怎麼讓備份擋得住勒索病毒？不可變與離線備份的實務策略

先給答案：至少留一份病毒改不到的副本

勒索病毒的可怕之處，在於它不只加密你正在用的電腦，還會沿著網路去找所有連得到的檔案，包括共用資料夾、連線中的 NAS，甚至接在電腦上的外接硬碟，一起加密。很多公司以為「我有備份」就安全，結果中毒當下發現連備份也被一併加密，等於完全失守。要真正擋得住，核心觀念只有一句：至少保留一份勒索病毒改不到、刪不掉的副本。做法是讓備份具備「不可變」特性，再搭配離線或異地保存，並且定期實際還原來驗證備份真的能用。

為什麼一般備份擋不住勒索病毒

傳統備份的問題，多半出在「備份一直連著、而且可以被覆寫或刪除」。只要備份目的地對中毒的電腦或帳號是看得到、寫得進去的，病毒就有機會動它。常見的失守情境包括以下幾種。

• 外接硬碟長期插著：平時就接在電腦上當備份碟，中毒時被一起加密。
• 備份存在連線的共用資料夾或 NAS：權限開放、沒有版本保護，備份檔被覆寫。
• 只有一份最新備份：病毒潛伏一段時間後才發作，唯一的備份早已是被污染的狀態。
• 從沒試過還原：真的要用時才發現備份不完整或根本還原不回來。

三種讓備份變安全的做法

要補上這些破口，可以從三個方向著手，彼此互補、最好同時具備。

1. 不可變備份：讓備份在設定的保護期間內無法被修改或刪除，即使帳號被盜也動不了，常見於支援不可變快照或唯讀保存的備份方案與部分 NAS 的快照功能。
2. 離線備份：定期把一份備份完全斷開連線，例如輪替使用的外接碟或磁帶，備份完就拔下收好，形成實體的「空氣隔離」，病毒碰不到沒上線的媒體。
3. 異地副本：在另一個地點或雲端再留一份，兼顧勒索病毒與火災、竊盜、水患等實體風險，讓單一地點出事時仍有救。

從 3-2-1 進化到更穩的做法

備份界常談的 3-2-1 原則，是指至少三份資料、存在兩種不同媒體、其中一份放異地。面對勒索病毒，業界進一步補上兩個要求：多留一份離線或不可變的副本，以及把還原錯誤次數驗到為零。下表說明各要素的意義。

還原演練與常見疏忽

第一，RAID 不等於備份。磁碟陣列只能容忍硬碟故障，對誤刪、覆寫與勒索病毒毫無保護，千萬別把 RAID 當成備份。第二，備份一定要定期試還原，哪怕只是抽幾個檔案或還原到測試環境，確認檔案完整、打得開，才算數。第三，保留足夠的歷史版本很重要，因為病毒常潛伏一段時間，只留最新一份可能全是被污染後的資料，多版本保存才能回到中毒前的乾淨點。第四，備份的帳號與權限要獨立管理，避免日常使用的帳號一旦被盜就連備份也一起淪陷。整體而言，備份策略的重點不是備了幾份，而是「中毒之後，你有沒有一份動不了、而且確定還原得回來的資料」。上伊美可依公司的資料量與現有環境，協助規劃含不可變、離線與異地的備份架構，並建立還原演練的習慣，讓備份真的能在關鍵時刻救得了命。