係、及び／または特定のバックアップスナップショットと関連付けられた変更の量に基づいてもよい。スナップショット距離は、バックアップスナップショットの間の時間量、特定のバックアップスナップショットに対応するスナップショットツリーと最新のバックアップスナップショットに対応するスナップショットツリーとの間のスナップショットツリーのチェーンにおけるバックアップスナップショットの数などであってもよい。バックアップスナップショットと関連付けられた検査スコアは、周期的に更新されてもよい。閾値を上回る対応する検査スコアを有する１つ以上のバックアップスナップショットが検査されてもよい。これは、記憶システムのリソースに不必要に重い負担をかけることなく、バックアップスナップショットの適切なサンプルが脆弱性について検査されることを保証することができる。いくつかの実施形態では、記憶システムは、抽選スケジューリングアルゴリズムを使用して、複数のバックアップスナップショットのどれを検査するかを選択する。

選択されたバックアップスナップショットの少なくとも一部分は、選択されたバックアップスナップショットの少なくとも一部分の復元されたインスタンスを生成するよう、記憶システムの一時環境に復元されてもよい。脆弱性検査は、選択されたスナップショットの少なくとも一部の復元されたインスタンスに対して実行されてもよい。脆弱性検査は、選択されたバックアップスナップショットと関連付けられた１つ以上の脆弱性を発見してもよく、対応する脆弱性スコアを、１つ以上の発見された脆弱性の各々に割り振ってもよい。割り振られた脆弱性スコアは、政府機関によって脆弱性に割り振られた脆弱性スコアに基づいてもよい。例えば、政府機関は、スコアを脆弱性に割り振るために、共通脆弱スコアリングシステム（ＣＶＳＳ）を使用してもよい。

バックアップスナップショットの複数の検査済み部分と関連付けられた１つ以上の脆弱性が追跡されてもよい。バックアップスナップショットの検査済み部分と関連付けられた脆弱性を追跡することによって、バックアップスナップショットが生成されたときにワークロードに存在した脆弱性を識別及び／または補正する方式において、バックアップスナップショットからワークロードを復元することが可能になる。このようにして、バックアップスナップショットから復元するとき、一次システムにおいて補正された履歴的脆弱性が再度導入されることができない。

複数の検査済み部分の各々と関連付けられた１つ以上の脆弱性を追跡することは、例えば、１つ以上の脆弱性のインジケーションをデータ構造に記憶することを含んでもよく、データ構造は、各々の検査済み部分についての１つ以上のエントリを含んでもよい。それらの記憶されたインジケーションは、それらが関連するバックアップスナップショットのそれぞれの検査済み部分と関連付けられてもよい。このようにして、バックアップスナップショットの所与の検査済み部分と関連付けられた１つ以上の脆弱性は、バックアップスナップショットの所与の検査済み部分に基づいてデータ構造の探索を実行することによって識別されてもよい。記憶されたインジケーションをバックアップスナップショットのそれぞれの検査済み部分と関連付けることは、バックアップスナップショットと関連付けられた日付、時間、及び／またはメタデータなど、バックアップスナップショットの部分を識別するデータを記憶することを含んでもよい。

１つ以上の脆弱性を記憶するためのデータ構造も、バックアップスナップショットの検査されていない部分に関連するエントリを含んでもよい。１つ以上の脆弱性を追跡することは、１つ以上の脆弱性が、選択されたバックアップスナップショットの検査済み部分において検出されるとき、選択されたバックアップスナップショットの検査済み部分とは異なるバックアップスナップショットの部分に対応する、データ構造におけるエントリを更新することを含んでもよい。このようにして、バックアップスナップショットの検査されていない部分に存在することがある１つ以上の脆弱性に関する情報を生成及び維持することが可能である。

一部の脆弱性は、その他の脆弱性よりも重大であることがある。脆弱性への応答は、脆弱性と関連付けられた脆弱性スコアに依存してもよい。例えば、第１の閾値未満であり、最小脆弱性スコア（例えば、「０」）よりも大きい脆弱性スコアを有する脆弱性は、重大でないと見なされてもよく、脆弱性と関連付けられた１つ以上の改善措置が任意選択であってもよい。第１の閾値以上であるが、第２の閾値未満である脆弱性スコアを有する脆弱性は、重大であると見なされてもよく、脆弱性についての１つ以上の改善措置が推薦されてもよい。第２の閾値以上であるが、最大脆弱性スコア（例えば、「１０」）未満である脆弱性スコアを有する脆弱性は、非常に重大であると見なされてもよく、脆弱性についての１つ以上の改善措置が必要とされてもよい。記憶システムは、バックアップスナップショットの複数の検査済み部分を、それらの１つ以上の対応する脆弱性及び対応する脆弱性スコアと関連付けるデータ構造を記憶してもよい。

記憶システムは、バックアップスナップショットの検査済み部分と関連付けられた１つ以上の対応する脆弱性に基づいて、バックアップスナップショットの検査済み部分をランク付けしてもよい。バックアップスナップショットの検査済み部分は、最高脆弱性スコアを有する１つ以上の脆弱性の脆弱性に基づいてランク付けされてもよい。例えば、バックアップスナップショットの検査済み部分は、３つの脆弱性と関連付けられてもよい。記憶システムは、バックアップスナップショットの検査済み部分と関連付けられたランク付けを決定するために、最高脆弱性スコアを有する３つの脆弱性の脆弱性を使用してもよい。

記憶システムは、バックアップスナップショットの検査済み部分の各々と関連付けられた回復時間を決定してもよい。バックアップスナップショットの検査済み部分と関連付けられた回復時間は、バックアップスナップショットの検査済み部分と関連付けられたデータが復元されることになる復元環境と関連付けられた、規定されたセキュリティポスチュアに基づいてもよい。例えば、一部の復元環境は、他の復元環境よりも高いセキュリティ要件を有してもよい。高セキュリティポスチュアを有する復元環境は、バックアップスナップショットの検査済み部分と関連付けられた１つ以上の脆弱性の全てが改善されることを必要としてもよい。中セキュリティポスチュアを有する復元環境は、全ての重大な脆弱性及び非常に重大な脆弱性が改善されることを必要としてもよいが、いずれの重大でない脆弱性も改善されることを必要としなくてもよい。低セキュリティポスチュアを有する復元環境は、１つ以上の脆弱性のいずれも改善されることを必要としてもよい。

バックアップスナップショットの検査済み部分は、複数の脆弱性と関連付けられてもよい。記憶システムは、バックアップスナップショットの検査済み部分と関連付けられたデータが復元されることになる復元環境について、改善されることが必要とされる１つ以上の脆弱性をフィルタしてもよい。例えば、バックアップスナップショットの検査済み部分は、３つの脆弱性：２つが非常に重大な脆弱性及び１つが重大でない脆弱性と関連付けられてもよい。復元環境のセキュリティポスチュアは、中セキュリティポスチュアを有してもよく、２つの非常に重大な脆弱性のみが改善されることを必要としてもよい。記憶システムは、バックアップスナップショットの検査済み部分と関連付けられた改善措置の全てに基づいてバックアップスナップショットの検査済み部分と関連付けられた回復時間を決定する代わりに、２つの非常に重大な脆弱性と関連付けられた改善措置に基づいてバックアップスナップショットの検査済み部分と関連付けられた回復時間を決定してもよい。これは、バックアップスナップショットの検査済み部分を復元することと関連付けられた総回復時間を低減させることができる。いくつかの実施形態では、記憶システムは、バックアップスナップショットの検査済み部分と関連付けられた脆弱性の全てが改善されることになるかどうか、バックアップスナップショットの検査済み部分と関連付けられた脆弱性の一部が改善されることになるかどうか、及び／またはバックアップスナップショットの検査済み部分と関連付けられた脆弱性のいずれも改善されないことになるかどうかに基づいて、バックアップスナップショットの検査済み部分と関連付けられた対応する回復時間を計算する。

記憶システムは、バックアップスナップショットの検査済み部分に適用されることになる１つ以上の改善措置の順序付けを生成させてもよい。例えば、記憶システムは、復元システム（例えば、一次システム）を復元するためにバックアップスナップショットの検査済み部分と関連付けられたデータに適用されることになる１つ以上の改善措置のシーケンスを決定してもよい。

バックアップスナップショットの検査済み部分と関連付けられた回復時間は、復元システムを復元することと関連付けられたロールフォワード時間に基づいてもよい。ロールフォワード時間は、記憶システムから復元システムにバックアップスナップショットの検査済み部分と関連付けられたデータを提供するために必要な時間量を含んでもよい。ロールフォワード時間はまた、システムをバックアップスナップショットの検査済み部分と関連付けられた状態に復元するために復元システムによって必要な時間量を含んでもよい。いくつかの実施形態では、仮想マシンの特定のバージョンと関連付けられたデータは、記憶システムから復元システムに提供されてもよい。いくつかの実施形態では、検査済みバックアップスナップショットと関連付けられたデータの全ては、記憶システムから復元システムに提供される。例えば、復元システムは、一次システムの特定のバージョンに復元されている。

バックアップスナップショットの検査済み部分と関連付けられた回復時間は、１つ以上の改善措置と関連付けられた累積パッチ時間に基づいてもよい。累積パッチ時間は、１つ以上の改善措置を復元されたデータに適用するために必要な時間量である。バックアップスナップショットの検査済み部分の各々と関連付けられた、決定された回復時間は、１つ以上の順序付けられた改善措置と関連付けられた対応する累積パッチ時間及びバックアップスナップショットの検査済み部分と関連付けられた対応するロールフォワード時間に基づいてもよい。

記憶システムは、復元システムを復元するためにバックアップスナップショットの検査済み部分を使用することができる異なるシナリオに基づいて、バックアップスナップショットの検査済み部分と関連付けられた複数の回復時間を決定してもよい。記憶システムは、異なるセキュリティポスチュア、異なるロールフォワード時間（例えば、バックアップスナップショットの異なる部分を復元することに対するバックアップスナップショットの全体部分を復元すること）、異なる累積パッチ時間（例えば、全ての改善措置を適用し、一部の改善措置を適用し、改善措置を適用しない）、及び／またはそれらの組み合わせに基づいて、対応する回復時間を決定してもよい。

記憶システムは、復元するバックアップスナップショットを識別することと関連付けられた要求を受信してもよい。一次システムなどの復元システムは、バックアップスナップショットの検査済み部分のいずれかを使用して復元されてもよいが、復元システムと関連付けられたユーザは、バックアップスナップショットの検査済み部分を選択する際にガイダンスを必要とすることがある。復元システムと関連付けられたユーザは、バックアップスナップショットの選択された検査済み部分のバージョンを選択する際にガイダンスを必要とすることがある。復元システムは、システムが特定の日または特定の時間周期（例えば、時間の範囲、日の範囲など）と関連付けられた状態に復元されることを要求してもよい。

