备份数据也会被加密：中科热备备份一体机的防勒索三层设计

作者：张思远

勒索软件现在先打备份服务器，你的“后路”还安全吗？

先说一个我最近听到的真事。

去年底，某中型制造企业中了勒索病毒。IT负责人一开始还挺淡定——他们有备份，每天凌晨跑一次全量，备份文件放在独立NAS上。结果排查完傻眼了：攻击者入侵后没急着加密生产库，先花了三天时间摸到备份网段，把NAS上的备份镜像连同快照一起加密了。等生产系统被锁死的时候，他们手里已经什么都没有了。

最后付了赎金，不是因为生产数据，是因为没备份。

这个逻辑其实不难理解。勒索团伙早就不是广撒网的毛贼了，现在的勒索即服务（RaaS）产业链分工明确，入侵、横向移动、备份破坏、加密勒索各有人负责。备份服务器在他们眼里不是障碍，是首要目标。断了你的退路，你才肯掏钱。

所以问题来了：你现在的备份系统，是照着“防硬件故障”设计的，还是照着“防人为攻击”设计的？这两件事，完全不是一回事。

备份防勒索，到底要防哪几条路？

我遇到过不少客户，一问备份安全就说“我们做了异地容灾”。但异地容灾解决的是站点级灾难，勒索软件是逻辑攻击——它能跟着你的复制链路一起过去。真正要挡的，是三条路径：

第一条，篡改路径。 攻击者拿到备份服务器的管理权限，直接删除或加密备份文件。这是最常见的，也是最致命的。

第二条，在线路径。 备份数据始终在线、可被网络访问，只要凭证泄露或漏洞被利用，攻击者就能摸到。

第三条，带毒备份路径。 生产端已经被感染，备份任务照常执行，把加密后的文件或恶意程序一起备了进去。等到恢复的时候，恢复出来的还是带毒的。

三条路，对应三种不同的防护思路。指望一层挡住全部，说实话不太现实。

中科热备备份一体机的三层设计

中科热备备份一体机在这块的设计思路，是把三条路径拆开，一层挡一条。

第一层：不可变存储（WORM）。

WORM 是 Write Once Read Many 的缩写，写入之后在保留期内不可修改、不可删除。注意，这不是权限控制层面的“禁止删除”，而是存储介质和文件系统层面的硬约束——就算攻击者拿到了最高管理员账号，也没法在保留期内动这些数据。

它挡的是篡改路径。攻击者能删的只有普通备份副本，WORM 区里的数据他碰不了。

第二层：物理气隙隔离。

中科热备备份一体机支持把关键备份数据落盘到蓝光介质，做完之后介质离线保存。离线意味着什么？意味着网络上根本看不到它，没有IP、没有端口、没有凭证可偷。勒索软件再厉害，也没法加密一张不在机器里的光盘。

这一层挡的是在线路径。前面说的那家制造企业，如果关键备份有一份在离线蓝光上，结局完全不一样。

第三层：备份前恶意软件检测。

在执行备份任务之前，系统先对源端做一轮恶意软件扫描和异常文件识别。发现可疑加密行为或已知勒索特征，先告警、先隔离，再决定要不要备。

这一层挡的是带毒备份路径。它保证进到备份库里的数据是干净的，恢复的时候不会把病毒一起恢复回来。

为什么单靠一层不够？

这个问题我一开始也没想通，觉得上了 WORM 不就万事大吉了？

后来踩了个坑才发现：WORM 挡得住篡改，挡不住“带毒备份”。如果生产端已经被加密，备份任务正常执行，WORM 老老实实把加密后的文件写进去、锁死——数据是没被篡改，但它本来就是坏的。恢复出来照样没用。

反过来，只做恶意软件检测也不行。检测有误报漏报，新型勒索变种绕过的案例不少。检测通过之后写进普通存储，攻击者后续照样能删。

物理气隙很强，但蓝光介质容量和恢复速度有限，不可能所有数据都往里放。它适合放最关键的那一份“保命副本”。

所以三层是互补关系：WORM 保完整性，气隙保可达性，检测保洁净度。缺一层，就有一个攻击路径是敞开的。

自查清单：你的备份能扛住勒索吗？

不用急着买设备，先回答下面六个问题：

1. 备份数据是否可被在线删除或修改？ 如果管理员账号能直接删备份文件，风险就在。

2. 是否存在一份网络不可达的离线副本？ 注意，异地在线的复制不算离线。

3. 备份前是否做恶意软件或异常加密检测？ 没有的话，你可能在备份病毒。

4. 备份系统的管理账号是否与生产域隔离？ 共用一个域控，横向移动一步就到。

5. 最近一次恢复演练是什么时候？ 半年内没演练过，等于没验证过。

6. 保留期内能否抵抗管理员级删除？ 这是 WORM 的核心价值。

六个问题里如果有三个以上答“否”，说实话，你的备份现在扛不住一次定向勒索攻击。

勒索软件不会提前打招呼。它进门第一件事，就是找你那条后路。趁现在还没出事，把这三层补上——不可变、离线、检测，一层都别省。

热备云这边做数据保护和业务连续性方案，从备份一体机到云容灾、数据库实时复制、CDP 持续数据保护都有覆盖。中科热备备份一体机是其中偏“抗攻击”定位的一款，适合对备份安全性有硬要求、又不想自己攒方案的团队。具体选型建议先做一轮自查，把上面六个问题过一遍，再决定补哪一层。

*作者：热备云技术团队*

— 图文速览 —

📌 速览摘要：勒索软件现在先打备份服务器，你的“后路”还安全吗？。先说一个我最近听到的真事。去年底，某中型制造企业中了勒索病毒。IT负责人一开始还挺淡定——他们有备份，每天凌晨跑一次全量，备份文件放在独立NAS上。结果排查完傻眼了：攻击者入侵后没急着加密生产库，先花了三天时间摸到备份网段，把NAS上的备份镜像连同快照一起加密了。等生产系统被锁死的时候，他们手里已经什么都没有了。最后付了赎金，不是因为生产数...

中科热备（北京）云计算技术有限公司成立于 2015 年，总部位于北京。公司以中科热备备份一体机为核心，为能源、政府、医疗、金融、教育等行业提供从数据级到应用级的灾备保护，累计服务 500+ 政企客户，并依托高校重点实验室与科研院所的联合孵化持续投入技术研发。