上期關于勒索軟件(jiàn)攻擊的應對方案解讀(dú)中，我們提出了“要抵禦勒索病毒，必須實行安全備份”的觀點。很明顯，确保備份服務器本身(shēn)的安全至關重要，否則即便做了多重備份，都(dōu)可(kě)能淪爲“無用功”。

旋即就(jiù)有圍觀群衆提出了這樣的問(wèn)題：“備份服務器被加密了，咋辦？”

關于“備份服務器已經被加密”這個既定事(shì)實，如(rú)果你(nǐ)沒有異地容災或其他(tā)第三站(zhàn)點的保護機(jī)制，實話(huà)實說(shuō)還(hái)真是隻能兩手一攤┓( ´∀` )┏，沒啥好辦法。對于企業而言，更應“防患于未然”，通過多種備份策略，将受害風(fēng)險降至最低。

                                                           3-2-1 Go！                                                        

有多種備份策略可(kě)以最小化組織成爲勒索軟件(jiàn)受害者的風(fēng)險：

• Air Gap備份--讓數據離(lí)線并存放(fàng)在磁帶等可(kě)移動的介質上，這樣，勒索軟件(jiàn)就(jiù)無法訪問(wèn)或加密數據。很少有措施可(kě)以宣稱對勒索軟件(jiàn)100%有效，但(dàn)Air Gap是其中之一。企業不能低估其價值。
  
• 分(fēn)發到不同位置的多備份鏡像副本--該方法可(kě)能會讓勒索軟件(jiàn)無法捕獲所有的數據副本。通常，勒索軟件(jiàn)多通過普通用戶賬戶接近本地存儲和訪問(wèn)的數據。對勒索軟件(jiàn)而言，發現備份鏡像的每個副本費時又費力，基本不可(kě)能實現。
  
• 限制使用備份證書(shū)（憑據）--通過限制使用登錄憑據或用戶帳戶來(lái)管理(lǐ)和操作(zuò)備份系統，用戶被網絡釣魚或粗心浏覽網頁會話(huà)的概率即便不會降低到0，也會大(dà)大(dà)減小。這種方法可(kě)有效關閉最常見(jiàn)的入口點，有助于防止勒索軟件(jiàn)感染備份環境。
  
• 評估你(nǐ)的RPO--要最大(dà)限度地防範勒索軟件(jiàn)攻擊造成任何傷害，請(qǐng)更頻繁地運行備份以縮小RPO。這種方法可(kě)以将潛在的數據丢失減少到小時級或分(fēn)鍾級。
  

當然，别忘了“3-2-1”備份法則：3個備份目的地，2種備份介質，至少1份offsite copy。

比如(rú)這樣▽

如(rú)果數據隻備份了一次，嚴格意義上講，那就(jiù)不是備份。兩次就(jiù)沒問(wèn)題，但(dàn)要确保至少有一份使用了不同的存儲技術(shù)，可(kě)以是磁帶，也可(kě)以是私有雲存儲，如(rú)Veritas Access，或公有雲，如(rú)AWS、Azure等。（Copy it）

将備份副本保留在異地會提供額外的安全。确保可(kě)移動介質（如(rú)磁帶）被安全地存儲，或使用雲存儲。通過Veritas A.I.R創建隔離(lí)的鏡像，并确保勒索軟件(jiàn)無法破壞你(nǐ)的備份副本。（Isolate it）

保留所有備份，即便你(nǐ)認爲已經從(cóng)一次勒索事(shì)件(jiàn)中恢複過來(lái)。備份策略中應該包含備份保留管理(lǐ)，無論副本在哪裡(lǐ)。LTR方案可(kě)以有效管理(lǐ)成本。确保你(nǐ)可(kě)以暫停備份，以保證備份不會被覆蓋。（Keep it）