要求に応答して、記憶システムは、要求と関連付けられたバックアップスナップショットの１つ以上の検査済み部分及びそれらの１つ以上の対応する脆弱性を示すインタフェースを設けてもよい。インタフェースは、バックアップスナップショットの１つ以上の検査済み部分に対応する１つ以上のエントリを表示してもよい。バックアップスナップショットの検査済み部分に対応するエントリは、バックアップスナップショットの検査済み部分と関連付けられた脆弱性が非常に重大であるかどうか、重大であるかどうか、及び／または重大でないかどうかを示すことができる。エントリは、バックアップスナップショットの検査済み部分と関連付けられた１つ以上の回復時間を示すことができる。例えば、エントリは、バックアップスナップショットの検査済み部分を高セキュリティポスチュア復元環境に復元することと関連付けられた回復時間、バックアップスナップショットの検査済み部分を中セキュリティポスチュア復元環境に復元することと関連付けられた回復時間、及び／またはバックアップスナップショットの検査済み部分を低セキュリティポスチュア復元環境に復元することと関連付けられた回復時間を示すことができる。

インタフェースは、セキュリティポスチュアに基づいて、バックアップスナップショットの選択された検査済み部分のバージョンをフィルタリングする能力を、復元システムと関連付けられたユーザに提供することができる。例えば、復元システムと関連付けられたユーザは、「高セキュリティポスチュア」を選択してもよい。選択に応答して、記憶システムは、バックアップスナップショットの選択された検査済み部分が「高セキュリティポスチュア」を有する復元環境に復元されるイベントにおいて、バックアップスナップショットの１つ以上の検査済み部分及びそれらの対応する１つ以上の回復時間を関連付けるようインタフェースを更新してもよい。

インタフェースは、回復時間の総量に基づいて、選択されたバックアップスナップショットのバージョンをフィルタリングする能力を、復元システムと関連付けられたユーザに提供することができる。例えば、復元システムと関連付けられたユーザは、復元システムを復元するための特定の時間量を有してもよい。バックアップスナップショットの検査済み部分の一部は、特定の時間量よりも多い対応する回復時間を有してもよい。記憶システムは、回復時間の総量に基づいて、バックアップスナップショットの検査済み部分をランク付けするようインタフェースを更新してもよい。

記憶システムはまた、検査済みバックアップスナップショットの異なる部分と関連付けられた回復時間を表示してもよい。例えば、インタフェースは、バックアップスナップショットに含まれる特定のワークロードを復元することと関連付けられた回復時間を示すことができる。インタフェースは、バックアップスナップショットに含まれるワークロードの２つを復元することと関連付けられた回復時間を示すことができる。インタフェースは、バックアップスナップショット全体を復元することと関連付けられた回復時間を示すことができる。インタフェースは、復元システムと関連付けられたユーザが復元する１つ以上のワークロードを選択することを可能にすることができ、選択に応答して、記憶システムは、１つ以上のワークロードの選択と関連付けられた対応する回復時間を示すようインタフェースを更新してもよい。

復元システムは、バックアップスナップショットの検査済み部分の１つを選択してもよい。要求に応答して、記憶システムは、バックアップスナップショットの選択された検査済み部分と関連付けられたデータを提供することができる。データを受信したことに応答して、復元システムは、バックアップスナップショットの選択された検査済み部分と関連付けられた１つ以上の改善措置を、受信されたデータに適用してもよい。

図１は、いくつかの実施形態に従った、脆弱性検査を実行するシステムを例示するブロック図である。示される実施例では、システム１００は、一次システム１０２及び記憶システム１１２から構成される。一次システム１０２は、接続１１０を介して記憶システム１１２に結合される。接続１１０は、有線接続または無線接続であってもよい。接続１１０は、ＬＡＮ、ＷＡＮ、イントラネット、インターネット、及び／またはそれらの組み合わせであってもよい。

一次システム１０２は、ファイルシステムデータを記憶したコンピューティングシステムである。ファイルシステムデータは、複数のファイル（例えば、コンテンツファイル、テキストファイルなど）及び複数のファイルと関連付けられたメタデータを含んでもよい。一次システム１０２は、１つ以上のサーバ、１つ以上のコンピューティングデバイス、１つ以上の記憶装置、及び／またはそれらの組み合わせから構成されてもよい。一次システム１０２は、１つ以上のバックアップスナップショットポリシに従って、記憶システム１１２にファイルシステムデータのバックアップスナップショットを送信するように構成されてもよい。いくつかの実施形態では、バックアップスナップショットポリシは、周期的に（例えば、毎時、毎日、毎週、毎月など）、データの閾値サイズが変更したとき、または一次システム１０２と関連付けられたユーザからのコマンドに応答して、ファイルシステムデータがバックアップされることになることを示す。加えてまたは代わりに、バックアップポリシは、一次システム１０２におけるメモリ及びプロセッサ使用率など、リソース可用性に基づいてバックアップスナップショットをいつ実行するかを動的に決定してもよい。

一次システム１０２は、１つ以上のワークロード１０３を稼働させるように構成されてもよい。ワークロードの例は、それらに限定されないが、仮想マシン、データベース、アプリケーション、コンテナ、ポッドなどを含む。一次システム１０２は、一次システム１０２と関連付けられたファイルシステムデータを記憶するように構成された１つ以上の記憶ボリューム（図示せず）を含んでもよい。一次システム１０２と関連付けられたファイルシステムデータは、１つ以上のワークロード１０３と関連付けられたデータを含む。

バックアップエージェント１０４は、一次システム１０２にバックアップスナップショット（例えば、完全バックアップスナップショットまたは増分バックアップスナップショット）を実行させるように構成されてもよい。完全バックアップスナップショットは、特定の時点における一次システム１０２のファイルシステムデータの全てを含んでもよい。いくつかの実施形態では、１つ以上のワークロード１０３の特定のワークロードについての完全バックアップスナップショットが実行され、特定のワークロードの完全バックアップスナップショットは、特定の時点における特定のワークロードと関連付けられたワークロードデータの全てを含む。いくつかの実施形態では、バックアップエージェント１０４は、一次システム１０２上で稼働している。いくつかの実施形態では、バックアップエージェント１０４は、１つ以上のワークロード１０３の１つにおいて稼働している。いくつかの実施形態では、バックアップエージェント１０４は、一次システム１０２上で稼働しており、別個のバックアップエージェント１０４は、１つ以上のワークロード１０３の１つにおいて稼働している。いくつかの実施形態では、ワークロードは、バックアップ機能を含み、バックアップエージェント１０４を有さないその自身の上でバックアップスナップショットを実行するように構成される。

バックアップエージェント１０４は、記憶ポリシに従ってバックアップスナップショットを実行させるように構成されてもよい。バックアップエージェント１０４は、一次システム１０２にバックアップスナップショットをいつ実行させるかを決定するために、バックアップポリシを識別するバックアップポリシデータを受信及び／または記憶してもよい。この点について、バックアップエージェント１０４は、バックアップポリシに基づいて、予め定められた間隔において完全バックアップスナップショットまたは増分バックアップスナップショットを実行するよう一次システム１０２に命令してもよい。バックアップエージェント１０４は、例えば、１つ以上のワークロード１０３において変更したデータの量が閾値サイズをいつ超えたかに基づいて、バックアップスナップショットをいつ実行するかを決定するよう、１つ以上のワークロード１０３を監視してもよい。バックアップエージェント１０４は、一次システム１０２のリソースの可用性、例えば、現在のメモリ容量、プロセッサ使用率、及び記憶容量などを表すデータを受信してもよい。リソースの可用性を表すデータは、一次システム１０２における利用可能なリソースに従ってバックアップスナップショット頻度を動的に決定することができるように、データエージェント１０４によって使用されてもよい。

記憶システム１１２は、複数の記憶ノード１１１、１１３、１１５を含む記憶クラスタから構成される。３つの記憶ノードが示されるが、記憶システム１１２は、ｎ個の記憶ノードから構成されてもよい。複数の記憶ノードは、１つ以上のソリッドステートドライブ、１つ以上のハードディスクドライブ、またはそれらの組み合わせから構成されてもよい。各々の記憶ノードは、その自身の対応するプロセッサを有してもよい。記憶システム１１２は、一次システム１０２から受信されたバックアップスナップショットを摂取するように構成されてもよく、記憶クラスタにわたってバックアップスナップショットと関連付けられたデータを記憶するように構成されてもよい。記憶システム１１２は、参照によってその全体内容が組み込まれる、２０１９年２月２７日に出願された「Ｄｅｐｌｏｙｉｎｇ Ａ Ｃｌｏｕｄ Ｉｎｓｔａｎｃｅ Ｏｆ Ａ Ｕｓｅｒ Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ」と題する米国特許出願第１６／２８７，２１４号に説明されるような二次記憶システムのクラウドバージョンであってもよい。

記憶システム１１２は、バックアップスナップショットと関連付けられたデータを受信及び摂取してもよい。記憶システム１１２は、ツリーデータ構造を使用してバックアップスナップショットのファイルシステムデータを編成するように構成されたファイルシステムマネージャ１１７を含んでもよい。ツリーデータ構造の例は、Ｂ＋ツリー構造（または、他の実施形態では、他のタイプのツリー構造）に基づくことができるスナップショットツリーである。記憶システム１１２は、バックアップスナップショットごとにスナップショットツリー及び１つ以上のメタデータ構造を生成してもよい。バックアップスナップショットに含まれる内容は、インデックス付けされてもよい。例えば、インデックスは、アプリケーションのどのバージョンがバックアップスナップショットにバックアップされたか、仮想マシンのどのバージョンがバックアップスナップショットにバックアップされたかなどを示すことができる。インデックスはまた、バックアップスナップショットのどの部分が脆弱性について検査されたかを示すことができる。例えば、インデックスは、アプリケーションのバージョンが脆弱性について検査されたこと、仮想マシンのバージョンが脆弱性について検査されたこと、またはバックアップスナップショット全体が脆弱性について検査されたことを示すことができる。

バックアップスナップショットが一次システム１０２のファイルシステムデータの全てに対応するイベントでは、バックアップスナップショットに対応するビューは、スナップショットツリー及び１つ以上のワークロードメタデータ構造から構成されてもよい。スナップショットツリーは、一次システム１０２と関連付けられたメタデータを記憶するように構成されてもよい。ワークロードメタデータ構造は、１つ以上のワークロード１０３の１つと関連付けられたメタデータを記憶するように構成されてもよい。１つ以上のワークロード１０３の各々は、対応するメタデータ構造を有してもよい。

バックアップスナップショットが１つ以上のワークロード１０３の１つのワークロードデータの全てに対応するイベントでは、バックアップスナップショットに対応するビューは、スナップショットツリー及び１つ以上のワークロードファイルメタデータ構造から構成されてもよい。スナップショットツリーは、１つ以上のワークロード１０３の１つと関連付けられたメタデータを記憶するように構成されてもよい。ワークロードファイルメタデータ構造は、ワークロードに含まれるワークロードファイルと関連付けられたメタデータを記憶するように構成されてもよい。

