学习勒索软件响应和恢复 (Chinese Edition)

第三章 备份 与恢复基础

本作品已使用人工智能进行翻译。欢迎您提供反馈和意见：[e-mail]

许多读者（尤其是主要从事网络安全领域的人士）可能对许多基础备份和灾难恢复概念并不熟悉。若您正是如此，本章正是为您而设！即使您认为自己已掌握基础知识，也建议继续阅读。您会惊讶于许多人对某些基础概念的误解。

本章仅涵盖备份与恢复的基础知识，不会深入探讨勒索软件相关概念。第六章将详细说明如何为勒索软件攻击做好备份系统准备。本章旨在确保您理解本书后续章节将使用的术语体系。

若想深入了解现代备份与恢复技术，推荐阅读《 现代数据保护》（O'Reilly出版社）。本书作者正是本人——W. Curtis Preston。我们还为此书建立了配套网站： StopRansomware.com。

备份还是灾难恢复？

许多 从业者常将备份与灾难恢复系统视为完全独立的概念和系统。而我柯蒂斯并不认同这种观点。

同一系统

传统上人们将备份视为用于业务恢复的手段。例如有人误删文件，或数据库管理员意外删除数据库表。若RAID阵列损坏，备份或许还能用于恢复整台服务器。

但面对勒索软件攻击等重大灾难时，人们往往依赖完全独立的灾难恢复系统。这是因为传统备份系统通常无法满足企业对恢复速度的要求。因此关键业务数据通常采用基于复制技术的独立系统。然而现代基于磁盘和Cloud存储的备份恢复系统，已能实现自动化、极快的恢复速度——甚至可达即时恢复。

不同的流程

备份 和恢复的概念相对简单易懂：文件被删除后，我们调用备份系统进行还原，流程并不复杂。而灾难恢复（DR）的核心在于流程。

灾难恢复远不止于实际恢复数据的系统。当我们谈论灾难恢复时，还涉及围绕备份系统构建的完整流程体系，以确保恢复环境的洁净性。这可能包括订购新系统，甚至可能需要迁移至新建筑（例如自然灾害后）。 在遭遇勒索软件攻击时，流程还包括识别需要恢复的数据，并在实际执行恢复前对大量系统进行清理或替换。因此，尽管备份和灾难恢复可能由同一计算机系统执行，但它们属于不同的流程体系。

但由于备份与恢复系统属于灾难恢复体系的一部分，这意味着要构建完善的灾难恢复系统，必须精通基础备份与恢复概念。下面我们就来探讨这些概念。

案例研究：亚特兰大市竟无备份

亚特兰大的遭遇 简直令人抓狂。想象一下：2018年3月，新任市长凯莎·博托姆斯上任仅五周，便遭遇 SamSam勒索软件的袭击，该病毒如疾驰的货运列车般撕裂了全市系统。

更令人抓狂的是：当时仅有两台过时的Windows服务器托管着104个市政应用程序。关键在于——这些系统竟未配置任何活跃备份机制。零备份。完全空白。房地产交易？冻结。电子邮件？消失。市政支付？中断。加密强度之高，连美国国家安全局都束手无策。

攻击者索要51,000美元比特币赎金。对大城市而言这不过是零花钱。但巴尔的摩拒绝支付——这确实是正确决策。问题在于：没有备份数据，系统恢复工作彻底陷入噩梦般的困境。

这里有个细节足以让所有IT从业者气得冒泡：在攻击发生前两个月，审计就发现了该市系统中存在1500至2000个漏洞。一千五百到两千个！而他们竟...置之不理。攻击者甚至无需高超手段：仅靠暴力破解就猜出了弱密码。

系统恢复耗时数月，最终损失高达近1800万美元。这一切只因他们使用弱密码，并无视了堆积如山的警告。

最令人震惊的是：实施此次攻击的两名伊朗黑客，早在2016年就曾袭击过 好莱坞长老会医院。虽然他们最终在2018年11月被起诉，但亚特兰大的损失已成定局。

定义备份系统需求