「我們有備份」是勒索軟體事件中最常聽到、也最常落空的一句話。常見的狀況是：備份伺服器加入了同一個網域，攻擊者拿到網域管理員權限後順手把它清空；備份放在一直連線的 NAS 上，跟著被加密；或是備份都在，但從來沒有測過，真正要還原時才發現要花好幾天，還缺了關鍵設定。攻擊者會刻意刪除陰影複製、備份目錄、虛擬機快照與雲端備份，目的就是讓受害者只剩付款一條路[1]。

這篇文章說明怎麼設計一套「被攻擊時還能用」的備份：3-2-1 原則與常見延伸、離線與不可變副本、備份權限如何與網域分離、如何用 RPO 與 RTO 決定備份頻率，以及檔案之外還要備份什麼。勒索軟體的完整攻擊流程，請見勒索軟體如何入侵企業。

3-2-1 原則與它的延伸

數位發展部資通安全署在《中小企業基本資安防護指引》中把 3-2-1 列為基本措施：資料保留 3 份、存放在 2 種不同儲存媒體、其中 1 份異地存放，且至少 1 份需離線存放（air-gapped），並要定期執行備份演練（測試與還原）[2]。

拆開來看，每個數字防的是不同風險：

  • 3 份：正本加上至少兩份備份，任何一份損壞都還有其他選擇
  • 2 種媒體：例如磁碟陣列加上磁帶或物件儲存，避免同一種故障或同一個漏洞一次毀掉所有副本
  • 1 份異地：防火災、水災、機房斷電這類實體災害
  • 至少 1 份離線：防勒索軟體。異地不等於離線，持續同步到雲端硬碟或另一個機房的副本，只要從內網連得到、用同一組帳號管理，就可能一起被刪除或加密

業界另有「3-2-1-1-0」的延伸說法，由備份廠商 Veeam 推廣：在 3-2-1 之外，再多 1 份不可變或離線的副本，並要求還原驗證做到 0 個錯誤[3]。這是業界慣例而非正式標準，但它點出兩件事：至少要有一份攻擊者改不了的副本，而且要驗證備份真的還原得回來。

為什麼備份會成為攻擊目標

MITRE ATT&CK 把「阻礙系統復原」列為獨立的攻擊技術，常見手法包括用系統工具刪除陰影複製與 Windows 備份目錄、停用自動修復、刪除或加密 ESXi 虛擬機快照，以及在雲端環境停用版本控制、刪除快照與備份政策[1]。CISA 的 #StopRansomware 指南也指出，許多勒索軟體會尋找可存取的備份並加以刪除或加密，因此核心建議是為關鍵資料維持「離線且加密」的備份[4]。

換句話說，一般使用者或網域管理員碰得到的備份，都應該假設攻擊者也碰得到。設計備份時要問的不是「有沒有備份」，而是「拿到網域管理員的人，能不能把所有副本一次刪光」。

離線、不可變與權限隔離

離線副本

最簡單的離線副本，是定期輪替、平時拔除的外接硬碟或磁帶。重點在「平時不連線」：每次備份完成就拔除，並且至少準備兩組輪替，避免正在連線的那一組剛好遇上加密。

不可變副本

不可變（immutable）是指資料寫入後，在保留期間內無法被修改或刪除，也就是 WORM（一次寫入、多次讀取）。以 Amazon S3 的 Object Lock 為例，設定為合規模式（compliance mode）時，保留期限內任何使用者都無法覆寫或刪除該物件版本，連 AWS 帳戶的根使用者也不行[5]。許多備份設備與雲端備份服務也提供類似功能。CISA 提醒不可變儲存要審慎使用[4]：保留期太短，擋不住潛伏較久的攻擊者；保留期太長，則會累積無法刪除的儲存成本，誤存進去的資料也刪不掉。

備份權限與網域分離

英國國家網路安全中心（NCSC）針對雲端備份提出的原則，大多可以套用到所有備份系統[6]：

  • 刪除或修改備份的動作，應該要攻擊者另外攻破一個獨立系統才做得到，而不是拿到一個帳號就能刪
  • 要有不依賴主要環境的存取管道，避免單一被盜帳號把企業鎖在自己的備份之外
  • 保留期以時間計算而非份數，以免攻擊者在短時間內產生大量損壞的備份，把好的版本擠掉
  • 大量刪除、備份停止、保留期或加密設定被修改時，不論成功與否都要發出告警，並透過主要環境被攻陷時仍可用的管道通知

