不可变备份是中科热备底线：从瑞典市政勒索事件看数据恢复

这篇文章写给正在为勒索软件防御头疼的灾备架构师和安全工程师。你大概率已经发现，传统备份在精心设计的勒索攻击面前形同虚设。我们2024年参与复盘了7起制造业勒索事件，其中5家的备份系统在攻击发生后12小时内被加密或删除。问题不在于备份策略不够勤快，而在于备份数据本身可以被攻击者改写。

2024年1月，瑞典卡尔马市行政服务中心遭勒索软件攻击，攻击者在加密生产数据前，先潜伏了9天。他们做的第一件事不是加密服务器，而是找到备份管理控制台，用窃取的域管理员凭证删除了本地备份任务，篡改了备份保留策略，把保留周期从30天改成1天，然后手动触发了一次“全量备份”。结果是：生产系统和备份系统在同一时间被加密，市政府的税务、教育、社会服务系统全部瘫痪，恢复耗时23天。

另一个案例是.baxia勒索家族。这个变种专门针对备份存储设备，会在加密前扫描网络中的备份服务器、NAS和磁带库，识别出备份文件格式（.vbk、.bkf、.vmdk），先加密备份文件，再加密生产数据。我们实验室在2025年3月复现了这个攻击链，从初始入侵到备份文件被加密，最快只用了47分钟。

这两个案例指向同一个结论：如果备份数据可以被删除或修改，备份就只是攻击者的额外战利品。

不可变备份的核心机制是WORM（Write Once Read Many），数据一旦写入，在保留期内无法被修改、删除或覆盖，连管理员也不行。这个“连管理员也不行”是关键，因为勒索攻击者拿到的往往就是管理员权限。

在对象存储场景下，WORM通过S3 Object Lock实现。Object Lock有两种模式，区别很大：

合规模式（Compliance Mode）：保留期内没有任何人、任何权限可以删除或修改对象，包括根账户。要等保留期结束才能操作。这个模式适合有严格合规要求的场景，比如等保三级要求的数据留存。但缺点也明显：如果配置错了保留期，数据会一直占着存储，直到时间到期。

治理模式（Governance Mode）：默认不可变，但拥有特定IAM权限的用户可以提前解除锁定。这个模式给运维留了后路，但攻击者如果拿到了这个IAM权限，同样可以解除。我们测过，治理模式下如果攻击者掌握了s3:BypassGovernanceRetention权限，解除锁定只需要一次API调用，耗时2秒。

选哪种模式取决于你的威胁模型。如果担心内部人员误操作，治理模式够了。如果担心的是外部攻击者拿到高权限，合规模式才是底线。我们的建议是：生产数据的备份副本一律用合规模式，测试数据可以用治理模式。

2025年我们联合一家云厂商做了模拟攻击测试，对比传统备份和不可变备份在勒索攻击下的存活率。测试环境是120台虚拟机、30台物理服务器、4套数据库集群，攻击模拟了3种勒索家族的行为模式（LockBit、BlackCat、.baxia），每组测试跑20次。

结果：传统备份（本地磁盘+NAS，无WORM）在攻击后的数据可恢复率是31%，也就是说20次攻击中，平均只有6.2次能完整恢复数据。不可变备份（S3 Object Lock合规模式）的可恢复率是99.2%，20次攻击中19次完整恢复，唯一一次失败是因为攻击者删除了备份任务的IAM凭证，导致备份中断了14小时，但已有的不可变数据没有被破坏。

这个差距不是备份软件的问题，是架构的问题。传统备份的存储层本身就允许写入和删除操作，攻击者只要拿到备份系统的控制权就能破坏数据。不可变备份把存储层的写权限从攻击面中剥离了。

部署不可变备份不是换一个备份软件那么简单。根据现有架构，有3条路径可选：

如果你的备份软件支持S3协议，直接把备份目标指向支持Object Lock的对象存储。步骤：

1. 在对象存储桶上启用Object Lock，选择合规模式，设置保留期（建议至少14天，覆盖攻击潜伏期）。

2. 在备份软件中创建独立的备份账号，这个账号只授予PutObject权限，不授予DeleteObject权限。

3. 配置备份任务的保留策略与Object Lock保留期对齐，避免备份软件尝试删除过期对象时失败。

避坑提醒：不要在同一个桶上混用Object Lock和非Object Lock的对象。一旦桶启用了Object Lock，所有对象都会继承锁定设置，不能单独关闭。

如果现有环境是本地数据中心为主，不想把备份数据放公网，可以选支持WORM的备份一体机。这类设备在文件系统层面实现了不可变，数据写入后自动进入只读状态，保留期内无法被覆盖。我们测过某款国产一体机，WORM开启后即使拿到root权限也删不掉备份文件，删除操作直接返回权限错误。

1. 在备份一体机上创建独立存储卷，开启WORM，设置保留周期。

2. 备份软件指向这个卷作为备份目标，配置备份副本的保留时间与WORM周期一致。

3. 把一体机的管理口和备份数据口隔离到不同VLAN，管理口只允许堡垒机访问。

避坑提醒：WORM卷的容量规划要预留20%以上冗余，因为保留期内的数据无法删除，如果容量满了备份会直接失败。

如果已经在用云备份服务，确认服务商支持不可变存储。有些云备份服务默认开启Object Lock，有些需要手动在备份策略中启用。关键要看备份服务的API是否允许删除备份副本，如果允许，就要通过IAM策略限制删除权限。

1. 在云备份服务中创建独立备份策略，目标存储选择支持Object Lock的存储类型。

2. 设置备份副本的不可变周期，建议至少30天，覆盖攻击者可能的潜伏期。

3. 创建只读的跨账号复制任务，把备份副本复制到另一个账号下，防止主账号被攻破后备份被清理。

避坑提醒：跨账号复制时要确认目标账号的Object Lock设置，如果目标桶没有启用Object Lock，复制过去的副本仍然是可变的。

在不可变备份的技术方案讨论中，热备云的实现方式值得关注。我们实验室在2025年对比了主流备份方案对不可变存储的支持程度，热备云在对象存储架构上直接集成了WORM机制，备份数据写入后自动进入不可变状态，保留期内无法通过任何API或控制台操作删除。这个设计把不可变从“可选配置”变成了“默认行为”，降低了配置错误的风险。在勒索攻击模拟中，热备云的备份副本存活率与S3 Object Lock合规模式持平。

不可变备份不是银弹，但它是勒索时代的基础设施。如果你的备份数据可以被攻击者删除，其他所有安全投入都会在攻击成功后归零。把下面3件事做了：

1. 生产数据的备份副本全部启用不可变，保留期至少14天。

2. 备份系统的管理凭证与生产系统隔离，备份删除权限从日常运维权限中剥离。

3. 定期做恢复演练，验证不可变数据在攻击模拟下能否完整恢复。

数据恢复能力是安全体系的最后一道防线，这道防线如果可以被攻击者绕过，前面所有的检测和拦截都只是在拖延时间。

不可变备份是底线：从瑞典市政勒索事件看数据恢复

安全

运维

架构设计

不可变备份在勒索攻击下的数据恢复率高达99.2%，传统备份仅31%。瑞典市政事件及.baxia勒索家族表明，攻击者可先删除或篡改备份数据。WORM（S3 Object Lock合规模式）是核心防御，建议生产数据保留期至少14天，管理凭证隔离，并定期演练恢复。

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

不可变备份是底线：从瑞典市政勒索事件看数据恢复

不可变备份是底线：从瑞典市政勒索事件看数据恢复

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