ツリーデータ構造は、異なる復元ポイントを捕捉するために使用されてもよい。ツリーデータ構造は、スナップショットツリーの後のバージョンのノードがスナップショットツリーの前のバージョンのノードを参照することを許可することによって、スナップショットツリーのチェーンが共にリンクされることを可能にする。スナップショットツリーの前のバージョンは、先のバックアップスナップショットに対応してもよい。例えば、第２のバックアップスナップショットに対応するスナップショットツリーのルートノードまたは中間ノードは、第１のバックアップスナップショットに対応するスナップショットツリーの中間ノードまたはリーフノードを参照してもよい。

スナップショットツリーは、特定の時点における一次システムまたはワークロードの完全なビューを提供することを理由に、完全にハイドレートされた復元ポイントの表現である。完全にハイドレートされた復元ポイントは、それを使用するために複数のバックアップを再構築する必要なしに、使用のために準備ができている復元ポイントである。完全バックアップから開始し、完全バックアップと関連付けられたデータに１つ以上の増分バックアップと関連付けられた１つ以上のデータ変更を適用することによって復元ポイントを再構築する代わりに、記憶システム１１２は、完全にハイドレートされた復元ポイントを維持する。それに対して関連する参照復元ポイントが存在する、特定の時間における一次システム１０２またはワークロードと関連付けられたいずれかのファイル、及びファイルの内容は、関連する参照復元が完全参照復元ポイントまたは中間参照復元ポイントであった場合であるかに関わらず、スナップショットツリーから決定されてもよい。

スナップショットツリーは、ルートノード、ルートノードと関連付けられた１つ以上の中間ノードの１つ以上のレベル、及び最低中間レベルの中間ノードと関連付けられた１つ以上のリーフノードを含んでもよい。スナップショットツリーのルートノードは、１つ以上の中間ノードへの１つ以上のポインタを含んでもよい。各々の中間ノードは、他のノード（例えば、下位中間ノードまたはリーフノード）への１つ以上のポインタを含んでもよい。リーフノードは、ファイルシステムメタデータ、制限サイズ未満であるファイルと関連付けられたデータ、データブリックの識別子、メタデータ構造（例えば、ワークロードメタデータ構造またはワークロードファイルメタデータ構造）へのポインタ、記憶クラスタに記憶されたデータチャンクへのポインタ、ノード予約情報、組み合わされたメタデータ構造と関連付けられたファイルオフセット情報などを記憶してもよい。

メタデータ構造（例えば、ワークロードファイルメタデータ構造またはワークロードメタデータ構造）は、ルートノード、ルートノードと関連付けられた１つ以上の中間ノードの１つ以上のレベル、及び最低中間レベルの中間ノードと関連付けられた１つ以上のリーフノードを含んでもよい。メタデータ構造と関連付けられたツリーデータ構造は、メタデータ構造の後のバージョンのノードがメタデータ構造の前のバージョンのノードを参照することを許可することによって、ワークロードまたはワークロードファイルの異なるバージョンに対応するメタデータ構造のチェーンが共にリンクされることを可能にする。

メタデータ構造は、複数のチャンクファイルと関連付けられてもよい。チャンクファイルは、複数のデータチャンクから構成されてもよい。メタデータストア１１４は、１つ以上のメタデータ構造を記憶してもよい。いくつかの実施形態では、メタデータ構造は、ワークロードに対応する。他の実施形態では、メタデータ構造は、ワークロードファイルに対応する。他の実施形態では、メタデータ構造は、ワークロードの一部に対応する。他の実施形態では、メタデータ構造は、ワークロードファイルの一部に対応する。

メタデータ構造のリーフノードは、１つ以上のデータチャンクと関連付けられたデータブリックの識別子などの値を記憶してもよい。データブリックと関連付けられた１つ以上のデータチャンクの位置は、メタデータストア１１４に記憶された１つ以上のデータ構造（例えば、リスト、テーブルなど）を使用して識別されてもよい。第１のデータ構造（例えば、チャンクメタデータテーブル）は、ブリック識別子を１つ以上のチャンク識別子及び１つ以上のチャンクファイル識別子と関連付ける情報を記憶してもよい。第２のデータ構造（例えば、チャンクファイルメタデータテーブル）は、チャンクファイル識別子を、複数のデータチャンクを記憶したチャンクファイルと関連付けてもよい。いくつかの実施形態では、第１のデータ構造及び第２のデータ構造は、単一のデータ構造として組み合わされる。データブリックと関連付けられた１つ以上のデータチャンクは、チャンクメタデータテーブル及びチャンクファイルメタデータテーブルに基づいて特定されてもよい。例えば、第１のブリック識別子を有する第１のデータブリックは、第１のチャンク識別子（例えば、ＳＨＡ－１ハッシュ値）と関連付けられてもよい。第１のチャンク識別子は、チャンクファイル識別子を識別するために、チャンクメタデータテーブルと共に使用されてもよい。識別されたチャンクファイル識別子を有するチャンクファイルは、複数のデータチャンクから構成されてもよい。チャンクファイルメタデータテーブルは、複数のデータチャンクの位置を識別するために使用されてもよい。チャンクファイルメタデータテーブルは、チャンクファイル内の複数のデータチャンクのオフセット情報を含んでもよい。

記憶システム１１２が一次システム１０２からバックアップスナップショットデータを受信する頻度に応じて、受信されたバックアップスナップショットの各々を検査することが実用的でないことがあり、及び／または可能でないことがある。例えば、一次システム１０２は、４時間ごとにバックアップスナップショットを実行してもよい。バックアップスナップショットバージョンの間で変更したデータの量は少量であってもよい。記憶システム１１２が脆弱性検査のために必要なリソースを１つ以上の他の処理に割り当てる必要がある場合があることを理由に、４時間ごとに各々のバックアップスナップショットの少なくとも一部に対して検査を実行することが実用的でないことがある。記憶システム１１２が脆弱性検査のために必要なリソースを１つ以上の他の処理に既に割り当てていることを理由に、各々のバックアップスナップショットの少なくとも一部に対して検査を実行することが可能でないことがある。

記憶システム１１２は、一次システム１０２から受信された複数のバックアップスナップショットを記憶してもよい。脆弱性について複数のバックアップスナップショットの全てを検査することが実用的でないことがあり、及び／または可能でないことがある。記憶システム１１２は、対応する検査スコアを、一次システム１０２から受信されたバックアップスナップショットの各々に割り振ってもよい。記憶システムは、バックアップスナップショットと関連付けられた対応する検査スコアに基づいて、複数のバックアップスナップショットのどれを検査するかを選択してもよい。バックアップスナップショットと関連付けられた検査スコアは、複数の因子に基づいてもよい。例えば、検査スコアは、特定のバックアップスナップショットと最新のバックアップスナップショットとの間のスナップショット距離、特定のバックアップスナップショットと前の検査との間のスナップショット距離、特定のバックアップスナップショットと１つ以上の重大な脆弱性を含んでいた前の検査との間のスナップショット距離、評価されるバックアップスナップショットにおけるワークロードの状態と１つ以上の脆弱性を含むバックアップスナップショットの状態との間の相関関係、及び／または特定のバックアップスナップショットと関連付けられた変更の量に基づいてもよい。スナップショット距離は、バックアップスナップショットの間の時間量、特定のバックアップスナップショットに対応するスナップショットツリーと最新のバックアップスナップショットに対応するスナップショットツリーとの間のスナップショットツリーのチェーンにおけるバックアップスナップショットの数などであってもよい。

特定のバックアップスナップショットと関連付けられた変更の量は、前のバックアップスナップショットからの一次システム１０２に記憶された生産データにおける変更の量、前のバックアップスナップショットからの一次システム１０２のインフラストラクチャにおける変更の量、及び／または前のバックアップスナップショットからの一次システム１０２における１つ以上のワークロードの構成における変更の量を指してもよい。一次システム１０２に記憶された生産データにおける変更の量は、前のバックアップスナップショットが実行されてからの、１つ以上のデータベースなどの一次システム１０２に記憶されたデータのボリュームに関連してもよい。ワークロードが１つ以上のデータベースを含む場合などのいくつかの実施例では、生産データにおける変更の量は、１つ以上のデータベースにおけるトランザクションを追跡及び識別するログファイルに基づいて決定されてもよい。生産データにおける変更の量は、一次システムに記憶された総生産データの割合として評価されてもよい。

一次システム１０２のインフラストラクチャにおける変更の量は、前のバックアップスナップショットからの一次システム１０２に追加され、または一次システム１０２から除去されたデバイスの数またはタイプに関連してもよい。一次システム１０２におけるインフラストラクチャの追加または除去がプロセッサ及び／またはメモリなどの物理ハードウェアリソースの追加及び／または除去に関連する実施例では、インフラストラクチャにおける変更の量は、前のバックアップスナップショットから一次システム１０２において変更したメモリ容量または計算電力に応じて評価されてもよい。代わりに、インフラストラクチャにおける変更が分散コンピューティングアーキテクチャにおける外部サーバなどの更なるコンピューティングデバイスの追加及び／または除去に関連する場合、変更の量は、一次システム１０２において追加または除去されたサーバのタイプに関連してもよい。例えば、追加のサーバが一次システム１０２に追加され、一次システム１０２に前に含まれていたコンピューティングデバイスとは異なるシステムアーキテクチャ及び／またはオペレーティングシステムを追加のサーバが含む場合、インフラストラクチャにおける変更の量は、高いとして評価されてもよい。

前のバックアップスナップショットからの一次システム１０２における１つ以上のワークロードの構成における変更の量は、１つ以上のワークロードの１つ以上のメタデータファイルにおける変更、１つ以上のワークロードにおける実行可能ファイル及びライブラリなどの追加または差し引きに関連してもよい。１つ以上のワークロードの構成における変更の量は、バックアップスナップショットと関連付けられたインデックスによって識別されてもよく、インデックスは、バックアップスナップショットと関連付けられた１つ以上のワークロードの各々のバージョンの識別を含む。検査スコアは、上記説明された因子のいずれかの１つ、または１つ以上のそれらの因子の組み合わせに基づいて計算されてもよい。

検査閾値とも称される、閾値を上回る検査スコアを有する１つ以上のバックアップスナップショットが検査されてもよい。記憶システム１１２において脆弱性検出とコンピューティングリソース可用性との間のトレードオフが存在する。脆弱性検査をより頻繁に実行することによって、より多くの脆弱性を検出し、それらをより早く潜在的に検出することが可能であるが、記憶システム１１２の利用可能なリソースを低減させることがあり、ユーザからのオンデマンド要求を扱い、及び／またはスケジュールされたタスクを実行するためのリソースを少ないままにする。

検査スコアを閾値と比較することによって、記憶システムのリソースに不必要に重い負担をかけることなく、バックアップスナップショットの適切なサンプルが脆弱性について検査されることを保証することが可能である。閾値は、適切な回数の脆弱性検査が実行されることを可能にすると共に、記憶システム１１２がユーザからのオンデマンド要求を扱い、及び／またはスケジュールされたタスクを実行することを可能にするために脆弱性検査を実行するためのコンピューティングリソース使用率を十分に低いままにもするように構成された固定値であってもよい。閾値は、脆弱性検査を実行するために使用される記憶システム１１２におけるコンピューティングリソースが、記憶システム１１２に設けられた総コンピューティングリソースの予め定められた割合、例えば、１０％を越えないように構成されてもよい。

