核心要点（TL;DR）

• 勒索病毒会优先加密备份，只有离线或不可变副本才算有效备份。
• 3-2-1策略落地为：3份副本、2种介质、至少1份离线或不可变。
• 恢复演练必须定期执行并记录RTO与RPO，未演练的备份等于没有备份。
• 备份账号应最小权限、独立凭据，并开启删除保护与审计日志。

很多团队在勒索病毒事件后才发现，真正致命的不是主机被加密，而是备份盘、NAS 和云同步目录被同一套域账号一并加密——备份在线、权限过大、从不演练，三条凑齐就等于没有备份。本文面向需要立刻动手的运维与站长，给出一份可直接执行的勒索病毒防护清单：把 3-2-1 备份策略落到命令和配置，把离线恢复演练做成可验收的流程。

一、先认清风险：勒索病毒为什么专挑备份下手

现代勒索软件在加密前会做横向扫描，重点寻找 SMB 共享、备份软件管理端口、云同步客户端和卷影副本。常见手法包括删除 vssadmin 卷影、停止备份服务、用窃取到的管理员凭据登录备份服务器。结果就是生产数据和备份同时失效。

• 在线即危险：备份目录长期挂载在文件服务器上，等于给攻击者准备了现成目标。
• 权限过大：备份任务用域管理员运行，凭据一旦泄露，备份服务器直接失守。
• 从未验证：备份任务显示成功，但从未恢复过，文件损坏或缺失无人知晓。

判断标准很简单：攻击者拿到你的一台普通主机管理员权限后，能否删除或加密全部备份？能，就说明备份策略不合格。

二、3-2-1 策略落地：三份副本、两种介质、一份离线

3-2-1 是勒索病毒防护中性价比最高的备份原则：至少 3 份数据副本，分布在 2 种不同介质上，其中 1 份离线或不可变。落地时建议按下表分配角色。

Linux 环境可用 rsync 生成第二份副本，并通过只读挂载与快照降低被改写风险：

# 备份源目录到备份服务器，保留属性并删除目标多余文件
rsync -aHAX --delete /data/ backup@10.0.8.20:/srv/backup/data/

# 备份完成后对目标卷做只读挂载，防止在线篡改
mount -o remount,ro /srv/backup

# 使用 LVM 快照保留时间点副本
lvcreate -L 20G -s -n data_snap /dev/vg0/data

第三份副本建议写入外部硬盘后物理断开，或使用支持对象锁的云存储，开启保留期内禁止删除策略。注意备份账号与生产账号分离，备份任务使用仅具备写入权限的独立凭据。

三、加固备份链路：让副本在攻击中不可改写

离线只是第一步，备份服务器本身也要按被攻击目标来加固。

1. 备份服务器使用独立管理员账号，禁止与域控共用口令，开启多因素认证。
2. 仅允许备份网段访问备份端口，关闭公网映射与不必要的远程登录。
3. 开启不可变存储或对象锁，保留期设为 7 天以上，保留期内任何账号不可删除。
4. 启用操作审计日志并实时转发到独立日志服务器，防止日志被清。
5. 定期检查备份任务结果与容量趋势，异常中断要告警而非静默跳过。

在防护建议层面，可结合 AegisX 的主机行为监控与备份目录访问审计能力，对批量删除、异常加密写入和备份服务被停止等行为做实时告警，把发现时间从数天压缩到分钟级。

四、离线恢复演练：分步执行并验收 RTO 与 RPO

未演练的备份等于没有备份。演练的目标不是「能恢复」，而是「在可接受时间内恢复到可接受的数据点」。

1. 定范围：挑选核心业务系统与一台普通文件服务器，覆盖系统盘、数据库和配置文件。
2. 隔离环境：在独立网段准备恢复主机，禁止连接生产网络，避免带毒恢复。
3. 执行恢复：从离线副本或不可变快照恢复，记录开始与完成时间。
4. 功能验证：检查应用能否启动、账号能否登录、能否写入新数据、数据库一致性是否通过。
5. 记录指标：实际 RTO 为恢复总耗时，实际 RPO 为恢复数据时间点与故障时间的差值，写入演练报告。
6. 复盘改进：对失败项列出责任人与整改期限，下轮演练重点验证。

建议核心系统每月一次、一般系统每季度一次演练，并在每次重大变更后追加一次。演练报告与备份清单一起归档，作为勒索病毒事件响应预案的附件。

五、一分钟自查清单

• 是否存在至少一份物理断开或开启对象锁的备份副本？
• 备份账号是否独立、最小权限、已开启多因素认证？
• 备份服务器是否禁止生产网段以外的访问？
• 最近一次成功恢复演练距今是否在 90 天内？
• RTO 与 RPO 是否有书面指标并被业务方确认？
• 备份失败是否有告警，日志是否异地留存？

行动建议：今天先做两件事——把一份备份改为离线或不可变存储，并预约一次隔离环境恢复演练。完成这两步后，再按清单逐项补齐权限、审计与告警，勒索病毒防护的底线才算真正建立。

常见问题（FAQ）

3-2-1备份策略具体指什么？为什么能防勒索病毒？

3-2-1指至少保留3份数据副本、存放在2种不同介质上、其中1份位于异地或离线环境。勒索病毒入侵后会遍历网络共享和备份目录批量加密，在线备份盘往往一并沦陷；而离线介质或不可变存储物理/逻辑上无法被改写，能保证至少一份干净副本可用于恢复。

离线备份多久做一次比较合适？

取决于业务可接受的数据丢失量即RPO。一般业务系统建议每日一次离线或不可变快照，核心交易类数据缩短到每4到6小时。关键是离线副本的间隔要与RPO对齐，并保证轮换介质至少保留7到30天，避免勒索病毒潜伏期内的副本全部被污染。

恢复演练应该怎么做才算合格？

合格标准是能在隔离环境完整恢复业务并记录耗时。步骤为：抽取一台非生产主机，从离线副本恢复系统与数据，启动应用验证登录、查询、写入等关键功能，记录实际RTO与数据时间点RPO，最后形成演练报告并归档。建议每季度至少一次，核心系统每月一次。

备份服务器本身要怎么加固？

备份服务器应使用独立凭据与最小权限账号，禁止与域控共用管理员口令；开启不可变存储或对象锁，设置保留期内禁止删除；关闭不必要的远程登录入口，仅允许备份网段访问；启用操作审计日志并异地留存，防止攻击者删除日志掩盖痕迹。

没有预算买专业备份设备怎么办？

可用低成本方案替代：定期将备份写入外部硬盘并物理断开，或用支持对象锁的云存储开启保留策略；Linux环境可用rsync加只读挂载与快照实现准离线副本。核心是保证至少一份副本在攻击发生时不可被在线改写，成本高低不影响原则。