为什么勒索软件让备份成了攻击目标，而不再是安全网
多年来，备份一直是让企业能够挺过勒索软件的那个例外：生产环境被加密，就从备份中恢复，然后继续前进。攻击者已经追了上来。Veeam 的 2025 Ransomware Trends 报告调查了 1,300 家组织，其中 900 家在过去 12 个月内至少遭受过一次勒索软件攻击。Veeam 报告称，89% 的组织的备份存储库成为攻击者的目标，平均有 34% 的备份存储库被修改或删除。摧毁或破坏退路，会让受害者在勒索信到来之前就失去筹码。
后果体现在恢复数据上。Sophos 的 State of Ransomware 2025（2025 年勒索软件现状）调查了 3,400 名 IT 与安全负责人，他们所在的组织在过去一年中遭受过勒索软件攻击。在数据被加密的组织中，只有 54% 使用备份恢复了数据，这是 Sophos 开展该调查六年来的最低比例。在最终支付金额超过攻击者初始要求的 151 家组织中，38% 表示其备份失败或出现故障（受访者通常列举了两个原因）。纸面上存在的备份，与在压力之下能够干净地恢复的备份，并不是一回事。
“我们有备份”与“我们有能抵御勒索软件的备份”之间的差距，归结为三大支柱：不可变性、隔离和经过测试的恢复。它们不是可以随意搭配取舍的独立控制措施。缺了其中任何一项，另外两项都无法弥补。攻击者够不到的不可变备份，只有在真正能恢复时才有用；而一份经过充分测试的恢复计划，如果它所依赖的备份在演练开始前就被删除了，也就毫无价值。
三大支柱详解
1. 不可变性：攻击者碰不到的备份
不可变性意味着备份在其保留期内无法被更改或删除：配置错误的保留脚本做不到，被攻陷的管理员账户做不到，已经持有域管理员凭据的攻击者也做不到。在实践中，它通过对象存储上的 Object Lock（对象锁定）、一次写入多次读取（WORM）硬件，或者在存储层强制执行保留策略的加固 Linux 存储库来实现，独立于备份应用程序自身的访问控制。
这一区别之所以重要，是因为勒索软件操作者会去搜寻那些用窃取的凭据就能访问到的备份。CISA 的 #StopRansomware 指南直言不讳：“Ransomware actors often hunt for and collect credentials stored in the targeted environment and use those credentials to attempt to access backup solutions.”（勒索软件行为者经常搜寻并收集存储在目标环境中的凭据，并利用这些凭据尝试访问备份解决方案。）如果管理你备份软件的同一个管理账户也能删除上个月的恢复点，那么不可变性实际上并没有落实。它只是一个设置，权限足够高的攻击者几分钟内就能把它关掉。
CISA 自己的备份建议是：“maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario.”（维护关键数据的离线加密备份，并在灾难恢复场景中定期测试备份的可用性和完整性。）同一份指南对单独依赖不可变云存储持谨慎态度：“Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost.”（请谨慎使用不可变存储，因为它不符合某些法规的合规标准，而且配置错误可能带来可观的成本。）不可变性是一项强有力的控制措施，但它不能取代离线副本，也不能取代经过测试的恢复。
2. 隔离：独立的身份平面，以及一份攻击者完全够不到的副本
不可变性保护备份不被更改，隔离则从一开始就保护备份不被访问到。两者相辅相成，不能相互替代；只实施其中一项的企业，往往是在真实事件中而不是在设计评审中发现这一缺口的。
隔离包括两个组成部分。第一是独立的身份平面：备份基础设施不应信任与生产环境相同的 Active Directory 域、相同的管理凭据或相同的扁平网段。域控制器被攻陷，不应自动意味着备份环境也被攻陷；如果是这样，攻击者就只需攻破一处，而不是两处。第二是一份真正的离线或气隙隔离副本：关键数据至少要有一份副本，与生产环境之间完全没有常驻的网络路径。它可以是离线磁带轮换，可以是只在接收数据时短暂上线的断开式复制目标，也可以是一个云存储层，其持久凭据不缓存在生产环境可以访问到的任何地方。
Veeam 的 2025 年报告称，将数据韧性放在优先位置的组织 “can recover from attacks up to seven times faster and experience significantly lower data loss rates.”（从攻击中恢复的速度最多可快七倍，数据丢失率也显著更低。）Veeam 将此归功于整体的数据韧性（备份与恢复、主动安全、事件响应），而不单单是隔离。但隔离仍然是其中很重要的一部分：它决定了攻击者是必须真正付出额外的努力才能触及你的恢复点，还是因为恢复点与他们刚刚攻陷的系统共用同一个身份平面，而早已与之建立了会话。
3. 经过测试的恢复：在需要之前证明可恢复性
三大支柱中最不起眼的一项，也最容易只做了一半。在 Veeam 的 2025 年报告中，98% 的受访者有勒索软件应对预案，但只有 44% 在预案中写入了备份验证及其频率。Veeam 的 2024 Ransomware Trends 报告基于 1,200 家在 2023 年至少遭受过一次攻击的组织，发现 63% 的组织在恢复过程中面临重新引入感染的风险，因为承受着快速恢复压力的团队会跳过一些步骤，例如在隔离区中重新扫描数据。