代わりに、閾値は動的に計算されてもよい。例えば、閾値は、記憶システム１１２における現在利用可能なコンピューティングリソース及び／または予測された利用可能なコンピューティングリソースに基づいて動的に決定されてもよい。記憶システム１１２がデータデフラグメンテーションなどの１つ以上の一次機能を実行している場合、または即時に実行するようスケジュールされる場合、利用可能なコンピューティングリソースにおける低減の主な原因となる、閾値が増大することができる。このようにして、記憶システム１１２は、ユーザからのオンデマンド要求を扱うと共に、脆弱性検査及び他のスケジュールされたタスクをも実行するために十分に利用可能なコンピューティングリソースが存在するように構成されてもよい。同様に、オンデマンド要求がユーザから受信されるとき、記憶システム１１２がスケジュールされたタスクを実行し続けるのに十分なコンピューティングリソースが存在するように閾値を増大させることができる。この目的のために、記憶システム１１２における利用可能なコンピューティングリソースに応じて検査閾値が決定されてもよい。いくつかの実施形態では、記憶システムは、抽選スケジューリングアルゴリズムを使用して複数のバックアップスナップショットのどれを検査するかを選択する。

記憶システム１１２は、選択されたスナップショットの一部の復元されたインスタンスを生成するよう、選択されたスナップショットの少なくとも一部を復元及び検査するための一時環境１１８を含んでもよい。一時環境１１８の例は、サンドボックス試験環境である。選択されたバックアップスナップショットを一時環境１１８に復元することは、ライブワークロードを検査するように構成された脆弱性検査が、選択されたバックアップスナップショットに対して実行されることを可能にする。

いくつかの実施形態では、記憶システム１１２は、バックアップスナップショットに対応する一次システム１０２のバージョンを一時環境１１８に復元してもよく、一次システムの復元されたバージョンに対して脆弱性検査を実行してもよい。記憶システム１１２は、部分的に、バックアップスナップショットに対応する一次システム１０２のバージョンと関連付けられたビューをクローン作成することによって、バックアップスナップショットに対応する一次システム１０２のバージョンを復元してもよい。いくつかの実施形態では、バックアップスナップショットに対応する一次システム１０２のバージョンと関連付けられたビューは、一次システム１０２のバージョンと関連付けられたルートノードを複製することによってクローン作成される。

いくつかの実施形態では、記憶システム１１２は、バックアップスナップショットに対応するワークロード１０３のバージョンを一時環境１１８に復元してもよく、ワークロードの復元されたバージョンに対して脆弱性検査を実行してもよい。記憶システム１１２は、部分的に、バックアップスナップショットに対応するワークロード１０３のバージョンと関連付けられたビューをクローン作成することによって、バックアップスナップショットに対応するワークロード１０３のバージョンを復元してもよい。いくつかの実施形態では、バックアップスナップショットに対応するワークロード１０３のバージョンと関連付けられたビューは、ワークロード１０３のバージョンと関連付けられたルートノードを複製することによってクローン作成される。バックアップスナップショットに対応する一次システム１０２のバージョンと関連付けられたビュー及び／またはバックアップスナップショットに対応するワークロード１０３のバージョンと関連付けられたビューは、２０１９年８月２３日に出願された「Ｃｏｎｔｉｎｕｏｕｓ Ｄａｔａ Ｐｒｏｔｅｃｔｉｏｎ Ｕｓｉｎｇ Ａ Ｗｒｉｔｅ Ｆｉｌｔｅｒ」と題する米国特許出願第１６／５４９，７１９号に説明されるような技術を使用してクローン作成されてもよい。記憶システム１１２は更に、部分的に、一時環境１１８において、クローン作成されたビューと関連付けられたデータへのアクセスを提供することによって、一次システム１０２またはワークロード１０３のバージョンを復元してもよい。

記憶システム１１２は、１つ以上の脆弱性について選択されたバックアップスナップショットの復元された部分を検査してもよい。記憶システム１１２は、１つ以上のアプリケーションと関連付けられた既知の脆弱性の１つ以上のリストを取得してもよい。１つ以上のアプリケーションと関連付けられた既知の脆弱性の１つ以上のリストは、既知の脆弱性ごとの対応する脆弱性スコアを含んでもよい。既知の脆弱性の１つ以上のリストは、共通脆弱性・露出（ＣＶＥ）システムから取得されたリストを含んでもよい。政府機関は、ＣＶＳＳを使用して対応する脆弱性スコアを割り振ってもよい。選択されたバックアップスナップショットの復元された部分は、既知の脆弱性のうちの少なくとも１つを含んでもよい。選択されたバックアップスナップショットの復元された部分の脆弱性検査は、選択されたバックアップスナップショットの復元された部分と関連付けられた１つ以上の脆弱性を決定してもよい。記憶システム１１２は、対応する脆弱性スコアを、選択されたバックアップスナップショットの復元された部分と関連付けられた１つ以上の決定された脆弱性の各々に割り振ってもよい。

記憶システム１１２は、検査済みバックアップスナップショットと関連付けられた１つ以上の脆弱性を追跡するデータ構造（例えば、リスト、マップなど）を記憶してもよい。データ構造は、複数のエントリを含んでもよく、各々のエントリは、バックアップスナップショットの検査済み部分の１つに対応する。エントリは、バックアップスナップショットの検査済み部分を、バックアップスナップショットの検査済み部分と関連付けられた１つ以上の既知の脆弱性及び回復時間と関連付けることができる。データ構造は、バックアップスナップショットの検査済み部分と関連付けられた潜在的な改善措置の全てと共に、バックアップスナップショットの検査済み部分と関連付けられた必要とされる改善措置の全てを示すことができる。

検査済みバックアップスナップショットと関連付けられた１つ以上の脆弱性を追跡することは、検査済みバックアップスナップショットの１つからワークロードの状態を復元するとき、一次システム１０２及び／または記憶システム１１２に有用な情報を提供する。上記説明されたように、ワークロードは、一次システム１０２及び／またはユーザの要求においてバックアップスナップショットから復元されてもよい。ワークロードが破損し、ワークを停止するとき、及び／またはワークロードが異なる生産環境に移動されているとき、ワークロードの復元が実行されてもよい。検査済みバックアップスナップショットと関連付けられた１つ以上の脆弱性を追跡することによって、ワークロードを復元するときに検査済みバックアップスナップショットに存在する脆弱性を識別及び補正することが可能である。一次システム１０２のオペレータは、それらが検出されるにつれて、ライブ生産環境、例えば、一次システム１０２上で脆弱性をパッチしてもよい。一次システム１０２の異なる状態において検出された脆弱性、例えば、バックアップスナップショットの検査済み部分における脆弱性に関する履歴的情報を維持することによって、バックアップスナップショットから復元するとき、前の脆弱性が一次システム１０２に導入されることを防止することが可能である。

記憶システム１１２は、後続の選択されたバックアップスナップショットに対して実行される脆弱性検査に基づいて、１つ以上の脆弱性を追跡する記憶されたデータ構造を更新してもよい。例えば、１回目に、第１のバックアップスナップショットの第１の検査済み部分が、第三者によって設けられる仮想マシンの特定のバージョン、例えば、Ｖ．１．３である仮想マシン、ＶＭ＿１を含み、バックアップスナップショットの第１の検査済み部分において脆弱性が検出されないことが想定されよう。２回目に、バージョンＶ．１．３である同一の仮想マシンＶＭ＿１を含む、第２の、後続のバックアップスナップショットの第２の検査済み部分において１つ以上の脆弱性が検出される。検出された脆弱性は次いで、ＶＭ＿１の特定のバージョンＶ．１．３と関連付けられる。この実施例では、第１のバックアップスナップショットの第１の検査済み部分は、第２の検査済み部分と同一の脆弱性を含んでもよいが、これは、１回目及び２回目に実行される脆弱性検査における差に起因して検出されないままであった。

実行される脆弱性検査は、新たな脆弱性が識別され、新たなタイプの検査が考案される時間、及び／または第１のバックアップスナップショットの第１の検査済み部分が検査されてから既知の脆弱性のリストに対して更新が行われる時間にわたって変更してもよい。記憶システム１１２は、第１のバックアップスナップショットの第１の検査済み部分が第２のバックアップスナップショットの第２の検査済み部分において検出される脆弱性と関連付けられようにデータ構造を更新してもよい。このようにして、脆弱性を含むバックアップスナップショットへの相関関係に基づいて、選択及び検査されなかったものを含む、複数のバックアップスナップショットについての脆弱性情報を維持及び更新することが可能である。

記憶システム１１２は、バックアップスナップショットの検査済み部分と関連付けられた回復時間を決定してもよい。バックアップスナップショットの検査済み部分と関連付けられた回復時間は、バックアップスナップショットの検査済み部分と関連付けられたデータが復元されることになる環境と関連付けられた、規定されたセキュリティポスチュアに基づいてもよい。例えば、一部の復元環境は、他の復元環境よりも高いセキュリティ要件を有してもよい。高セキュリティポスチュアを有する復元環境は、バックアップスナップショットの検査済み部分と関連付けられた１つ以上の脆弱性の全てが改善されることを必要としてもよい。中セキュリティポスチュアを有する復元環境は、全ての重大な脆弱性及び非常に重大な脆弱性が改善されることを必要としてもよいが、いずれの重大でない脆弱性が改善されることを必要としなくてもよい。低セキュリティポスチュアを有する復元環境は、１つ以上の脆弱性のいずれもが改善されることを必要としなくてもよい。

バックアップスナップショットの検査済み部分は、複数の脆弱性と関連付けられてもよい。記憶システム１１２は、バックアップスナップショットの検査済み部分と関連付けられたデータが復元されることになる復元環境について改善されることが必要とされる１つ以上の脆弱性をフィルタしてもよい。例えば、バックアップスナップショットの検査済み部分は、３つの脆弱性：２つが非常に重大な脆弱性及び１つが重大でない脆弱性と関連付けられてもよい。復元環境のセキュリティポスチュアは、中セキュリティポスチュアを有してもよく、２つの非常に重大な脆弱性のみが改善されることを必要としてもよい。記憶システム１１２は、バックアップスナップショットの検査済み部分と関連付けられた改善措置の全てに基づいてバックアップスナップショットの検査済み部分と関連付けられた回復時間を決定する代わりに、２つの非常に重大な脆弱性と関連付けられた改善措置に基づいてバックアップスナップショットの検査済み部分と関連付けられた回復時間を決定してもよい。いくつかの実施形態では、記憶システムは、バックアップスナップショットの検査済み部分と関連付けられた脆弱性の全てが改善されることになるかどうか、バックアップスナップショットの検査済み部分と関連付けられた脆弱性の一部が改善されることになるかどうか、及び／またはバックアップスナップショットの検査済み部分と関連付けられた脆弱性のいずれも改善されないことになるかどうかに基づいて、バックアップスナップショットの検査済み部分と関連付けられた対応する回復時間を計算する。

