勒索病毒如何通过备份反制（不可变备份）
导语：现代勒索病毒会专门盯上备份——本文讲清它如何得手，以及"不可变备份"为何成为最后底线。
一、为什么要关注（背景与痛点）
早期的勒索病毒只加密本机文件。如今成熟团伙会先横向移动，寻找并加密网络上的备份服务器、映射盘、存储管理员账号，目的很直接：让你"无备份可恢复"，被迫付赎金。某制造企业曾因域控账号泄露，备份机被一并加密，最终停产三天。对政企而言，备份若能被病毒改写的，就不算真正安全的备份。
二、核心原理 / 关键概念
勒索病毒反制备份的常见路径：
- 映射盘加密：备份若以网络盘形式常驻生产机，病毒顺手加密。
- 账号提权：拿到存储/备份管理员权限后删除或加密备份任务。
- 快照篡改：若快照可被同一账号修改，则快照也失守。
对抗核心——不可变备份（Immutable Backup）：
- 写后不可改（WORM，Write Once Read Many）：备份写入后，在保留期内任何账号（含管理员）都无法删除或改写。
- 逻辑/物理隔离：备份存放在病毒无法触及的隔离区或对象存储的合规保留策略中。
- 离线副本：与网络断开的一份，彻底阻断横向加密。
三、落地做法 / 操作步骤
构建抗勒索备份的落地步骤：
- 备份机独立账号：备份系统使用专用账号，不与生产域账号互通。
- 启用不可变保留：在备份目标上开启"保留期内不可删除"（如30天）。
- 离线/异地副本：至少一份备份不常连网，或存放在隔离的异地节点。
- 最小权限：生产机不持久映射备份盘，按需挂载用完即卸。
- 演练恢复：定期用离线副本做一次干净恢复，验证可用性。
检查清单：
- 备份目标已启用不可变/合规保留
- 备份账号独立于生产域且权限最小化
- 存在一份离线或逻辑隔离副本
- 已演练从隔离副本恢复
四、与群晖NAS / 信创云盘的对应能力
群晖NAS的Snapshot Replication支持快照锁定（Snapshot Retention Lock），在锁定窗口内快照不可被修改或删除，相当于为快照加上不可变属性；Hyper Backup可把备份写入启用了不可变策略的兼容对象存储或异地NAS，形成抗篡改副本。信创云盘可配合只读/权限隔离与版本保留，降低文件被恶意覆盖的风险。三者组合，构成"近防快照+远防不可变备份"的纵深。
五、常见误区 / 避坑提醒
- 误区一：备份在同一账号下就安全。管理员权限一旦泄露，备份首当其冲。
- 误区二：有快照=抗勒索。可改快照照样被加密。
- 误区三：云同步盘能当备份。实时同步会把加密结果同步过去，且常无不可变保留。
六、小结与行动建议
面对定向勒索，备份的第一要务是"改不了、删不掉、够隔离"。行动：为关键系统开启快照锁定+不可变异地副本，并每季度做一次隔离恢复演练。