核心要点（TL;DR）

• 3-2-1备份的核心价值是那份物理隔离的离线副本，在线备份同样会被加密。
• 离线副本必须做到网络与账号双重隔离，轮换介质并记录台账。
• 备份不做恢复演练等于没有备份，建议每季度至少验证一次。
• 备份账号应最小权限、独立凭据，避免与域账号共用。

很多团队在勒索病毒事件后才发现：备份服务器和生产机在同一个域、同一个网段、用同一套管理员口令，病毒横向移动时把备份仓库一起加密了。勒索病毒防护的最后一环不是杀毒软件，而是那份攻击者拿不到、删不掉的离线副本。本文按运维可执行的粒度，把 3-2-1 备份从原则拆成盘位规划、命令落地、轮换台账和恢复演练，照着做就能上线。

一、先明确：3-2-1 备份到底要落地成什么

3-2-1 指至少 3 份数据副本、2 种不同介质、1 份异地或离线。对勒索病毒防护而言，真正起作用的是那份离线副本，因为在线备份同样会被加密或删除。

先画出这张表，把每份副本的负责人、更新频率、保留周期写清楚，再动手配置。

二、盘位与账号规划：先隔离，再备份

备份失败的根因多数在权限设计。落地时遵守三条：

• 网络隔离：备份服务器单独网段，仅放行备份端口（如 SSH 22 或备份软件专用端口），禁止备份端主动访问生产网段。
• 账号隔离：备份使用独立账号与独立密钥，不使用域管理员；生产机上的备份账号只对备份目录有读权限。
• 删除权限分离：日常备份账号无删除权限，清理旧副本由单独的管理账号执行，或依赖不可变策略自动过期。

检查命令示例（确认备份端未开放多余共享）：

ss -lntp | grep -E '445|139|3389'
smbclient -L //backup-host -U backupuser

若备份端开着 SMB 共享或远程桌面，先关掉，这是勒索病毒横向移动最常见的入口。

三、副本1与副本2：本地快照 + 增量同步

生产机先做文件系统或 LVM 快照，保证备份时数据一致：

# LVM 快照示例
lvcreate -L 20G -s -n data_snap /dev/vg0/data
mount /dev/vg0/data_snap /mnt/snap

# 同步到备份服务器（增量、保留属性）
rsync -aHAX --delete --numeric-ids /mnt/snap/ backupuser@10.0.8.20:/data/app/
umount /mnt/snap && lvremove -f /dev/vg0/data_snap

用 restic 或 borg 做带校验的仓库备份更适合勒索场景，仓库密码单独保管：

restic -r sftp:backupuser@10.0.8.20:/repo init
restic -r sftp:backupuser@10.0.8.20:/repo backup /data/app --tag daily
restic -r sftp:backupuser@10.0.8.20:/repo check --read-data-subset=5%

要点：备份仓库启用只追加或不可变策略，写入后 7 到 30 天内不可删除；备份日志单独留存，便于事后判断污染时间点。

四、副本3：离线副本的物理轮换与不可变存储

离线副本是勒索病毒防护的关键。两种落地方式按预算选择：

• 物理轮换：准备两块以上移动硬盘，编号 A/B/C，每周轮换一块接入备份机，同步完成后 umount 并断电，异地存放，台账记录编号、日期、校验值。
• 不可变存储：对象存储开启 WORM 或版本控制 + 保留策略，备份账号仅有写入权限，保留期内任何账号无法删除或覆盖。

移动硬盘同步示例：

mount /dev/sdb1 /mnt/offline
rsync -aHAX --delete /mnt/snap/ /mnt/offline/app/
sync && umount /mnt/offline
# 记录台账：日期、盘号、文件数、校验和
find /mnt/offline/app -type f | wc -l

离线盘接入前先在一台不联网的机器上做只读挂载检查，确认无异常文件再归档。轮换周期建议不超过 7 天，否则 RPO 会被拉长。

五、恢复演练与上线检查清单

备份不做恢复演练等于没有备份。每季度在隔离环境执行一次：

1. 用备份仓库校验命令确认完整性（如 restic check）。
2. 抽取核心目录恢复到测试机，比对文件数量与关键文件校验和。
3. 记录恢复耗时，作为 RTO 参考值写入预案。
4. 演练结果留档，标注失败项与整改人。

上线前逐项打勾：

• 3 份副本均已就位，离线副本与网络物理隔离。
• 备份账号独立、最小权限，删除权限已分离。
• 备份仓库开启不可变或保留策略。
• 轮换台账与校验记录可追溯。
• 最近一次恢复演练在 90 天内且通过。

在防护建议上，可结合 AegisX 的备份完整性监控与异常加密行为检测能力，对备份任务失败、仓库异常删除等事件做告警，把“备份是否还活着”变成可观测指标。

行动建议

今天就做三件事：盘点现有备份并标注哪一份真正离线；为备份端建立独立账号并关闭多余共享；把下一次恢复演练写进日历。勒索病毒防护的胜负往往在事件发生前就已决定，离线副本和可验证的恢复流程，才是你真正的兜底。

常见问题（FAQ）

3-2-1备份具体指什么，小公司也要做吗？

3-2-1指至少3份数据副本、存放在2种不同介质、其中1份位于异地或离线。小公司同样适用，可简化为：生产数据+本地备份盘+每周带走的移动硬盘。关键不在数量堆叠，而在那份与网络隔离的副本，勒索病毒加密在线设备时它不受影响。

离线副本多久做一次、保留几份比较合理？

建议按数据变化频率定周期：核心业务每日增量、每周一份完整离线副本，保留4到8周。RPO要求高的可缩短到每日离线。保留份数遵循“近期密、远期疏”，并保留至少一份月度归档，防止勒索病毒潜伏期超过备份轮换周期导致所有副本都被污染。

备份服务器也会被勒索病毒加密，怎么防？

核心是隔离与最小权限：备份端使用独立账号与独立凭据，不与域管理员共用；备份仓库开启不可变或WORM策略，写入后限定期限内不可删改；备份服务器单独网段，仅放行必要端口；关闭备份端的SMB共享与远程桌面，避免成为横向移动跳板。

没有预算买磁带库或对象存储，怎么实现离线？

用移动硬盘做物理轮换即可：准备两块以上硬盘，每周轮换一块接入备份机，完成后卸载并断电存放于不同地点，台账记录编号与日期。配合LVM或文件系统快照先做本地快照，再同步到移动硬盘，成本低且能实现真正的网络隔离。

怎么验证备份真的能恢复？

定期做恢复演练：在隔离环境用备份工具校验仓库完整性，抽取关键目录恢复到测试机并比对文件数量与校验和，记录恢复耗时作为RTO参考。建议每季度一次全量演练、每月一次抽样校验，演练结果留档，避免真正出事时才发现备份不可用。