記憶システム１１２は、バックアップスナップショットの検査済み部分に適用されることになる１つ以上の改善措置の順序付けを生成させてもよい。例えば、記憶システム１１２は、復元システム（例えば、一次システム）を復元するためにバックアップスナップショット部分の検査済み部分と関連付けられたデータに適用されることになる１つ以上の改善措置のシーケンスを決定してもよい。

バックアップスナップショットの検査済み部分と関連付けられた回復時間は、復元システム（例えば、一次システム１０２）を復元することと関連付けられたロールフォワード時間に基づいてもよい。ロールフォワード時間は、記憶システム１１２から復元システムにバックアップスナップショットの検査済み部分と関連付けられたデータを提供するために必要な時間量を含んでもよい。ロールフォワード時間はまた、システムをバックアップスナップショットの検査済み部分と関連付けられた状態に復元するために復元システムによって必要な時間量を含んでもよい。いくつかの実施形態では、仮想マシンの特定のバージョンと関連付けられたデータは、記憶システム１１２から復元システムに提供されてもよい。いくつかの実施形態では、バックアップスナップショットの検査済み部分と関連付けられたデータの全ては、記憶システム１１２から復元システムに提供される。例えば、復元システムは、一次システム１０２の特定のバージョンに復元されている。

バックアップスナップショットの検査済み部分と関連付けられた回復時間は、１つ以上の改善措置と関連付けられた累積パッチ時間に基づいてもよい。累積パッチ時間は、１つ以上の改善措置を復元されたデータに適用するために必要な時間量である。検査済みバックアップスナップショットの各々と関連付けられた、決定された回復時間は、１つ以上の改善措置と関連付けられた対応する累積パッチ時間及び検査済みバックアップスナップショットの少なくとも一部と関連付けられた対応するロールフォワード時間に基づいてもよい。

記憶システム１１２は、復元システムを復元するためにバックアップスナップショットの検査済み部分を使用することができる異なるシナリオに基づいて、バックアップスナップショットの検査済み部分と関連付けられた複数の回復時間を決定してもよい。記憶システムは、異なるセキュリティポスチュア、異なるロールフォワード時間（例えば、バックアップスナップショットの異なる部分を復元することに対するバックアップスナップショットの全体部分を復元すること）、異なる累積パッチ時間（例えば、全ての改善措置を適用し、一部の改善措置を適用し、改善措置を適用しない）、及び／またはそれらの組み合わせに基づいて、対応する回復時間を決定してもよい。

記憶システム１１２は、復元するバックアップスナップショットを識別することと関連付けられた要求を受信してもよい。例えば、一次システム１０２は、システム全体またはワークロードの１つを復元する要求を記憶システム１１２に送信してもよい。一次システム１０２は、バックアップスナップショットの検査済み部分のいずれかを使用して復元されてもよいが、一次システム１０２と関連付けられたユーザは、バックアップスナップショットの検査済み部分を選択する際にガイダンスを必要とすることがある。復元システムと関連付けられたユーザは、バックアップスナップショットの選択された検査済み部分のバージョンを選択する際にガイダンスを必要とすることがある。復元システムは、システムが特定の日または特定の時間周期（例えば、時間の範囲、日の範囲など）と関連付けられた状態に復元されることを要求してもよい。

要求に応答して、記憶システム１１２は、要求と関連付けられたバックアップスナップショットの１つ以上の検査済み部分及びそれらの１つ以上の対応する脆弱性を示すインタフェースを設けてもよい。インタフェースは、バックアップスナップショットの１つ以上の検査済み部分に対応する１つ以上のエントリを表示してもよい。バックアップスナップショットの検査済み部分に対応するエントリは、バックアップスナップショットの検査済み部分と関連付けられた脆弱性が非常に重大であるかどうか、重大であるかどうか、及び／または重大でないかどうかを示すことができる。エントリは、バックアップスナップショットの検査済み部分と関連付けられた１つ以上の回復時間を示すことができる。例えば、エントリは、バックアップスナップショットの検査済み部分を高セキュリティポスチュア復元環境に復元することと関連付けられた回復時間、バックアップスナップショットの検査済み部分を中セキュリティポスチュア復元環境に復元することと関連付けられた回復時間、及び／またはバックアップスナップショットの検査済み部分を低セキュリティポスチュア復元環境に復元することと関連付けられた回復時間を示すことができる。

インタフェースは、セキュリティポスチュアに基づいて、選択されたバックアップスナップショットのバージョンをフィルタリングする能力を、復元システムと関連付けられたユーザに提供することができる。例えば、復元システムと関連付けられたユーザは、「高セキュリティポスチュア」を選択してもよい。選択に応答して、記憶システム１１２は、選択されたバックアップスナップショットが「高セキュリティポスチュア」を有する復元環境に復元されるイベントにおいて、バックアップスナップショットの１つ以上の検査済み部分及びそれらの対応する１つ以上の回復時間を関連付けるようインタフェースを更新してもよい。

インタフェースは、回復時間の総量に基づいて、バックアップスナップショットの選択された検査済み部分のバージョンをフィルタリングする能力を、復元システムと関連付けられたユーザに提供することができる。例えば、復元システムと関連付けられたユーザは、復元システムを復元するための特定の時間量を有してもよい。バックアップスナップショットの検査済み部分の一部は、特定の時間量よりも多い対応する回復時間を有してもよい。記憶システム１１２は、回復時間の総量に基づいて、バックアップスナップショットの検査済み部分をランク付けするようインタフェースを更新してもよい。

記憶システム１１２はまた、バックアップスナップショットの検査済み部分の異なる部分と関連付けられた回復時間を表示してもよい。例えば、インタフェースは、バックアップスナップショットに含まれる特定のワークロードを復元することと関連付けられた回復時間を示すことができる。インタフェースは、バックアップスナップショット全体を復元することと関連付けられた回復時間を示すことができる。インタフェースは、復元システムと関連付けられたユーザが復元する１つ以上のワークロードを選択することを可能にすることができ、選択に応答して、記憶システム１１２は、１つ以上のワークロードの選択と関連付けられた対応する回復時間を示すようインタフェースを更新してもよい。

要求システムは、バックアップスナップショットの検査済み部分の１つを選択してもよい。要求に応答して、記憶システム１１２は、バックアップスナップショットの選択された検査済み部分と関連付けられたデータを提供することができる。いくつかの実施形態では、記憶システム１１２は、バックアップスナップショットの選択された検査済み部分と関連付けられたデータを特定するよう、バックアップスナップショットの選択された検査済み部分に対応するツリーデータ構造をトラバースしてもよく、要求システムに特定されたデータを提供してもよい。データを受信したことに応答して、要求システムは、選択された検査済みバックアップスナップショットと関連付けられた１つ以上の改善措置を受信されたデータに適用してもよい。

図２は、いくつかの実施形態に従った、脆弱性検査を実行する処理を例示するフローチャートである。示される実施例では、処理２００は、記憶システム１１２などの記憶システムによって実行されてもよい。処理２００は、記憶システムによって周期的に実行されてもよい。いくつかの実施形態では、処理２００は、記憶システムが処理２００を実行するのに十分な量のリソースを有するときに実行される。処理２００は、複数の検査済みバックアップスナップショットを生成するよう、複数のバックアップスナップショットに対して別個に実行されてもよい。

２０２において、複数のバックアップスナップショットと関連付けられたデータが受信される。一次システムは、バックアップスナップショットを実行してもよく、記憶システムに一次システムと関連付けられたファイルシステムデータを送信してもよい。バックアップスナップショットは、完全バックアップスナップショットまたは増分バックアップスナップショットであってもよい。バックアップスナップショットは、一次システム全体のバックアップまたは一次システムによってホストされた１つ以上のワークロードのバックアップであってもよい。バックアップスナップショットは、バックアップスナップショットポリシに従って実行されてもよい。バックアップスナップショットポリシは、データの閾値サイズが変更したとき、及び／または一次システムと関連付けられたユーザからのコマンドがあると、ファイルシステムデータが周期的に（例えば、毎時、毎日、毎週、毎月など）にバックアップされることになることを示すことができる。

記憶システムは、複数のバックアップスナップショットと関連付けられたデータを受信してもよく、複数のバックアップスナップショットと関連付けられたデータを記憶してもよく、複数のバックアップスナップショットについての対応するツリーデータ構造を生成してもよい。ツリーデータ構造は、バックアップスナップショットデータと関連付けられたメタデータを編成及び記憶してもよい。ツリーデータ構造の例は、スナップショットツリーである。いくつかの実施形態では、各々のスナップショットツリーは、一次システムを復元することができる一次システムのバージョンに対応する。いくつかの実施形態では、各々のスナップショットツリーは、ワークロードを復元することができる一次システム上でホストされたワークロードのバージョンに対応する。

２０４において、複数のバックアップスナップショットの中で、検査されることになるバックアップスナップショットが選択される。検査されることになるバックアップスナップショットは、バックアップスナップショットと関連付けられた対応する検査スコアに基づいて選択されてもよい。バックアップスナップショットの各々は、対応する検査スコアを有してもよい。検査スコアは、バックアップスナップショットが脆弱性検査に対して成熟しているかどうかを示すことができる。バックアップスナップショットと関連付けられた検査スコアは、閾値と比較されてもよい。バックアップスナップショットは、検査スコアが閾値以上であるイベントにおいて選択されてもよい。これは、記憶システムのリソースに不必要に重い負担をかけることなく、バックアップスナップショットの適切なサンプルが脆弱性について検査されることを保証することができる。

２０６において、選択されたバックアップスナップショットの少なくとも一部分の復元されたインスタンスを生成するよう、選択されたバックアップスナップショットの少なくとも一部分が一時環境に復元される。選択されたスナップショットの部分は、一次システムによってホストされたワークロードに対応してもよい。例えば、一次システムによってホストされた仮想マシンは、一時環境に復元されてもよい。いくつかの実施形態では、選択されたスナップショットの部分は、選択されたスナップショットの全体部分であり、一次システム全体が一時環境に復元される。

２０８において、復元されたインスタンスの脆弱性検査が実行される。復元されたインスタンスと関連付けられた１つ以上の脆弱性が検出されてもよい。記憶システムは、政府機関などの第三者システムから、１つ以上の検出された脆弱性についての対応する脆弱性スコアを取得してもよい。

２１０において、バックアップスナップショットの検査済み部分と関連付けられた回復時間が決定される。１つ以上の検出された脆弱性の各々は、対応する改善措置を有してもよい。対応する改善措置は、関連するロールフォワード時間を有してもよい。

２１２において、脆弱性検査によって識別されたバックアップスナップショットの検査済み部分の１つ以上の脆弱性が追跡される。記憶システムは、バックアップスナップショットの検査済み部分と関連付けられた１つ以上の脆弱性を追跡するデータ構造（例えば、リスト、マップなど）を記憶してもよい。データ構造は、複数のエントリを含んでもよく、各々のエントリは、バックアップスナップショットの検査済み部分の１つに対応する。エントリは、バックアップスナップショットの検査済み部分を、バックアップスナップショットの検査済み部分と関連付けられた１つ以上の既知の脆弱性及び回復時間と関連付けることができる。データ構造は、バックアップスナップショットの検査済み部分と関連付けられた潜在的な改善措置の全てと共に、バックアップスナップショットの検査済み部分と関連付けられた必要とされる改善措置の全てを示すことができる。

