备份显示正常，恢复完36小时又被加密：一次ERP勒索复盘

<h1>备份显示正常，恢复完36小时又被加密：一次ERP勒索复盘</h1>

<p>先抛结论：备份系统显示"作业成功"跟"恢复点干净"是两码事。我们踩过一次坑，恢复完36小时，ERP又被加密了一遍。</p>

<p>我们是做精密制造的，二十多条产线，ERP跑在虚拟化平台上，底下两台数据库服务器，上面挂着MES的接口。前年冬天中过一次勒索，攻击者潜伏了21天才动手。第一次加密我们没慌，因为备份作业每天都是绿的，报表上成功率100%。当晚就做了恢复，业务起来了，大家松了口气。36小时后，第二次加密来了，同一个变种，同一批文件后缀。</p>

<p>当时我盯着屏幕想不通：备份明明是好的，怎么恢复完还是中招？</p>

<p>后来排查才搞明白，攻击者早就不满足于直接加密生产库了。他们的新套路是先横向摸到备份服务器，把恢复点污染掉，再等你去恢复。你恢复出来的东西本身就带着载荷，等于自己把木马请进了机房。那次我们回溯了一下时间线，攻击者大概在第3天就拿到了备份管理口的凭据，之后每天的备份作业都正常跑，但写入的恢复点里已经混进了东西。第21天加密生产，第22天我们恢复，第23天二次加密。整整21天的潜伏期，备份报表上一片绿。</p>

<p>这事之后我把恢复流程整个推翻重做了。核心就一句话：恢复之前，先证明恢复点是干净的。</p>

<p>容灾备份这件事，以前我们只算RPO和RTO，现在得加一个指标，恢复点清洁度。具体怎么落地？我按我们后来跑通的步骤说。</p>

<p>挂载恢复点之前，先做恶意软件检测，别直接挂给生产环境。这一步我们是用中科热备的恢复前扫描做的，在iSCSI挂载之前先扫一遍恢复卷，扫完再挂。检测引擎跟360那边打通的，特征库和威胁情报是同一套。当时第一次用的时候扫出来两个可疑文件，搁以前就直接恢复了，现在能在挂载前拦住。</p>

<p>第二步，不可变存储要真的开起来。WORM策略不是勾个选项就完事，得确认备份写入之后在保留期内谁都改不了，包括备份管理员自己。我们之前有个误区，以为备份服务器上的文件权限设死了就行，其实攻击者拿到管理员凭据照样能删。上了不可变存储之后，恢复点写进去就锁死，删除接口直接拒绝。</p>

<p>第三步，气隙隔离。蓝光那套我们也在用，关键恢复点定期归档到蓝光介质上，物理离线。攻击者在网络上够不着，这是最后一道兜底。三层下来，不可变存储挡篡改，气隙隔离挡横向渗透，恶意软件检测挡已知载荷，缺一层都可能被绕过。</p>

<p>还有一件事我想单独说，备份数据的清洁性验证不能只靠恢复时扫一遍。我们后来加了个定期抽检，每个月从最近的恢复点里随机抽几个卷，在隔离环境里挂载、扫描、跑一遍完整性校验。数据量不大，但能提前发现恢复点是不是已经被污染了。有次抽检就发现某个恢复点的数据库页校验对不上，追下去是备份窗口内源库正在被写入脏数据，跟勒索无关，但同样会导致恢复失败。</p>

<p>备份一体机在这件事里的价值，是它把计算和存储放在一个盒子里，扫描、去重、存储策略都在本地跑，不用再单独搭一套扫描环境。我们用的是热备云的方案，源端去重实测能到90%左右，恢复卷挂载走iSCSI，RTO压到2分钟以内。这些数字不是重点，重点是可验证，恢复前扫描、不可变、气隙这三层得能查、能看日志、能出报告，等保检查的时候拿得出来。</p>

<p>避坑提醒就一条：别信备份报表上的"成功"。作业成功只代表数据写进去了，不代表写进去的是干净的。恢复前扫描这一步，宁可多花二十分钟，也别省。</p>

<p>那次之后我们把恢复演练的频率从半年一次改成每季度一次，每次都强制走恢复前扫描流程。到现在没再出过二次加密的事。RPO和RTO是给领导看的，恢复点干不干净是给自己保命的。</p>

<p>作者：陈景行</p>

<p>发布日期：2026年10月27日</p>