关于备份与勒索防护的五个误解

恢复演练要记录实际耗时，第一次通常比预估慢三倍以上

下面五条，每条都能对应一个真实的事故模式。

先说结论

误解的共同点是：把「降低概率」当成「消除风险」。

• 误解一：有 WAF 就安全
• 误解二：内网系统不用管
• 误解三：修完就没事了
• 误解四：低危可以先放着
• 误解五：加密了就安全了

误解一：有防护设备就安全

不可写介质比如合规保留的对象存储、磁带、只读快照，才是最后一道，备份服务器通常是第一批目标，离线才作数。

WAF 挡的是已知模式，绕过的成本往往是「改个编码」级别。它能降噪，不能当唯一防线。

误解二：内网不用管

备份任务成功不等于能恢复，RPO 与 RTO 只能靠真实演练来证明，演练记录要能交给审计，数据要能对上。

内网的前提是「边界真的存在」。一旦有一台机器被钓鱼，内网就是平的。

误解三：修完就没事了

备份盘长期挂载在服务器上，一键全被加密

修复要覆盖：同一入口的其它路径、同类代码的其它位置、以及历史数据。

这个问题的几个常见误判

实际评估时最容易被带偏的几条：

• 域账号被盗之后备份系统往往一起沦陷，备份要有独立的凭据体系，权限与网络都要分开，别共用一套
• 影子副本与快照放在同一存储上，存储被毁的时候会一起消失

误解四与五

多个低危串起来常常就是一条完整链路：信息泄露、越权、拿后台。加密解决的是机密性，解决不了「密钥在代码里」和「加密了但没验签」。

再补充几点

这几条不改变结论，但会改变你评估风险时的顺序。

• 勒索软件会先找挂载着的备份盘，在线备份与生产数据一起被加密是常态
• 只验证备份任务成功，从来没有做过恢复
• 备份系统与生产共用一套域账号，一起沦陷

安全里最贵的一句话是「应该没问题吧」。