図３は、いくつかの実施形態に従った、バックアップスナップショットを復元する処理を例示するフローチャートである。示される実施例では、処理３００は、記憶システム１１２などの記憶システムによって実装されてもよい。

３０２において、複数の検査済みバックアップスナップショットから復元するバックアップスナップショットを識別することと関連付けられた要求が受信される。復元システムは、バックアップスナップショットの検査済み部分のいずれかを使用して復元されてもよいが、復元システムと関連付けられたユーザは、バックアップスナップショットの検査済み部分を選択する際にガイダンスを必要とすることがある。復元システムと関連付けられたユーザは、バックアップスナップショットの選択された検査済み部分のバージョンを選択する際にガイダンスを必要とすることがある。復元システムは、システムが特定の日または特定の時間周期（例えば、時間の範囲、日の範囲など）と関連付けられた状態に復元されることを要求してもよい。記憶システムは、復元するバックアップスナップショットを識別することと関連付けられた要求を受信してもよい。要求は、システム全体を復元し、またはワークロードのうちの１つ以上を復元する要求であってもよい。例えば、記憶システムは、一次システムを、昨日実行されたバックアップスナップショットの１つに復元する要求を受信してもよい。

３０４において、要求に応答して、バックアップスナップショットの選択された検査済み部分の１つ以上の脆弱性の少なくとも予め定められた識別が提供される。

記憶システムは、要求と関連付けられたバックアップスナップショットの１つ以上の検査済み部分及びそれらの１つ以上の対応する脆弱性を示すインタフェースを設けてもよい。インタフェースは、昨日実行された１つ以上の検査済みバックアップスナップショットを表示してもよい。インタフェースは、バックアップスナップショットの１つ以上の検査済み部分に対応する１つ以上のエントリを表示してもよい。エントリは、バックアップスナップショットの検査済み部分と関連付けられた１つ以上の脆弱性を示すことができる。バックアップスナップショットの検査済み部分に対応するエントリは、バックアップスナップショットの検査済み部分と関連付けられた脆弱性が非常に重大であるかどうか、重大であるかどうか、及び／または重大でないかどうかを示すことができる。エントリは、バックアップスナップショットの検査済み部分と関連付けられた１つ以上の回復時間を示すことができる。例えば、エントリは、バックアップスナップショットの検査済み部分を高セキュリティポスチュア復元環境に復元することと関連付けられた回復時間、バックアップスナップショットの検査済み部分を中セキュリティポスチュア復元環境に復元することと関連付けられた回復時間、及び／またはバックアップスナップショットの検査済み部分を低セキュリティポスチュア復元環境に復元することと関連付けられた回復時間を示すことができる。

インタフェースは、セキュリティポスチュアに基づいて、バックアップスナップショットの選択された検査済み部分のバージョンをフィルタリングする能力を、復元システムと関連付けられたユーザに提供することができる。例えば、復元システムと関連付けられたユーザは、「高セキュリティポスチュア」を選択してもよい。選択に応答して、記憶システムは、選択されたバックアップスナップショットが「高セキュリティポスチュア」を有する復元環境に復元されるイベントにおいて、バックアップスナップショットの１つ以上の検査済み部分及びそれらの対応する１つ以上の回復時間を関連付けるようインタフェースを更新してもよい。

インタフェースは、回復時間の総量に基づいて、バックアップスナップショットの選択された検査済み部分のバージョンをフィルタリングする能力を、復元システムと関連付けられたユーザに提供することができる。例えば、復元システムと関連付けられたユーザは、復元システムを復元するための特定の時間量を有してもよい。バックアップスナップショットの検査済み部分の一部は、特定の時間量よりも多い対応する回復時間を有してもよい。記憶システムは、回復時間の総量に基づいて、バックアップスナップショットの検査済み部分をランク付けするようインタフェースを更新してもよい。

記憶システムはまた、検査済みバックアップスナップショットの異なる部分と関連付けられた回復時間を表示してもよい。例えば、インタフェースは、バックアップスナップショットに含まれる特定のワークロードを復元することと関連付けられた回復時間を示すことができる。インタフェースは、バックアップスナップショット全体を復元することと関連付けられた回復時間を示すことができる。インタフェースは、復元システムと関連付けられたユーザが復元する１つ以上のワークロードを選択することを可能にすることができ、選択に応答して、記憶システムは、１つ以上のワークロードの選択と関連付けられた対応する回復時間を示すようインタフェースを更新してもよい。

インタフェースは、バックアップスナップショットの検査済み部分と関連付けられた１つ以上の脆弱性のどれを改善するかを選択する能力を、復元システムと関連付けられたユーザに提供することができる。

３０６において、バックアップスナップショットの検査済み部分の１つを復元する要求が受信される。３０８において、バックアップスナップショットの要求された検査済み部分と関連付けられたデータが提供される。いくつかの実施形態では、記憶システムは、バックアップスナップショットの選択された検査済み部分と関連付けられたデータを特定するよう、バックアップスナップショットの選択された検査済み部分に対応するツリーデータ構造をトラバースしてもよく、要求システムに特定されたデータを提供してもよい。データを受信したことに応答して、要求システムは、バックアップスナップショットの選択された検査済み部分と関連付けられた１つ以上の改善措置を受信されたデータに適用してもよい。

図４は、いくつかの実施形態に従った、バックアップスナップショットを選択する処理を例示するフローチャートである。示される実施例では、処理４００は、記憶システム１１２などの記憶システムによって実行されてもよい。処理４００は、バックアップスナップショットを選択するかどうかを決定するよう、バックアップスナップショットの各々についての検査スコアを決定することを含む。いくつかの実施形態では、処理４００は、処理２００のステップ２０４の一部または全てを実行するよう実装されてもよい。

４０２において、特定のバックアップスナップショットと最新のバックアップスナップショットとの間のスナップショット距離が決定される。特定のバックアップスナップショットと最新のバックアップスナップショットとの間のスナップショット距離は、特定のバックアップスナップショットと最新のバックアップスナップショットとの間の時間量であってもよい。特定のバックアップスナップショットと最新のバックアップスナップショットとの間のスナップショット距離は、特定のバックアップスナップショットに対応するスナップショットツリーと最新のバックアップスナップショットに対応するスナップショットツリーとの間のスナップショットツリーのチェーンにおけるバックアップスナップショットの数であってもよい。特定のバックアップスナップショットと関連付けられた検査スコアは、特定のバックアップスナップショットと最新のバックアップスナップショットとの間のスナップショット距離に応じて増大（例えば、増加）してもよい。

検査スコアは、特定のバックアップスナップショットと最新のバックアップスナップショットとの間でより長い時間が経過する場合、検査スコアがより多くの量だけ増大するように、スナップショット距離のサイズに比例した量だけ増大してもよい。バックアップスナップショットの間でより長いスナップショット距離が存在する場合、例えば、一次システム１０２においてより多くの量の変更を行うことができるように、より多くの数のバックアップスナップショットに対して脆弱性検査を実行することが望ましいことがある。スナップショット距離がより短い場合、記憶システム１１２においてコンピューティングリソースを節約するために、バックアップスナップショットを検査する頻度を低減させることが望ましいことがある。いくつかのケースでは、検査スコアは、特定のバックアップスナップショットと最新のバックアップスナップショットとの間のスナップショット距離が第１の閾値距離よりも長いイベントにおいて増大してもよい。

４０４において、特定のバックアップスナップショットと前の検査との間のスナップショット距離が決定される。特定のバックアップスナップショットと前の検査との間のスナップショット距離は、特定のバックアップスナップショットと前の検査との間の時間量であってもよい。特定のバックアップスナップショットと前の検査との間のスナップショット距離は、特定のバックアップスナップショットに対応するスナップショットツリーと前の検査に対応するスナップショットツリーとの間のスナップショットツリーのチェーンにおけるバックアップスナップショットの数であってもよい。特定のバックアップスナップショットと関連付けられた検査スコアは、特定のバックアップスナップショットと前の検査との間のスナップショット距離に応じて増大（例えば、増加）してもよい。ステップ４０２と同様に、検査スコアが増大する量は、スナップショット距離に比例してもよい。特定のバックアップスナップショットと前の検査との間のスナップショット距離に基づいて検査スコアを修正することによって、バックアップスナップショットの頻度と検査の所望の頻度との間の比率に応じた方式において、検査の頻度を制御することが可能である。いくつかのケースでは、検査スコアは、特定のバックアップスナップショットと前の検査との間のスナップショット距離が第２の閾値距離よりも長いイベントにおいて増大する。

４０６において、特定のバックアップスナップショットと１つ以上の脆弱性を有する前の検査との間のスナップショット距離が決定される。特定のバックアップスナップショットと最新のバックアップスナップショットとの間のスナップショット距離は、特定のバックアップスナップショットと１つ以上の脆弱性による前の検査との間の時間量であってもよい。特定のバックアップスナップショットと１つ以上の脆弱性による前の検査との間のスナップショット距離は、特定のバックアップスナップショットに対応するスナップショットツリーと１つ以上の脆弱性による前の検査に対応するスナップショットツリーとの間のスナップショットツリーのチェーンにおけるバックアップスナップショットの数であってもよい。特定のバックアップスナップショットと関連付けられた検査スコアは、特定のバックアップスナップショットと１つ以上の脆弱性による前の検査との間のスナップショット距離に応じて増大（例えば、増加）してもよい。検査スコアが増大する量は、特定のスナップショットと１つ以上の脆弱性による検査との間のスナップショット距離に比例してもよい。このように検査スコアを修正することによって、バックアップスナップショットに対して脆弱性検査を実行する頻度は、１つ以上の脆弱性の検出が存在することに応じて増大してもよい。脆弱性が検出された場合、重大度を増大させる脆弱性及び／または増加する数の脆弱性を有するワークロードが識別されるように、バックアップスナップショットに対して脆弱性検査を実行する頻度を増大させることが望ましいことがある。検査スコアが増大する量は加えてまたは代わりに、１つ以上の脆弱性の重大度に比例してもよい。このようにして、重大な脆弱性の検出の後、バックアップスナップショットに対して脆弱性検査を実行する頻度が増大してもよく、あまり重大でない脆弱性の検出は、脆弱性検査の頻度における増大を結果としてもたらさなくてもよく、したがって、記憶システム１１２においてコンピューティングリソースを節約する。

いくつかのケースでは、検査スコアは、特定のバックアップスナップショットと１つ以上の脆弱性を有する前の検査との間のスナップショット距離が第３の閾値距離よりも長いイベントにおいて増大する。