落實到一般企業，可以做到：備份伺服器不加入正式網域，使用獨立帳號並啟用 MFA；備份管理介面只允許從管理網段連線；備份加密金鑰另外離線保存。

先定義 RPO 與 RTO

備份頻率與架構應該由業務需求決定，而不是由軟體預設的「每天晚上跑一次」決定。兩個關鍵指標的定義來自 NIST SP 800-34：

  • RPO（復原點目標）：系統中斷後，資料必須還原到哪個時間點[7]；換句話說，最多能接受遺失多久的資料
  • RTO（復原時間目標）：系統元件可以停留在復原階段多久，超過就會開始傷害組織的任務與業務流程[7]

舉例來說，訂單系統可能只能接受遺失 15 分鐘的資料、4 小時內要恢復；內部檔案伺服器則可能接受遺失一天、兩天內恢復即可。這些數字要由業務主管確認，IT 再據此選擇備份頻率、保留天數與儲存媒體。資安署的應變指引也建議從核心業務出發盤點資產，並進行營運衝擊分析（BIA），找出需要優先保護的核心資產[8]。

除了檔案，還要備份什麼

勒索軟體事件後最常卡住復原的，往往不是檔案本身，而是「重建環境」需要的東西：

  • 系統映像與部署範本：CISA 建議維護並定期更新關鍵系統的黃金映像（golden image）；若用基礎架構即程式碼（IaC）部署雲端資源，範本檔也要離線備份[4]
  • Active Directory：網域控制站全數失效時需要整個樹系復原，Microsoft 提供 AD 樹系復原指南，作為擬定復原計畫的範本[9]；至少要有可信的網域控制站備份與事先寫好的復原步驟
  • 網路與資安設備設定：防火牆、交換器、VPN、虛擬化平台的設定檔與授權檔
  • SaaS 資料：雲端服務的共同責任模型中，不論 IaaS、PaaS 或 SaaS，資料、帳號與存取管理都是客戶自己的責任[10]。Microsoft 365、Google Workspace 裡的郵件與文件被誤刪或遭惡意加密時要靠什麼還原，應事先評估是否需要額外備份
  • 復原所需的資訊：備份加密金鑰、密碼保管庫的緊急存取方式、廠商與 ISP 聯絡方式、復原步驟文件，都要有一份不依賴公司網路也拿得到的副本

還原演練：沒測過的備份不算備份

CISA 建議定期在災難復原情境下測試備份的可用性與完整性[4]；資安署的中小企業指引同樣要求定期執行備份演練[2]。演練可以依系統重要性分層安排，例如：

  • 經常性抽測：隨機挑幾個檔案與一個資料庫還原，確認內容正確、可以開啟
  • 定期完整還原：在隔離網段把一台關鍵伺服器完整還原，記錄實際花了多少時間，並和 RTO 比較
  • 情境演練：假設網域、DNS、內部檔案伺服器都不能用，只靠離線或不可變副本重建核心服務，找出復原順序上的相依問題

真正發生事件時，還原前要先確認備份是乾淨的。資安署建議在執行任何資料還原前，先對備份映像檔進行獨立的惡意程式掃描，確認安全後才導入已完成清理與重建的環境[8]，以免把潛伏的勒索程式或攻擊者留下的腳本一起還原回去。

行動清單

  1. 列出所有備份工作：備份什麼、多久一次、存在哪裡、誰有權限刪除，找出「沒有任何離線或不可變副本」的系統。
  2. 檢查備份伺服器與備份儲存是否加入正式網域、能不能用網域管理員登入；改用獨立帳號並啟用 MFA。
  3. 為至少一份副本啟用不可變保留或離線輪替，保留期要涵蓋你預期最晚能發現入侵的時間。
  4. 設定備份失敗、大量刪除、保留政策被修改的告警，並送到不依賴公司郵件的管道。
  5. 與業務主管一起為核心系統訂出 RPO 與 RTO，檢查現行備份頻率是否達標。
  6. 確認 AD、網路設備設定、SaaS 資料與備份加密金鑰都有備份，且金鑰有離線副本。
  7. 本季安排一次完整還原演練，記錄實際耗時與卡關點，並更新復原步驟文件。
  8. 把復原步驟、緊急聯絡人與關鍵帳號的取得方式另外保存一份，放在公司網路中斷時也拿得到的地方。