断网后第22天才发现数据被搬空：备份这道防线怎么守住

断网后第22天才发现数据被搬空：备份这道防线怎么守住

10月20日，一个叫FulcrumSec的勒索与披露组织公开宣称，他们从PingCAP旗下托管数据库服务TiDB Cloud持续窃取了约10.6TB数据，并放出了约200GB的第一阶段样本。攻击方说得很具体：22天，88次导出，一次都没被发现。PingCAP当天回应，受影响的是部分内部经营数据，不涉及客户核心数据，也不影响客户业务安全。在第三方核验完成之前，两边的话都不能当成最终结论。但无论最后怎么定性，这件事都值得所有做数据安全的人停下来想一想。

它至少说明三件事。第一，你的数据比你以为的传得更远。用户在App里填的手机号、地址、消费记录，看起来只存在那一家公司，实际上它经过了支付通道、短信平台、云服务商、数据分析公司，每多经过一道手，就多一个可能被偷的口子。第二，出问题最多的地方往往不是“保险箱”，而是“钥匙”。很多人以为数据上了锁就安全，但这次攻击方用的是从内部系统偷来的账号密码。门锁是顶级的，钥匙却从物业那里被拿走了，锁再好也没用。第三，最危险的是“我们一直都这样”的习惯。工程师为了方便，把重要密码随手写进代码、存进内部系统、共享给同事，一次图省事，可能留下几年都拆不掉的后门。

这里有一句实话：光靠“管好钥匙”已经不够了。账号没泄露、产品没漏洞、数据库没被攻破，这三条都做到了，数据照样可能流出。因为数据泄露的绝大多数，除了被“黑”出去的，更多是被“用正常的权限、走正常的通道”传出去的——员工把客户名单发到自己邮箱，研发把源码传到私人网盘，运维把日志上传到公共云盘，销售把报价单拷进U盘。这些动作，账号是合法的，权限是正常的，传统的防火墙和杀毒软件一个都拦不住。所以，对企业而言，比“被黑”更普遍的，是数据被用正常权限、走正常通道偷走，而系统毫无感知。真正关键的问题不是“有没有锁”，而是：是否能在数据被改动、被导出、被破坏的当下就感知到。

这正是备份这条防线需要重新被理解的地方。很多企业有备份，但备份本身是不是安全、是不是可信、是不是可追溯，往往没人认真问过。中科热备备份一体机在做的，就是把这几件事同时兜住。

首先是备份数据本身的安全。系统支持不可变存储，也就是WORM机制，备份一旦写入，在设定的保留周期内不可篡改、不可删除。这意味着什么？即使生产系统被攻破，即使管理账号被拿走，历史备份副本也改不了、删不掉。攻击者可以加密你的生产库，可以删你的业务数据，但他动不了那份已经落盘、进入不可变周期的备份。这是把“最后一道防线”真正做成了一道墙，而不是一张纸。

其次是访问与权限管控。备份与恢复操作的账号权限可以细分、可以追踪，任何一次备份、恢复、导出都有审计记录，谁在什么时间动了哪份数据，一目了然。异常访问能触发告警，比如非工作时间的批量导出、同一账号短时间内的反复恢复操作。回到这次事件，“22天88次导出都没被发现”之所以成立，是因为对方走的是正常通道、用的是正常权限，而系统没有对“正常权限下的异常行为”做出反应。备份系统的审计和告警，补的就是这个盲区。

第三是备份前的安全扫描与备份链完整性校验。备份不是把数据拷过去就完事。如果前端数据已经被加密、被污染，备份下来的可能就是一堆“坏数据”。系统能够在备份过程中识别异常数据混入，校验备份链的完整性，防止出现“备份了早已被加密的坏数据”这种最坏情况。备份的可恢复性，比备份的存在性更重要。

第四，备份是数据泄露与勒索的最后防线。即使前端数据被拖走、被加密，只要还有一份可信、未被污染的备份，业务就能恢复，损失就能被压到最低。这不是说备份能阻止泄露发生，而是说在泄露发生之后，企业还有牌可打，而不是只能等着交赎金或者对外公告。

写到这里，不妨做一次企业自查。你的备份是否不可变？是否能追溯谁动过备份？备份本身会不会被攻破？备份副本是否可信、是否验证过可恢复？这四个问题，任何一个答不上来，备份这道防线就还是虚的。PingCAP这件事，说到底不是“国产数据库不行”，而是一个普遍真相：当你把数据交给别人托管，风险就不再是“你自己的锁牢不牢”，而是“对方有没有管好他家的钥匙”。而对所有企业来说，更现实的问题是：数据被搬空的那一刻，你能不能知道；知道之后，你手里还有没有一份干净、可信、改不掉的备份。

（原文来源：热备云）