备份服务器成了勒索首选目标，你的备份还安全吗

作者：赵启明

勒索软件先删备份再加密：只做一套在线备份，等于没有备份

去年底有个客户半夜给我打电话，语气很急。他们中了勒索，加密倒是其次——真正让他们慌的是，攻击者进来第一件事不是加密，而是把他们那套在线备份的目录翻了个遍，删得干干净净。等发现的时候，生产库和数据副本一起被锁死了。

这不是个例。这两年攻防逻辑已经彻底变了。早些年勒索软件是"广撒网、快加密"，现在是有组织地做前期侦察：找备份服务器、找域控、找管理凭证，先把你的退路断掉，再慢慢加密生产数据。说白了，人家研究的不是怎么加密你，而是怎么让你恢复不了。

所以今天不聊"要不要备份"这种老话题，聊点更要命的：备份本身怎么才安全。

三种手段，各有各的边界

现在业内讲备份安全，绕不开三类手段，但很多人只知道名词，不清楚它们的适用边界在哪。

第一类，不可变存储（WORM）。 原理是"写后不可改"——数据一旦写入，在保留期内任何账号、任何权限都改不了、删不掉，连管理员也不行。它的边界在于：防的是"被删被改"，防不了"被读取"。如果攻击者拿到了凭证，虽然删不掉，但可能把副本拷走。所以 WORM 通常要和加密、访问审计一起用。

第二类，物理气隙隔离。 就是离线介质，磁带、离线硬盘，平时不接网络，攻击者根本触达不到。这是目前对抗勒索最硬的一道墙。但边界也很明显：离线就意味着恢复慢、操作麻烦，而且如果介质管理不规范，比如用完随手插回带网络的机器，气隙就形同虚设。

第三类，备份前恶意软件检测。 思路是在恢复之前先扫描副本，确认没被感染再还原，避免"恢复即二次感染"。这个环节很多人会忽略，但它是最后一道闸门。边界是：扫描引擎有滞后性，对新型变种可能漏检，所以它只能作为补充，不能当主力。

为什么一套在线备份等于没有

话说回来，为什么开头那个客户会这么被动？

因为在线备份有个致命的结构性问题：它和生产环境共享同一套身份体系、同一张网络。攻击者一旦拿到域管权限，你的备份服务器对他来说就是自家后院。备份软件为了方便，往往还配着高权限账号、固定端口、可远程管理的接口——每一样都是给攻击者准备的梯子。

我自己也踩过这个坑。之前帮一个团队做演练，红队进来不到两小时就把备份节点拿下了，用的就是备份软件的一个默认配置。当时我挺震惊的，后来想明白了：不是备份软件不安全，是我们默认"备份在内网就是安全的"，这个假设在勒索面前根本不成立。

只做一套在线备份，在勒索场景下不是"备份不够"，而是"备份不算数"。

3-2-1 原则，该改改了

3-2-1 原则——3 份副本、2 种介质、1 份异地——是备份界的常识。但放到今天的勒索环境里，它有个漏洞：它没规定"其中至少一份必须改不了、碰不到"。

我的修正用法是这样的：

再补一条现在很关键的：恢复能力要定期验证。备份最怕的不是没备份，是备份了却恢复不了。演练要真做，不能只看备份任务成功率的绿灯。

这里可以提一下中科热备备份一体机的思路。它把不可变存储、离线归档和恢复前检测这几件事做在了同一套体系里，不是靠事后打补丁。中科热备备份一体机支持对备份副本设置保留期内的写入锁定，配合离线介质管理，能覆盖"删不掉、碰不到"这两个关键场景。之前有个制造业客户，就是靠中科热备的离线副本在一次勒索事件里保住了核心数据——生产环境被加密，但离线那份没受影响，最终恢复了业务。这类案例的价值不在数字多漂亮，而在于它验证了一件事：退路必须独立于主战场。

现在就能做的自查清单

别等出事再补。下面这几条，建议这周就对着查一遍：

1. 备份账号是否和生产域账号隔离？ 共用一套凭证的，风险极高。

2. 有没有至少一份不可变或离线副本？ 全是在线可删的，等于没有。

3. 离线介质有没有"用完即离网"的流程？ 随手插回网络等于白做。

4. 恢复前有没有恶意软件检测环节？ 没有的话，恢复可能触发二次感染。

5. 最近一次真实恢复演练是什么时候？ 只跑过备份任务的，不算数。

6. 备份系统的管理接口有没有暴露在内网可远程访问？ 默认配置要改。

说实话，这些问题一开始我也没全想通，是踩过坑、看过真实事件之后才慢慢理清的。勒索攻击不会提前打招呼，但它一定会先找你的退路。备份安全的核心，不是备份得多，而是让攻击者够不着、改不了、删不掉。

热备云在数据保护与业务连续性这块，覆盖了备份一体机、云容灾、数据库实时复制和 CDP 持续数据保护，核心思路也是围绕"独立、不可变、可验证"来设计的。如果你的备份还只有一套在线副本，那真该重新想一想了。

---

作者：热备云数据保护团队

参考方向：IDC 勒索软件防护相关报告、等保 2.0 备份恢复要求

中科热备（北京）云计算技术有限公司专注于数据备份、容灾恢复与业务连续性管理。核心产品中科热备备份一体机满足等保2.0 灾备相关要求，具备相应资质与证书，并完成信创适配、支持国产化软硬件生态，已在能源、政府、医疗、金融、教育等行业落地应用。