传统勒索防御的假设是：只要备份可用，就不必支付赎金。但攻击者已经把这个假设纳入计算。在入侵后的驻留期里，他们会优先定位备份服务器、备份管理控制台和备份账号，先破坏或加密备份，再执行正式加密。同时大量导出敏感数据用于后续施压。因此防御必须同时覆盖数据的可用性和保密性。
第一，备份存储要与生产网络逻辑隔离，备份管理控制台不对普通终端暴露。第二，引入不可变存储或一次写入多次读取的介质，在保留期内任何人都无法修改或删除备份副本。第三，备份账号与日常运维账号分离，备份服务不下发域管权限。第四，至少保留一份完全离线的副本，并明确其更新周期与恢复点目标。第五，定期做抽样恢复演练，验证的不只是备份文件是否存在，而是业务能否在可接受时间内真正恢复。
数据外泄往往发生在加密之前的数天到数周内。监测可以从三个方向入手：一是压缩与打包行为，短时间内大量文件被归档通常是准备外传的前兆；二是出网通道，重点关注对象存储上传、代码托管平台、文件共享服务和匿名传输工具；三是访问模式，例如某个账号第一次访问财务或人事共享目录。这些信号单独看都不算证据，组合起来才有研判价值。
建议在事件发生前就明确：谁有权决定是否断网、谁负责与外部机构沟通、谁负责评估数据外泄范围与法律义务。把这几件事写成两页纸的预案，并做一次桌面推演，效果远好于临时开会。
双重勒索把安全事件从纯技术问题变成了综合判断问题。防御的落点是可见性和可控性，而不是某一款产品的开关。
售后客服
企业微信
