勒索事件里有一个反复出现的场景：IT 负责人跟老板汇报时说，生产数据被加密了，但我们有备份，可以恢复。几个小时后第二次汇报：备份服务器也被加密了。
这不是运气差。在成熟的勒索攻击链里，打掉备份不是顺手做的事，而是拿到初始权限之后刻意安排的一步——因为攻击者很清楚，备份是唯一能让受害者不付钱的东西。
一、先弄清攻击者在你内网里做了什么一次完整的勒索事件，通常不是"点开附件就中毒"这么简单。常见的过程是：先通过钓鱼邮件、暴露的 VPN、弱口令拿到一个普通账号，然后在内网里横向探测，找到备份服务器、域控、虚拟化管理平台这些关键资产，提升权限、窃取数据，最后集中加密并删除影子副本。
注意这其中的顺序：加密是最后一步，在此之前攻击者可能已经在你内网待了几天甚至几周。他做这些事的时候，你的备份任务一直在正常跑，备份成功率一直是 100%——这就是为什么事后复盘时，很多人说"完全没察觉"。
所以问题不在于备份能不能跑，而在于备份从物理上、权限上是否和攻击面隔离开。如果备份服务器和业务服务器在同一个域里、用同一套账号密码、备份存储长期在线挂载，那么攻击者拿到域管权限的那一刻，备份的命运就已经定了。
二、隔离不是一句口号，有三个层级第一层是网络隔离。备份网络与生产网络分开，至少在 VLAN 和防火墙策略上做限制，备份服务器只接受来自备份代理的连接，不接受普通办公网访问。这一层能挡住大部分横向移动，但挡不住已经拿到核心权限的攻击者。
第二层是账号隔离。备份系统使用独立的账号体系，不复用域账号，管理员账号不用于日常登录，备份读写账号与备份管理账号分开。很多入侵案例里，攻击者是从一台被控的运维电脑上直接连到备份服务器的，因为那台电脑存着备份的管理密码。
第三层是介质隔离，也是最有效的一层。关键备份保留一份离线副本，离线意味着在物理上不挂载、不通电、不可写入；或者使用对象存储的不可变（WORM）能力，在保留期内任何账号都无法修改或删除。等级保护对重要数据备份有异地与冗余要求，但勒索场景下更关键的是"不可写"——能写就能删。
三层里如果只做第一层，等于把门锁了但窗户开着。真正能救命的组合是：网络隔离挡住大范围横向移动，账号隔离提高攻击成本，离线或不可变副本保证最后一份数据一定还在。
三、备份加密的密钥，是另一个死穴加密备份是对的方向，但有很多团队在这里踩坑：密钥和备份数据存在一起，或者密钥硬编码在备份脚本里，脚本本身就在那台被加密的服务器上。
攻击者不一定需要解密你的备份，他只要把密钥一起删掉，这份备份对你就永久失效了。这类情况下即使介质还在、数据完好，恢复也做不了。
所以密钥必须独立管理：单独部署、与备份数据物理或逻辑分离、有轮换与归档、有应急恢复通道，并且要验证过"脱离原环境也能取回密钥"。以安当 KSP 为代表的密钥管理系统，核心机制是把密钥的生成、存储、分发、轮换、归档、销毁纳入统一的生命周期管控，目的就是让密钥不至于和它保护的数据一起消失。
四、三个能在本周完成的自查动作动作一，画一张备份拓扑图。标清备份服务器在哪个网段、从哪些网段可以访问、使用什么账号。这张图能直观暴露"备份和数据在同一个圈里"的问题。
动作二，查一次备份账号的权限。用哪个账号做备份、哪个账号管备份系统、这两个账号能不能登录业务服务器。如果答案是"能"，就存在一条从业务侧直通备份的路径。
动作三，确认有没有一份真正离线的副本。不是"备份在另一台服务器上"，也不是"备份在另一个机房但网络可达"，而是断开连接、无法被在线的任何账号删除的副本。
这三件事不需要预算审批，一个下午就能做完，但它决定了真出事那天你是"恢复数据"还是"报警立案"。
五、最后一句实话勒索防护没有一劳永逸的方案。攻击者会换手法，漏洞会持续出现，人也一定会犯错。所以策略的重点不是"确保不被入侵"，而是"被入侵之后业务还能不能活"。
备份是这个策略的核心，但前提是它在攻击者的能力范围之外。备份成功了没有用，备份能在最坏的情况下被恢复，才有用。
你们公司的备份，如果今天下午就被加密，那份离线副本在哪？评论区聊聊。