核心要点（TL;DR）
- EDR负责发现与阻断，备份容灾负责兜底恢复，两者缺一不可。
- 备份必须满足离线或不可变，否则会与主机一同被加密。
- 恢复能力要用演练验证，没演练过的备份等于没有备份。
- 勒索防护的短板通常在人，权限最小化与账号分离优先做。
很多运维同行是在文件被改成奇怪后缀、桌面出现勒索说明时才第一次认真看勒索病毒防护产品。此时再比较EDR和备份方案已经晚了。本文面向要动手解决问题的运维与站长，把选型逻辑拆成可执行步骤：先看清两类产品各自解决什么问题，再给出主机加固命令、备份检查清单和恢复演练流程，最后落到一份能直接照做的行动清单。
一、先分清：EDR管发现，备份容灾管兜底
勒索病毒防护不是买一个产品就结束。EDR（终端检测响应）关注的是入侵过程：进程行为、脚本执行、横向移动、批量文件改写。备份容灾关注的是最坏结果：数据还能不能回来。两者是概率与下限的关系，不能互相替代。
| 维度 | EDR | 备份容灾 |
|---|---|---|
| 核心作用 | 发现异常行为并阻断 | 提供可恢复的数据副本 |
| 失效场景 | 漏报、被绕过、无专人看告警 | 备份在线可被加密、从未演练 |
| 落地重点 | 覆盖关键主机、告警有人处理 | 离线或不可变、定期恢复演练 |
当前市场趋势也很清楚：EDR在向托管检测响应延伸，解决“买了没人看”的问题；备份侧则在强调不可变存储与隔离恢复环境，防止备份与生产一起被加密。
二、主机侧先做能立刻执行的加固
在评估任何产品之前，先把暴露面收掉。以下命令可直接在Linux服务器执行，用于快速自查。
# 查看监听端口，确认是否有数据库、远程管理直接暴露公网
ss -tulnp
# 检查SSH是否允许密码登录（建议改为 no，仅密钥）
grep -Ei '^\s*(PasswordAuthentication|PermitRootLogin)' /etc/ssh/sshd_config
# 查看近期新增账号与sudo权限
awk -F: '>=1000{print }' /etc/passwd
grep -rE 'NOPASSWD' /etc/sudoers /etc/sudoers.d/ 2>/dev/null
# 检查计划任务中是否有可疑下载执行
crontab -l; ls -l /etc/cron.*Windows侧重点检查远程桌面是否暴露、是否启用多因素认证、管理员账号是否与日常账号分离。加固完成后，再评估EDR能否覆盖这些关键主机，否则产品能力再强也覆盖不到风险点。
三、备份容灾：按清单逐项核对
备份环节最常见的失败不是没做，而是做了却恢复不了。建议按下面清单逐项打勾。
- 3-2-1原则：至少3份副本、2种介质、1份异地。
- 离线或不可变：至少一份副本在保留期内无法被修改删除，且管理凭据与生产环境分离。
- 备份账号隔离：备份系统使用独立账号，禁止用域管理员或root直接跑备份任务。
- 监控备份结果：任务失败、容量异常、保留策略被修改都要告警。
- 记录恢复耗时：明确关键业务RTO与RPO，并写入预案。
判断备份是否合格只有一个标准：在隔离环境中能否把关键业务完整还原并跑起来。
四、恢复演练：把“应该能恢复”变成“确实能恢复”
演练不需要全量，抽取核心业务数据即可。步骤如下：
- 在隔离网络准备一台恢复用主机，禁止接入生产网段。
- 从离线或不可变副本还原最近一份数据，记录开始与结束时间。
- 校验文件数量、大小与关键表记录数，抽查业务能否正常启动。
- 核对备份保留策略与凭据是否仍有效，更新应急联系人。
- 输出演练记录，标注失败项并限期整改。
演练频率建议关键业务每季度一次，普通业务每半年一次。演练暴露的问题，比任何产品参数都更有价值。
五、防护建议与行动清单
产品选型上，EDR优先覆盖对外服务和存放核心数据的主机，并要求告警有明确处理人；备份侧优先解决离线或不可变副本缺失的问题。像AegisX这类方案在主机防护与备份侧都提供了对应能力，可作为对照评估的参考项，但关键仍是把配置落到可验证的状态。
今天就能做的三件事：一是用上面的命令完成一轮暴露面自查并关闭多余端口；二是确认至少一份备份处于离线或不可变状态；三是排期一次小范围恢复演练。勒索病毒防护的差距往往不在产品清单，而在这些具体动作是否真的执行过。
常见问题（FAQ）
公司预算有限，先上EDR还是先做备份容灾？
先做备份容灾，再补EDR。原因是备份决定最坏情况下的恢复下限，没有可用备份时EDR一旦漏报就是数据全失；而EDR提升的是发现与阻断概率。预算紧张时优先实现离线或不可变备份加定期恢复演练，再逐步在关键服务器上部署EDR。
不可变备份和离线备份有什么区别，选哪个？
不可变备份通过对象锁或WORM策略让数据在保留期内无法修改删除，依赖存储与权限配置；离线备份是物理或网络隔离，攻击者根本接触不到。两者目标一致但风险面不同：不可变备份要防管理员账号被盗后被改策略，离线备份要防介质丢失与恢复慢。实践中建议至少保留一份离线副本。
备份显示成功就代表能恢复吗？
不代表。备份任务成功只说明写入完成，不代表数据完整可挂载。必须定期做恢复演练：抽取关键业务数据在隔离环境实际还原，校验文件数量、大小和业务可用性，并记录恢复耗时。没有演练记录的备份，在应急时往往暴露版本缺失或凭据失效问题。
服务器已经被勒索加密，第一步该做什么？
立即隔离而不是关机重启。先断开网络或禁用网卡，保留内存与日志证据，再确认备份是否完好并评估影响范围。切勿直接付赎金或格式化重装，也不要让同一账号继续登录其他主机。随后按预案从离线备份恢复，并排查初始入侵入口，如暴露的远程桌面或弱口令。
EDR部署后还需要做哪些基础加固？
EDR不能替代基础加固。至少完成：关闭不必要的公网暴露端口，远程管理走VPN或跳板机，启用多因素认证，账号最小权限与管理员账号分离，及时打补丁，开启系统与应用日志集中收集。这些措施能显著降低被初始入侵的概率，也让EDR的告警更有价值。