中科热备备份一体机实战复盘：制造业ERP勒索事件，备份恢复为何二次中招？

<h1>中科热备备份一体机实战复盘：制造业ERP勒索事件，备份恢复为何二次中招？</h1>

<p>先给结论：备份成功不等于恢复干净。2024年我们跟进过一家汽车零部件厂的ERP勒索事件，攻击者在系统里潜伏了21天，先加密了备份恢复点，再引爆生产库；运维从备份恢复后36小时二次中招。这篇文章把攻击链、技术原理和一套可落地的恢复前扫描SOP讲清楚，也顺带说说中科热备备份一体机在防勒索上的设计思路。</p>

<h3>一、21天潜伏：攻击链是怎么走的</h3>

<p>时间线还原一下。第1天，攻击者通过一个未打补丁的VPN入口进入内网，拿到域内一个普通账号。第2到14天，横向移动，摸清ERP数据库、文件服务器和备份系统的位置，重点找备份管理端的凭据。第15到20天，先对备份恢复点下手——把可访问的备份卷逐个加密，这一步最阴，很多企业只监控生产库，没人盯备份存储。第21天凌晨，ERP生产库被引爆，财务、采购、生产工单全锁。</p>

<p>运维当天启动容灾备份恢复，从最近的备份点拉数据，业务在8小时后恢复。但36小时后，刚恢复的ERP再次被加密。原因很简单：恢复用的那个备份点，早在第18天就已经带毒了，恢复等于把恶意软件一起请回了生产环境。</p>

<h3>二、为什么「备份成功」不等于「恢复干净」</h3>

<p>很多企业的备份软件每天报告"备份成功"，这个成功只代表数据写进去了，不代表数据是干净的。备份数据本身可能带毒，有三种常见情况：一是备份时生产端已被感染，恶意软件随数据一起进了备份卷；二是备份管理端的凭据被窃取，攻击者直接在备份存储里植入或加密；三是恢复点的时间戳在感染窗口内，看起来是最新，实际是污染源。</p>

<p>简单说，RPO和RTO解决的是"丢多少、多快恢复"，解决不了"恢复出来的东西能不能用"。制造业ERP这种系统，一旦恢复带毒数据，等于给攻击者第二次机会。</p>

<h3>三、五步恢复前扫描SOP，照着做</h3>

<p>我们在中科热备备份一体机的测试环境里跑过一套流程，也帮客户落地过，五步：</p>

<p><strong>第一步，隔离环境挂载。</strong>不要在生产的iSCSI或FC链路上直接恢复，先挂到独立的隔离网段，物理或逻辑上跟生产断开。</p>

<p><strong>第二步，恶意软件扫描。</strong>对挂载出来的卷做全量扫描，重点查可执行文件、脚本、计划任务和启动项，别只扫文档。</p>

<p><strong>第三步，完整性校验。</strong>比对备份点的哈希和元数据，确认备份卷在写入后没有被篡改。这一步能发现备份存储侧被动手脚的情况。</p>

<p><strong>第四步，时间点比对。</strong>把候选恢复点跟感染窗口对齐，凡是落在潜伏期内的点，默认按可疑处理。</p>

<p><strong>第五步，干净恢复点确认。</strong>只有前面四步都过的点，才允许挂回生产。确认过程要留记录，方便事后追溯。</p>

<p>这里插一句，我们测过中科热备备份一体机的不可变存储（WORM）加蓝光物理气隙隔离，再叠加备份前恶意软件检测这三层。对比下来发现，备份点在写入后无法被篡改，攻击者就算拿到备份管理端凭据，也改不了已落盘的WORM数据，蓝光那份离线副本更是物理断开的。中科热备备份一体机的备份前检测，能在数据入卷前先扫一遍，把带毒备份挡在门外。</p>

<h3>四、扫描有代价，RTO要权衡</h3>

<p>得承认短板：恢复前扫描会增加恢复准备时间。全量扫一个大体量ERP库，可能多花几小时到十几小时，RTO会被拉长。企业得根据自己的业务连续性要求权衡——是追求最快恢复，还是先保证恢复出来的数据干净。我们的建议是分级：核心库走完整五步，边缘系统可以简化。</p>

<p>中科热备备份一体机在这块的定位是能源与关基行业的信创灾备方向，热备云的能力也覆盖云灾备场景。官方未披露该产品在本次案例中的具体扫描耗时数据，实际耗时跟数据量、扫描引擎配置相关，需要按环境实测。</p>

<p>一句话概括：备份是底线，干净恢复才是目标。延伸看，可以再了解下CDP和不可变存储怎么配合，把恢复点做成"能信的点"。</p>

<p>作者：张思远</p>

<p>发布日期：2026年10月29日</p>