勒索软件时代：你的备份数据安全吗？

最近几个月我连续接到好几个客户的求助电话都是中了勒索病毒。说真的干灾备这行十几年以前一年也碰不到几个勒索案例现在一个月就能听到好几起。有个客户是做电商的凌晨三点被锁了数据库所有订单、商品信息全变成了.locked后缀赎金开价80个比特币。最惨的是他们以为自己的备份很完善——每天全量备份磁带归档结果恢复的时候才发现备份文件早就被勒索病毒一并加密了。这就是我今天想跟你聊的核心问题在勒索软件时代我们传统的备份方式到底还能不能守住数据的最后防线传统备份为什么在勒索病毒面前不堪一击很多人觉得只要做了备份中了勒索病毒大不了恢复一下。这个想法放到十年前可能还行得通现在嘛……只能说你太天真了。我之前碰到一个客户用的是某品牌的备份软件备份服务器和业务服务器在同一个域里面备份数据直接写到一块普通的NAS存储上。勒索病毒进来之后首先扫描网络共享找到备份目录然后一键加密。你想想备份数据跟业务数据在同一个网络平面里病毒进来就像回自己家一样想怎么搞就怎么搞。还有更狠的。有些勒索病毒会在系统里潜伏几周甚至几个月等到备份窗口期过了把最新的备份也污染了再触发加密。等你发现的时候所有的备份版本都已经是加密后的垃圾数据。说白了传统的备份架构有几个致命弱点第一备份数据对勒索病毒是可见的只要病毒能访问到备份存储它就能加密第二备份数据对勒索病毒是可写的病毒可以覆盖或删除旧的备份第三恢复验证基本靠猜很多人备份了一两年从来没做过恢复演练真到恢复的时候才发现备份文件早就坏了。不可变存储和隔离备份两个救命的思路说到这个就不得不提最近几年在灾备圈子里特别火的两个概念不可变存储和隔离备份。这两个东西不是什么黑科技但对付勒索病毒确实管用。不可变存储英文叫immutable storage意思就是数据写进去之后在设定的保留期内谁都不能改也不能删。注意这个谁包括操作系统管理员、包括备份软件本身、甚至包括存储管理员自己。我之前测试过某款支持WORM一次写入多次读取特性的存储设备设置了一个月的保留期然后用管理员账号去删文件系统直接报错操作不被允许。这才对嘛。隔离备份就更直接了。就是把备份数据放在一个物理或逻辑上完全隔离的环境里业务网络和备份网络之间没有直接的访问通道。有的企业用磁带离线归档写完磁带就拔出来锁进保险柜有的企业用专用的备份网络通过跳板机或API来调度备份任务核心数据网络不通。我记得有一次去一个金融客户现场他们的备份机房在另一栋楼里光纤从地下管沟走中间还有防火墙做单向传输控制。虽然配置起来麻烦点但安全系数确实高。有意思的是现在很多企业级备份产品已经把不可变和隔离这两个功能打包在一起了。比如我们团队用的中科热备的方案底层存储直接支持不可变快照备份数据写入后自动锁定病毒就算拿到管理员权限也改不了。再加上网络层面的隔离设计基本能做到勒索病毒来了备份数据完好无损。3-2-1备份原则在今天该怎么落地做灾备的老人都知道3-2-1原则至少3份数据副本存储在2种不同的介质上其中1份放在异地。这个原则在磁带时代很实用放到云原生和勒索病毒横行的今天我觉得需要加几条新规则。第一3份副本里至少要有1份是不可变的。别把鸡蛋都放在一个篮子里但更别把鸡蛋放在一个能被病毒打碎的篮子里。数据保护的核心不是有备份而是备份能恢复。第二2种介质最好一种是高速存储比如SSD或NVMe另一种是低成本冷存储比如蓝光光盘或磁带。为什么因为勒索病毒的加密速度非常快如果你只有一种介质病毒可能在几小时内就把所有副本都加密了。冷存储的优势在于它天然是离线的病毒根本访问不到。第三异地的那个副本现在最好用云。我们团队推荐客户用热备云的异地容灾方案数据通过加密通道传到云端对象存储云端再开启不可变保留策略。这样即使本地机房被勒索病毒物理摧毁比如有人把服务器砸了云端的数据还是安全的。而且云端的恢复演练非常方便按需拉起一个临时环境就能验证备份有效性。记得去年有个做制造业的客户他们按照这个思路改造了备份架构本地一台备份一体机做每日增量备份每周全量同步到热备云的对象存储上本地备份数据开启不可变快照云端数据设置90天的保留期。后来果然中了勒索病毒业务服务器全挂了但他们直接从云端恢复数据只花了4个小时就恢复了核心业务系统。客户事后跟我说那80万的赎金省下来了够买好几年的云备份服务。怎么构建一套不怕勒索的备份体系说了这么多最后给你一个可操作的路线图。这套方案我们已经在好几个客户那里验证过效果不错。第一步做备份数据的网络隔离。把备份网络和业务网络分开中间用防火墙或VLAN做逻辑隔离。备份服务器可以发起备份任务但业务网络不能主动访问备份存储。如果条件允许用物理隔离比如独立的交换机更安全。第二步选择支持不可变存储的备份产品。不管是备份一体机还是纯软件方案底层存储必须支持WORM或不可变快照。我建议你选那些通过认证的企业级产品比如中科热备的系列方案他们家的不可变存储已经通过了等保三级认证对等保合规也有帮助。第三步部署异地或云端副本。本地备份再安全也防不住物理破坏或内部人员恶意操作。把一份副本放到云端用DRaaS模式做容灾关键时刻可以直接在云端拉起业务。现在很多云厂商都提供对象存储的不可变功能成本也不高。第四步定期做恢复演练。这个太重要了。我建议每个季度至少做一次全量恢复测试别嫌麻烦。演练的时候不光要验证数据完整性还要测试恢复时间RTO和数据丢失量RPO。如果恢复时间超过业务容忍上限就得调整备份策略。第五步建立监控和告警机制。备份任务失败、存储空间不足、备份数据异常变化这些都要有实时告警。我们之前遇到过客户备份任务失败了一周都没人发现结果数据丢了只能认栽。用企业数据备份平台自带的监控功能或者对接Zabbix、Prometheus之类的工具都可以。最后说一句勒索软件这东西技术上能防住80%剩下的20%靠管理。别把管理员密码设成123456别把备份服务器的RDP暴露到公网别让非授权人员接触备份管理界面。咱们做术能做的就是把数据保护体系的最后一道防线筑牢。至于病毒怎么变种那是安全厂商的事我们只要保证——不管病毒多厉害我的备份数据永远安全、可恢复。如果你正在规划或改造备份架构建议从不可变存储和网络隔离这两点入手。其他的可以慢慢优化但这俩是底线。需要具体方案的话可以去云灾备官网看看他们有不少针对勒索病毒场景的数据容灾案例和最佳实践。