3-2-1-1-0 规则究竟说了什么
3-2-1-1-0 规则是一个数据保护公式，规定了数据要保留多少份副本、存放在什么样的介质上，以及如何证明这些副本真的可用：
- 3 份数据副本：生产副本，外加至少两份备份。
- 2 种不同的介质或存储平台，这样单一的技术故障或厂商中断就无法一次性摧毁所有副本。
- 1 份存放在异地的副本，与主站点在地理上分离。
- 1 份额外的不可变或气隙隔离副本，即使是持有管理员凭据的攻击者也无法更改或触及它。
- 0 错误：每一份备份都经过验证，恢复经过测试，而不只是假定它能用。
前三位数字就是经典的 3-2-1 规则。第二个“1”和“0”是后来加上的。Veeam 表示它 “extended the rule to 3-2-1-1-0”（将这一规则扩展为 3-2-1-1-0），并直接给出了增加这份副本的理由：“ransomware increasingly targets backups.”（勒索软件越来越多地以备份为目标。）理解为什么要加上这两位数字，比单看这份清单更能说明现代备份策略的道理。
这条规则从何而来
名称中的“3-2-1”部分，早在勒索软件成为主流威胁之前就已出现。它被归功于摄影师 Peter Krogh 及其著作 The DAM Book: Digital Asset Management for Photographers。Krogh 并没有发明冗余副本和异地副本的理念；他只是给了它一个简单好记的名字。
一篇 2012 年为 US-CERT 撰写的文章 Data Backup Options（数据备份选项）是通常的参考出处。文中将这一规则表述为 “Keep 3 copies of any important file: 1 primary and 2 backups”（任何重要文件都保留 3 份副本：1 份主副本和 2 份备份）、“Keep the files on 2 different media types to protect against different types of hazards”（将文件保存在 2 种不同类型的介质上，以防范不同类型的风险）和 “Store 1 copy offsite”（将 1 份副本存放在异地），并引用 Krogh 这本书 2009 年的第二版作为出处。
同样的基本要求至今仍体现在现行指南中。NIST 的 Cybersecurity Framework 2.0（网络安全框架 2.0）列出了这样一项成果：“Backups of data are created, protected, maintained, and tested”（数据备份得到创建、保护、维护和测试）（PR.DS-11）。CISA 的 #StopRansomware 指南要求组织 “maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario.”（维护关键数据的离线加密备份，并在灾难恢复场景中定期测试备份的可用性和完整性。）
最初的 3-2-1 规则是为其所处时代的威胁而设计的：磁盘故障、火灾、洪水、盗窃和误删除。它的核心假设是：任何单一的物理事件，都不太可能摧毁分布在两种介质、两个地点上的三份数据副本。
为什么单靠 3-2-1 已经不够
当勒索软件操作者开始把备份基础设施当作首要目标，而不是需要绕开的障碍时，这一假设就被打破了。即使三份副本全都可以用同一套被盗凭据访问，存放在两种介质上、其中一份在异地的三份副本，仍然完全符合 3-2-1 规则。而这恰恰是现代勒索软件团伙所寻找的场景。CISA 的指南说得很明白：“most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid.”（大多数勒索软件行为者会试图找到可访问的备份，随后将其删除或加密，使受害者除非支付赎金，否则无法恢复。）
调查数据指向同一个方向。Veeam 的 2025 Ransomware Trends 报告基于对 1,300 家组织的调查，其中 900 家在过去 12 个月内遭受过勒索软件攻击。报告发现，遭受攻击的组织中有 89% 的备份存储库成为威胁行为者的目标，平均有 34% 的备份存储库被修改或删除。Sophos 的 State of Ransomware 2025（2025 年勒索软件现状）调查了 3,400 名所在组织遭受过勒索软件攻击的 IT 与网络安全负责人，发现数据被加密的组织中只有 54% 使用备份恢复了数据，Sophos 称这是六年来的最低比例。在该调查中支付金额超过攻击者初始要求的 151 家组织里，38% 表示其备份失败或出现故障。
三份在地理上相互分离的副本，挡不住一个已经握有删除这三份副本所需凭据的攻击者。增加的两位数字，正是为了弥补这一缺口。
额外的“1”：一份攻击者真正够不到的副本
额外的“1”要求至少有一份副本是不可变的或气隙隔离的。不可变是指在规定的保留期内防止被修改或删除，通常通过云对象存储上的 Object Lock（对象锁定）、一次写入多次读取（WORM）硬件，或在存储层强制执行保留策略的加固存储库来实现。气隙隔离则是指从生产环境到该副本之间根本不存在常驻的网络路径。
这项要求比乍看之下更为严格。同一服务商的两个云区域，如果都能用同一个管理账户访问，就不满足这项要求：只有地理分离而没有凭据分离，无法保护你免受已经拿到域管理员权限的攻击者的侵害。CISA 在谈到云备份时也提出了相关观点，建议采用多云方式，“in case all accounts under the same vendor are impacted.”（以防同一厂商下的所有账户都受到影响。）更稳健的实施方式通常会把用于快速恢复的不可变云存储，与一份用于最坏情况的离线或气隙隔离副本结合起来；所谓最坏情况，就是连不可变层的管理平面都已被攻陷。