未经测试的恢复，其失败方式在最关键的时刻到来之前始终是隐形的：备份链断裂、缺少应用一致性所需的依赖、服务账户凭据早在几个月前就已过期，或者运行手册是按一套早已不存在的基础设施拓扑编写的。跳过完整性检查和恶意软件扫描带来的风险比停机更严重：你可能恢复的正是最初导致中断的那个恶意载荷。
一个真正的经过测试的恢复方案，意味着按计划将完整恢复演练放到隔离的恢复环境中进行，而不仅仅是收到“备份作业成功”的通知。要用业务真正需要的 RTO 来衡量这些演练，而不是那些只是放在幻灯片里看起来令人安心的数字。
恢复数据究竟说明了什么
Sophos 的 2025 年数据有一个看起来令人安心的核心结论：数据被加密的组织中，97% 能够找回数据。细分数据则没有那么令人宽慰。只有略高于一半（54%）从备份中恢复，49% 支付了赎金并取回数据，29% 使用了其他方式；许多组织使用了不止一种途径。找回数据，与从你自己的备份中找回数据，是两种不同的结果。两者之间的距离，正是薄弱支柱暴露出来的地方：一个错误的角色就能覆盖的保留锁，一个仍然信任同一个域的“独立”备份网络，或者一次从未端到端演练过的恢复。
做错的代价
三大支柱不是一份抽象的最佳实践清单。它们直接关系到一次勒索软件事件的代价有多大、持续时间有多长。Sophos 的 2025 年报告显示，从勒索软件攻击中恢复的平均成本（不含已支付的赎金）为 153 万美元，低于 2024 年的 273 万美元。53% 的受害者在一周内完全恢复，而一年前这一比例为 35%。其余受害者则在某种程度的中断状态中度过了超过七天，停机、生产力损失和事件响应人力成本每天都在累积。
备份态势是这个等式中组织能够完全掌控的少数变量之一。攻击者针对你备份存储库的第一步是成功还是失败，在很大程度上取决于几个月前做出的选择，而不是事件发生时。等到威胁行为者已经拿到域管理员凭据、正在探测你的备份平台时，不可变性、隔离和经过测试的恢复要么已经到位，要么没有；在压力之下根本没有机会临时补上。
悄悄削弱全部三大支柱的常见错误
在事后复盘中，有几种模式反复出现：
- 把快照当作备份。 VMware 快照是原始虚拟磁盘的变更日志，而不是一份独立的副本。Broadcom 的快照最佳实践文章说得很直白：“Do not use VMware snapshots as backups.”（不要将 VMware 快照用作备份。）快照文件保留的时间越长就会越大，可能占满数据存储并影响性能；而且如果基础磁盘丢失，“the snapshot files alone are not sufficient to restore a virtual machine.”（仅凭快照文件不足以恢复虚拟机。）快照是用于短期回滚的便利功能（Broadcom 建议单个快照的保留时间不超过 72 小时），而不是一种恢复策略。
- 把“不可变”当作一个勾选项，而不是一项经过验证的特性。 Object Lock 和保留策略必须针对管理备份平台的那个确切的管理角色进行测试，而不只是写在配置指南里。
- 把同一身份域中的第二份副本称为“隔离”。 如果在生产环境中被攻陷的同一套凭据可以通过备份存储库的身份验证，那么地理上或平台上的分离并不能提供真正的隔离。
- 以备份完成而不是恢复验证来衡量成功。 昨晚作业旁边的绿色对勾只能告诉你数据被写到了某个地方。它不能告诉你这些数据是否可以取回、是否具备应用一致性，以及是否没有携带当初迫使你进行恢复的那个恶意软件。
BackupSec 能做什么
BackupSec 不取代你的备份平台。我们的三项服务与上述支柱相对应：
- ZeroMON 监控 Veeam Backup & Replication。它以 OVA 形式在本地运行，通过只读账户连接，不向 BackupSec 或任何第三方发送任何数据。它跟踪作业健康状况，在其 Forensic & Audit 模块中记录配置变更（谁在何时更改了什么），运行 Security Analyzer 检查清单，生成报告，并通过电子邮件和应用内通知发出告警。它按照 Veeam 自身存储库设置所报告的情况显示每个存储库的不可变性状态，并在该设置发生变化时予以标记。它读取的是 Veeam 的配置，不验证存储本身上对象级别的锁定。
- ZeroTAM 是一名专属的备份安全顾问，而不是软件：负责架构与隔离设计、容量规划、勒索软件恢复规划，以及危机期间的优先支持。
- ZeroPEN 是针对 Veeam Backup & Replication、Veeam ONE 和 Enterprise Manager 的威胁主导型渗透测试。它分八个阶段模拟一条映射到 MITRE ATT&CK 的勒索软件攻击链：初始访问、发现与清点、凭据滥用、攻陷 Veeam 服务器、存储库访问、备份瘫痪、数据外泄模拟，以及加密能力证明。它绝不删除真实备份、不执行真实加密，也不停止生产或备份服务。你将获得可直接用于审计的证据，严重发现会得到复测。该服务还包含恢复完整性和不可变性验证。它是一次特定时间点的测试，因此第 3 项支柱中的定期恢复演练仍然需要进行。
想知道你自己的备份能否经受住考验？免费的 Backup Security Assessment（备份安全评估）涵盖七个领域的 28 个问题，从备份策略、访问控制到恢复测试。