４０８において、特定のバックアップスナップショットと関連付けられた変更の量が決定される。特定のバックアップスナップショットと関連付けられた検査スコアは、特定のバックアップスナップショットと関連付けられた変更の量に応じて増大してもよい。変更の量は、特定のバックアップスナップショットと関連付けられた生産データにおける変更の量または一次システムにおけるデータ変更の量に関連してもよい。特定のバックアップスナップショットが増分バックアップスナップショットである場合、特定のバックアップスナップショットと関連付けられた生産データにおける変更の量は、特定のバックアップスナップショットのサイズに直接関連してもよい。特定のバックアップスナップショットが完全バックアップスナップショットである場合、生産データにおける変更の量は、バックアップスナップショットにおけるファイルシステムメタデータ及び／またはバックアップスナップショットと関連付けられたインデックスに基づいて決定されてもよい。

特定のバックアップスナップショットと関連付けられた変更の量は代わりにまたは加えて、特定のバックアップスナップショットによって表される一次システムのインフラストラクチャにおける変更の量に関連してもよい。一次システムのインフラストラクチャにおける変更は、一次システム１０２への１つ以上のコンピューティングデバイスの追加を含んでもよい。一次システム１０２のインフラストラクチャにおける変更が存在した場合、この変更は、一次システム１０２のファイルシステムメタデータにおいて表されてもよい。例えば、ファイルシステムメタデータは、一次システム１０２におけるワークロード及び／または生産データについての新たな区画及び／または記憶位置を示すことができる。ファイルシステムメタデータは、バックアップスナップショットに含まれてもよく、よって、一次システム１０２のインフラストラクチャにおける変更の量は、バックアップスナップショットから決定されてもよい。

特定のバックアップスナップショットと関連付けられた変更の量は、代わりにまたは加えて、特定のバックアップスナップショットと関連付けられた１つ以上のワークロードの構成における変更の量に関連してもよい。例えば、仮想マシン、データベース、及びアプリケーションのバージョンなど、一次システム上で稼働する１つ以上のワークロードの特定のバージョン。実施例では、仮想マシンが新たなバージョンに更新される場合、更新されたバージョンにより導入されたいずれかの脆弱性を識別するよう、更新された仮想マシンを表すバックアップスナップショットに対して脆弱性検査を実行することが望ましいことがある。１つ以上のワークロードの構成は代わりにまたは加えて、１つ以上のワークロードを実装するために使用される一次システムにおける１つ以上のファイルシステムの編成構造を指してもよい。特定のバックアップスナップショットと関連付けられた変更が一次システムの１つ以上のワークロードの構成における変更に関連する場合、変更の量を決定するために、バックアップスナップショットと関連付けられたインデックスが使用されてもよい。例えば、インデックスは、バックアップスナップショットに含まれる１つ以上のワークローのバージョンを示すことができ、よって、ワークロードのうちの１つ以上のバージョンが変更された場所を識別するために使用されてもよい。

一次システムのインフラストラクチャにおける変更の量はまた、一次システムへの新たなワークロードの追加に関連してもよい。１つ以上の新たなワークロード、例えば、前のバックアップスナップショットまたは前の検査から一次システムにインストールされたアプリケーションまたは仮想マシンを識別するために、一次システムと関連付けられたファイルシステムメタデータが使用されてもよい。いくつかのケースでは、検査スコアは、特定のバックアップスナップショットと関連付けられた変更の量が閾値量よりも大きいイベントにおいて増大する。

４１０において、複数の決定に基づいて、特定のバックアップスナップショットに１つ以上の投票が割り振られる。特定のバックアップスナップショットに割り振られた投票の数は、スナップショット距離のサイズ及び特定のバックアップスナップショットと前のバックアップスナップショットまたは前の検査との間の変更の量に依存してもよい。

１つ以上の投票は、特定のバックアップスナップショットと１つ以上の脆弱性を含む前のバックアップスナップショットとの間の相関関係に基づいて、特定のバックアップスナップショットに割り振られてもよい。例えば、前のバックアップスナップショットが、１つ以上の脆弱性を含むワークロードの第１のバージョンＷ＿１を含み、特定のバックアップスナップショットがワークロードＷ＿１を含む場合、１つ以上の投票は、特定のバックアップスナップショットに割り振られてもよい。特定のバックアップスナップショットに割り振られた投票の数は、このケースでは、ワークロードのＷ＿１バージョンと関連付けられた１つ以上の脆弱性の重大度に依存してもよい。他の実施例では、特定のバックアップスナップショットは、１つ以上の脆弱性を含むと発見された、第１のワークロードＷ＿１の更新されたバージョンであるワークロードＷ＿２をそれが含む場合、１つ以上の投票が割り振られてもよい。

いくつかのケースでは、特定のバックアップスナップショットは、スナップショット距離が、第１の閾値距離、第２の閾値距離、または第３の閾値距離よりも長いイベントにおいて投票が割り振られてもよい。特定のバックアップスナップショットは、変更の量が閾値量よりも大きいイベントにおいて投票が割り振られてもよい。バックアップスナップショットと関連付けられた検査スコアは、バックアップスナップショットと関連付けられた投票の総数であってもよい。

いくつかの実施形態では、４０２、４０４、４０６、及び４０８において実行される決定は、対応する重みを有してもよい。１つ以上の脆弱性についてバックアップスナップショットを検査するかどうかを決めるときに一部の決定が他の決定よりも大きい重みが与えられてもよく、上述した投票の割り振りにおいて重みが使用されてもよい。

決定４０２、４０４、４０６、及び４０８の各々と関連付けられた重みは、予め定められてもよい。例えば、脆弱性検査を実行するために使用される、記憶システム１１２のコンピューティングリソースを最小化すると共に、重大な脆弱性が複数のバックアップスナップショットにおいて検出されないことにならない尤度を最大化することを目的とする、決定４０２、４０４、４０６、及び４０８に対する重みのセットを選択するよう最適化が実行されてもよい。

代わりに、決定４０２、４０４、４０６、及び４０８の各々と関連付けられた重みは、動的に決定されてもよい。すなわち、重みは、記憶システム１１２からのフィードバックにそれらが応答するように、動作の間に修正されてもよい。フィードバックは、脆弱性検査を実行するために使用されるコンピューティングリソースの量に関するフィードバック及び／または検出される脆弱性の数に関するフィードバックを含んでもよい。

決定４０２、４０４、４０６、及び４０８と関連付けられた重みは加えて、評価の下での特定のバックアップスナップショットの内容及び／または特性に依存してもよい。例えば、一部のワークロードが、それらのワークロードの構成における頻繁な変更から生じる脆弱性が生じやすいことがあり、また、検出された脆弱性が即時にパッチされるような方式において動作してもよい。このケースでは、前のバックアップスナップショットにおいて脆弱性を検出することが、後続のバックアップスナップショットにおいて脆弱性を検出することと密接に相関付けられないことがある。これなどのワークロードを含むバックアップスナップショットを評価するとき、バックアップスナップショットにおける変更の量と関連付けられた重みが増大してもよく、特定のバックアップスナップショットと１つ以上の脆弱性を含むバックアップスナップショットとの間のスナップショット距離と関連付けられた重みが低減してもよい。このようにして、ケースごとにバックアップスナップショットの各々に関連する因子に基づいて、バックアップスナップショットの選択を最適化することが可能である。重みが特定のバックアップスナップショットに対して修正されるべきかどうかを決定するために、特定のバックアップスナップショットと関連付けられたインデックスが使用されてもよい。例えば、脆弱性が導入される方式に影響を与える１つ以上の特性を有するとして知られたバックアップスナップショットに含まれるワークロードをインデックスが識別する場合、それにしたがって重みが修正されてもよい。代わりにまたは加えて、バックアップされる一次システム１０２上でのワークロードにおける傾向を識別するために、複数のバックアップスナップショットの特性が記憶システム１１２によって記憶及び分析されてもよい。それらの傾向は、決定４０２、４０４、４０６、及び４０８の各々と関連付けられた重みを動的に修正するために使用されてもよい。

４１２において、特定のバックアップスナップショットと関連付けられた投票の量に基づいて、特定のバックアップスナップショットが選択される。バックアップスナップショットと関連付けられた投票の総数は、検査閾値と比較される。投票の総数が検査閾値よりも多いイベントでは、特定のバックアップスナップショットが１つ以上の脆弱性について検査されてもよい。投票の総数が検査閾値以下であるイベントでは、特定のバックアップスナップショットが１つ以上の脆弱性について検査されなくてもよい。

４０２、４０４、４０６、及び４０８において行われる決定は、周期的に（例えば、各々のバックアップスナップショットの後、４回ごとのバックアップスナップショットの後など）、バックアップスナップショットの閾値数の後、ユーザコマンドに応答してなどで実行されてもよい。

図５は、いくつかの実施形態に従った、バックアップスナップショットと関連付けられた回復時間を決定する処理を例示するフローチャートである。示される実施例では、処理５００は、記憶システム１１２などの記憶システムによって実行されてもよい。いくつかの実施形態では、処理５００は、処理２００のステップ２１０の一部または全てを実行するよう実装されてもよい。

５０２において、復元環境と関連付けられたセキュリティポスチュアに基づいて、１つ以上の脆弱性がフィルタされる。バックアップスナップショットの少なくとも検査済み部分と関連付けられたデータは、復元システムに復元されてもよい。復元システムは、対応するセキュリティポスチュアを有する環境（例えば、ネットワークセキュリティゾーン）において動作していてもよい。対応するセキュリティポスチュアは、復元システムと関連付けられたユーザによって規定されてもよい。バックアップスナップショットの検査済み部分は、１つ以上の脆弱性と関連付けられてもよい。環境と関連付けられたセキュリティポスチュアは、もしあれば、１つ以上の脆弱性がフィルタされることを指図してもよい。

バックアップスナップショットの検査済み部分は、複数の脆弱性と関連付けられてもよい。記憶システムは、バックアップスナップショットの検査済み部分と関連付けられたデータが復元されることになる復元環境について改善されることが必要とされる１つ以上の脆弱性をフィルタしてもよい。例えば、バックアップスナップショットの検査済み部分は、３つの脆弱性：２つが非常に重大な脆弱性及び１つが重大でない脆弱性と関連付けられてもよい。復元環境のセキュリティポスチュアは、中セキュリティポスチュアを有してもよく、２つの非常に重大な脆弱性のみが改善されることを必要としてもよい。記憶システムは、検査済みバックアップスナップショットと関連付けられた改善措置の全てに基づいてバックアップスナップショットの検査済み部分と関連付けられた回復時間を決定する代わりに、２つの非常に重大な脆弱性と関連付けられた改善措置に基づいてバックアップスナップショットの検査済み部分と関連付けられた回復時間を決定してもよい。いくつかの実施形態では、記憶システムは、バックアップスナップショットの検査済み部分と関連付けられた脆弱性の全てが改善されることになるかどうか、バックアップスナップショットの検査済み部分と関連付けられた脆弱性の一部が改善されることになるかどうか、及び／またはバックアップスナップショットの検査済み部分と関連付けられた脆弱性のいずれも改善されないことになるかどうかに基づいて、バックアップスナップショットと関連付けられた対応する回復時間を計算する。

５０４において、１つ以上のフィルタリングされた脆弱性と関連付けられた１つ以上の改善措置の順序付けが発生する。例えば、記憶システムは、復元システム（例えば、一次システム）を復元するためにバックアップスナップショットの検査済み部分と関連付けられたデータに適用される１つ以上の改善措置のシーケンスを決定してもよい。