不可变性本身也有取舍。CISA 的指南指出，一些云厂商提供的不可变存储无需单独的环境就能保护数据，并附上了一条警告：“Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost.”（请谨慎使用不可变存储，因为它不符合某些法规的合规标准，而且配置错误可能带来可观的成本。）
“0”：证明备份真的可用
“0”是这条规则中运营层面的那一半，也是最容易被跳过的一项。它要求零未经验证的备份：每一份备份都经过完整性检查，每一条恢复路径都定期进行端到端测试，而不只是盯着那个绿色的“作业成功”通知。Veeam 将这一位数字描述为 “zero recovery errors”（零恢复错误）；CISA 的说法则是 “regularly test the availability and integrity of backups.”（定期测试备份的可用性和完整性。）
备份作业成功与干净的恢复是两回事。Veeam 的 2024 Ransomware Trends 报告发现，在其调查的遭受攻击的组织中，只有 37% 在恢复过程中使用了某种形式的沙箱。如果没有一个在恢复数据重新投入生产之前对其进行扫描的暂存区，一次恢复就可能把攻击者的恶意软件一并带回来，让恢复变成第二次事件。
之所以要有“0”，是因为一份从未被恢复过的备份并不是一项控制措施，而只是一个假设。按计划开展、并以切合实际的恢复时间目标来衡量的验证，才能把这个假设变成在真实事件中可以依靠的事实。
实施 3-2-1-1-0 时的常见错误
- 把两个云区域算作“两种介质”。 介质类型多样化是指真正不同的存储技术或平台，而不是同一种对象存储的两个实例。
- 认为任何异地副本都满足额外的“1”。 异地解决的是地理问题；不可变或气隙隔离解决的是凭据被攻陷的问题。一份符合规则、却与生产环境共用身份平面的异地副本，并不能弥补当初促使增加这一位数字的那个缺口。
- 因为备份作业显示绿色就跳过“0”。 备份作业成功只能确认数据已被写入。它无法确认数据可以恢复、具备应用一致性，或者没有携带那个将迫使你进行恢复的恶意软件。
- 不论数据关键程度如何，一律套用这条规则。 一级系统通常需要比归档数据更频繁的验证和更短的 RTO；在整个环境中采用单一的保留和测试策略，往往会让最重要的系统保护不足，而在不那么重要的系统上花费过多。
在 2026 年，3-2-1-1-0 还够用吗？
对大多数组织来说，正确实施 3-2-1-1-0，就能弥补让勒索软件把备份基础设施变成攻击目标的那个缺口中相当大的一部分。所谓正确，是指不可变或隔离的副本以及恢复验证都得到切实执行，而不只是打了个勾。
它仍然是一条可靠的运营基线。Veeam 明确倡导 3-2-1-1-0 模型。NIST 和 CISA 强化了其背后的控制措施：受保护的备份、离线副本和定期测试。CISA 也提到不可变存储是一种选择，但附有上文引用的注意事项。
这条规则的不足之处不在于冗余，而在于周边的安全架构。它告诉我们要保留多少份副本、副本应当存放在哪里、应当处于什么状态。但它并没有完整定义在一次正在进行的入侵中保护这些副本所需要的访问治理、管理信任边界、网络分段、监控和恢复架构。
这正是 BackupSec 的斐波那契备份安全规则（5-3-2-1-1-0）所要解决的缺口。它并不取代 3-2-1-1-0，而是在其基础上增加了五项基础安全原则。
对于仍在努力全面实施并定期验证 3-2-1-1-0 策略的组织来说，这个基础要放在第一位。斐波那契规则是建立在它之上的架构层。
BackupSec 能做什么
BackupSec 解决的是这个问题中 Veeam 这一侧的部分。我们的四项服务与这条规则相对应：
- ZeroMON 监控 Veeam Backup & Replication。它以 OVA 形式在本地运行，通过只读账户连接，不向 BackupSec 或任何第三方发送任何数据。它跟踪作业健康状况，记录配置变更（谁在何时更改了什么），运行安全检查清单，并显示 Veeam 根据其自身存储库设置所报告的不可变性状态。告警通过电子邮件和应用内通知送达。ZeroMON 读取的是 Veeam 的配置；它不验证存储本身上的锁定，也不运行恢复测试。当支撑你的“1”和“0”的条件发生变化时，它会告诉你；恢复测试是另一项工作。
- ZeroVault 是支持 Object Lock 的 S3 兼容云对象存储，用作 Veeam 备份的异地不可变目标。与 ZeroMON 不同，它在设计上就把备份数据保存在你的环境之外，因为异地副本本来就是这个意思。
- ZeroTAM 为你提供一名专属的备份安全顾问，负责架构、容量、勒索软件恢复规划，以及危机中的优先支持。它是咨询工作，而不是软件：当你想知道你那额外的“1”究竟是真正隔离了，还是只是离得远而已，就可以去问这个人。
- ZeroPEN 是针对 Veeam Backup & Replication、Veeam ONE 和 Enterprise Manager 的威胁主导型渗透测试。它分八个阶段模拟一条映射到 MITRE ATT&CK 的勒索软件攻击链，从初始访问，经过存储库访问和备份瘫痪，直至证明具备加密能力。它是非破坏性的：ZeroPEN “never deletes real backups, performs real encryption, or stops production or backup services.”（绝不删除真实备份、不执行真实加密，也不停止生产或备份服务。）该服务还包含恢复完整性和不可变性验证，最后交付一套可直接用于审计的报告，并包括对严重发现的复测。
想先做个快速自查？免费的 Backup Security Assessment（备份安全评估）涵盖七个领域的 28 个问题，从备份策略、访问控制到恢复测试。