备份误区二：同网段备份成勒索跳板
导语：备份和生产同网段同权限，等于给勒索留了"一键清仓"的按钮。
一、为什么要关注（背景与痛点）
本系列前文讲过的勒索防御，这里点一个高频错：把备份放在生产同一网段、用同一套域账号。勒索拿到权限后顺着网络直接清掉备份，所谓"有备份"瞬间归零。2026年94%的勒索攻击会主动破坏备份，同网段是最大破绽。
二、核心原理 / 关键概念
- 横向移动：勒索在内网横向扩散，同网段备份首当其冲。
- 权限共因：同一账号/网段，攻破生产即攻破备份。
- 网络分段：备份网与生产网逻辑隔离，独立凭据。
- 不可变+隔离：如本系列讲过的不可变备份与空气隔离那篇，写定不可改+物理/逻辑断开。
- 思路：备份要"看不见、改不了、连不上"生产。
三、落地做法 / 操作步骤
- 备份网络与生产网分段，独立VLAN/防火墙。
- 备份用独立账号，权限最小化，不与生产共用。
- 副本启用不可变（WORM），防改。
- 加一份离线/空气隔离副本（见本系列讲过的空气隔离与离线副本那篇）。 检查清单：
- 备份网与生产网已分段
- 备份独立账号已设
- 副本不可变已开
- 离线隔离副本已备
四、与群晖NAS / 信创云盘的对应能力
群晖NAS的Snapshot Replication提供不可变快照，Hyper Backup可把副本推到独立网段/离线设备；信创云盘作为收口层也建议网络隔离部署。行业通用勒索防护强调"分段+不可变+离线"，落地看"网络隔离、独立凭据、不可变能力"。
五、常见误区 / 避坑提醒
- 误区一：备份同网段，勒索顺网清仓。
- 误区二：备份用域管理员账号，一破全破。
- 误区三：只不可变不隔离，仍可被撑爆或绕过。
六、小结与行动建议
备份要分段、独立账号、不可变、加离线。行动：把备份网与生产网分段，换独立账号，副本开不可变并加离线副本。