５０６において、バックアップスナップショットの選択された検査済み部分と関連付けられたデータについてのロールフォワード時間が決定される。ロールフォワード時間は、記憶システムから復元システムにバックアップスナップショットの検査済み部分と関連付けられたデータを提供するために必要な時間量を含んでもよい。ロールフォワード時間はまた、バックアップスナップショットの検査済み部分と関連付けられた状態にシステムを復元するために復元システムによって必要な時間量を含んでもよい。

いくつかの実施形態では、仮想マシンの特定のバージョンと関連付けられたデータは、記憶システムから復元システムに提供されてもよい。いくつかの実施形態では、検査済みバックアップスナップショットと関連付けられたデータの全ては、記憶システムから復元システムに提供されてもよい。例えば、復元システムは、一次システムの特定のバージョンに復元されている。

５０８において、１つ以上の順序付けられた改善措置と関連付けられた累積パッチ時間が決定される。累積パッチ時間は、１つ以上の順序付けられた改善措置を復元されたデータに提供するために必要な時間量である。改善措置は、ソフトウェアパッチを適用すること、アプリケーション構成を変更すること、ファイルを削除することなどを含んでもよい。順序付けられた改善措置の各々は、関連するパッチ時間を有してもよい。

５１０において、決定されたロールフォワード時間及び決定された累積パッチ時間に基づいた回復時間が決定される。回復時間は、計算された累積パッチ時間及び計算されたロールフォワード時間の合計であってもよい。回復時間は、重み付けられた累積パッチ時間及び重み付けられたロールフォワード時間の合計であってもよい。

処理、装置、システム、組成物、コンピュータ可読記憶媒体上で具体化されたコンピュータプログラム製品、並びにプロセッサに結合されたメモリに記憶され、及び／またはプロセッサに結合されたメモリによって提供される命令を実行するように構成されたプロセッサなどのプロセッサを含む、多数の様式において発明が実装されてもよい。本明細書では、それらの実装態様、または発明が採用することができるいずれかの他の形式は、技術と称されてもよい。概して、開示される処理のステップの順序は、発明の範囲内で改変されてもよい。他に述べられない限り、タスクを実行数量に構成されるとして説明されたプロセッサまたはメモリなどの構成要素は、所与の時間にタスクを一時的に実行するように構成された一般的な構成要素またはタスクを実行するよう製造された特定の構成要素として実装されてもよい。本明細書で使用されるように、用語「プロセッサ」は、コンピュータプログラム命令などのデータを処理するように構成された１つ以上のデバイス、回路、及び／またはプロセシングコアを指す。

発明の原理を例示する添付図面と共に、発明の１つ以上の実施形態の詳細な説明が提供される。そのような実施形態と関連して発明が説明されるが、発明はいずれの実施形態にも限定されない。発明の範囲は、特許請求の範囲によってのみ限定され、発明は、多数の変形、修正、及び同等物を包含する。発明の完全な理解をもたらすために、説明において多数の特定の詳細が示される。それらの詳細は、実施例の目的のために提供され、それらの特定の詳細の一部または全てなしに特許請求の範囲に従って発明が実施されてもよい。明確性の目的のために、発明に関連する技術分野において既知である技術項目は、発明を不必要に曖昧にしないように説明されていない。

先述の実施形態が理解の明確性の目的のために一部の詳細において説明されてきたが、発明は、提供された詳細に限定されない。発明を実装する多くの代替的な様式が存在する。開示される実施形態は、例示的であり、限定的ではない。

Claims (25)

1. 複数のバックアップスナップショットの中から１つのバックアップスナップショットを選択することと、
   前記選択されたバックアップスナップショットの少なくとも一部分の復元されたインスタンスを生成するよう、前記選択されたバックアップスナップショットの少なくとも前記一部分を一時環境に復元することと、
   １つ以上の脆弱性を識別するよう、前記選択されたバックアップスナップショットの少なくとも前記一部分の前記復元されたインスタンスの脆弱性検査を実行することと、
   前記選択されたバックアップスナップショットの前記検査済み部分の前記１つ以上の脆弱性を追跡することと、
   を含めることによって、複数の検査済みバックアップスナップショットを生成することを備え、
   前記１つ以上の脆弱性を追跡することは、前記１つ以上の脆弱性のインジケーションをデータ構造に記憶することと、前記インジケーションを前記選択されたバックアップスナップショットの前記検査済み部分と関連付けることとを含む、
   方法。
2. 前記複数の検査済みバックアップスナップショットから復元する検査済みバックアップスナップショットを識別することに関連付けられた要求を受信することと、
   前記要求に応答して、前記選択されたバックアップスナップショットの前記１つ以上の脆弱性の少なくとも予め定められた識別を提供することと、
   を更に含む、請求項１に記載の方法。
3. 前記選択されたバックアップスナップショットの前記１つ以上の脆弱性の前記少なくとも予め定められた識別を提供することは、前記選択されたバックアップスナップショットの前記検査済み部分と関連付けられたエントリを識別するよう、前記データ構造を探索することを含む、請求項２に記載の方法。
4. 前記データ構造は、複数の第１のエントリを含み、各々の第１のエントリは、選択されたバックアップスナップショットのそれぞれの検査済み部分に対応し、前記１つ以上の脆弱性を追跡することは、前記１つ以上の脆弱性に基づいて、前記データ構造における１つ以上の第２のエントリを更新することを更に含み、各々の第２のエントリは、前記選択されたバックアップスナップショットの前記検査済み部分とは異なるバックアップスナップショットのそれぞれの部分に対応する、先項請求項のいずれか１項に記載の方法。
5. 前記複数のバックアップスナップショットの中から前記バックアップスナップショットを選択することは、前記バックアップスナップショットと最新のバックアップスナップショットとの間のスナップショット距離を決定することを含む、先項請求項のいずれか１項に記載の方法。
6. 前記複数のバックアップスナップショットの中から前記バックアップスナップショットを選択することは、前記バックアップスナップショットと前の検査との間のスナップショット距離を決定することを含む、先項請求項のいずれか１項に記載の方法。
7. 前記複数のバックアップスナップショットの中から前記バックアップスナップショットを選択することは、前記バックアップスナップショットと１つ以上の重大な脆弱性を含んでいた前の検査との間のスナップショット距離を決定することを含む、先項請求項のいずれか１項に記載の方法。
8. 前記複数のバックアップスナップショットの中から前記バックアップスナップショットを選択することは、前記バックアップスナップショットと関連付けられたデータ変更の量を決定することを含む、先項請求項のいずれか１項に記載の方法。
9. 前記複数のバックアップスナップショットの中から前記バックアップスナップショットを選択することは、前記バックアップスナップショットと関連付けられた対応する検査スコアを検査閾値と比較することを含む、先項請求項のいずれか１項に記載の方法。
10. 以下のパラメータ、
    前記バックアップスナップショットと最新のバックアップスナップショットとの間のスナップショット距離と、
    前記バックアップスナップショットと前の検査との間のスナップショット距離と、
    前記バックアップスナップショットと１つ以上の脆弱性を含んでいた前の検査との間のスナップショット距離と、
    前記バックアップスナップショットと関連付けられた生産データにおける変更の量と、
    前記バックアップスナップショットと関連付けられた１つ以上のワークロードの構成における変更の量と、
    のうちの少なくとも１つに基づいて、前記バックアップスナップショットに対応する前記検査スコアを決定することを更に含む、請求項９に記載の方法。
11. 前記バックアップスナップショットに対応する前記検査スコアを決定することは、
    複数の値を決定することであって、各々の値は、前記パラメータのうちの少なくとも１つと関連付けられている、前記決定することと、
    前記バックアップスナップショットに対応する検査スコアを決定するよう、前記複数の値の加重合計を実行することと、
    を含む、請求項１０に記載の方法。
12. 前記バックアップスナップショットは、前記バックアップスナップショットと関連付けられた前記対応する検査スコアが前記検査閾値以上であるイベントにおいて前記複数のバックアップスナップショットの中から選択される、請求項６～１１のいずれか１項に記載の方法。
13. 前記複数のバックアップスナップショットと関連付けられたデータを受信することを更に備えた、先項請求項のいずれか１項に記載の方法。
14. 前記選択されたバックアップスナップショットの前記検査済み部分と関連付けられた回復時間を決定することを更に備えた、先項請求項のいずれか１項に記載の方法。
15. 前記選択されたバックアップスナップショットの前記検査済み部分と関連付けられた前記回復時間を決定することは、復元環境と関連付けられたセキュリティポスチュアに基づいて、前記１つ以上の脆弱性をフィルタリングすることを含む、請求項１４に記載の方法。
16. 前記選択されたバックアップスナップショットの前記検査済み部分と関連付けられた前記回復時間を決定することは、前記１つ以上のフィルタリングされた脆弱性と関連付けられた１つ以上の改善措置の順序付けを生成させることを含む、請求項１５に記載の方法。
17. 前記選択されたバックアップスナップショットの前記検査済み部分と関連付けられた前記回復時間を決定することは、前記選択されたバックアップスナップショットの前記検査済み部分と関連付けられたロールフォワード時間を決定することを含む、請求項１６に記載の方法。
18. 前記選択されたバックアップスナップショットの前記検査済み部分と関連付けられた前記回復時間を決定することは、前記１つ以上の順序付けられた改善措置と関連付けられた累積パッチ時間を決定することを含む、請求項１７に記載の方法。
19. 前記選択されたバックアップスナップショットの前記検査済み部分と関連付けられた前記回復時間は、前記選択されたバックアップスナップショットの前記検査済み部分と関連付けられた前記決定されたロールフォワード時間及び前記１つ以上の順序付けられた改善措置と関連付けられた前記決定された累積パッチ時間に基づいて決定される、請求項１８に記載の方法。
20. バックアップスナップショットの前記検査済み部分の１つを復元する要求を受信することを更に備えた、先項請求項のいずれか１項に記載の方法。
21. 前記バックアップスナップショットの前記検査済み部分の要求された１つと関連付けられたデータを提供することを更に含む、請求項２０に記載の方法。
22. 前記選択されたバックアップスナップショットの前記少なくとも一部分は、前記選択されたバックアップスナップショットと関連付けられた前記データの一部を含む、先項請求項のいずれか１項に記載の方法。
23. 前記選択されたバックアップスナップショットの前記少なくとも一部分は、前記選択されたバックアップスナップショットと関連付けられた前記データの全てを含む、先項請求項のいずれか１項に記載の方法。
24. コンピュータプログラム製品であって、前記コンピュータプログラム製品は、非一時的コンピュータ可読記憶媒体において具体化され、プロセッサによって実行されるとき、前記プロセッサに、請求項１～２３のいずれか１項に記載の方法を実行させるコンピュータ命令を含む、前記コンピュータプログラム製品。
25. プロセッサと、
    前記プロセッサと結合されたメモリであって、実行されるとき、前記プロセッサに請求項１～２３のいずれか１項に記載の方法を実行させる命令を前記プロセッサに提供するように構成される、前記メモリと、
    を備える、システム。

Images