什麼是不可變備份與防勒索儲存？

不可變備份解決什麼問題

傳統備份的最大弱點，是備份與生產系統共用管理權限。勒索軟件一旦取得系統帳戶或備份伺服器權限，可以同時加密生產數據與備份數據、刪除舊版本，令還原無從談起。市面上不少攻擊以備份系統為首要目標，正是因為備份是受害者最後的還原希望。

不可變備份的設計目標，正是切斷「有權限便可改動」這條鏈。它把備份副本設定為唯讀狀態，在保留期內任何程序——包括系統管理員與攻擊者——都無法修改或刪除。即使攻擊者取得了備份伺服器的完全控制權，面對的仍是一批無法觸動的數據。這種設計使備份成為對抗勒索軟件的最後一道有效防線。

NIST 的儲存基建保安指引（SP 800-209）明確建議，備份儲存庫應與生產環境分隔，並防止未經授權的存取與修改；業界通用的 3-2-1 原則亦在基本三份副本之上延伸出 3-2-1-1 變體，加入一份離線或不可變的副本。不可變備份正是把這兩項建議落到實處的技術手段。

WORM 與 Object Lock：同一理念的兩種實現

不可變儲存的核心理念，是「寫一次、讀多次」（Write Once, Read Many，簡稱 WORM）。WORM 是概念與技術族系的統稱，磁帶年代的 WORM 磁帶是最早的實作；今天的不可變備份，則多數以兩種方式實現：

兩者的保護強度有實際差異：儲存系統層面的 WORM 由單一系統的設定保障，若該系統被完全攻破並掌握底層操作，保護可能被繞過；物件儲存層面的 Object Lock 由服務架構與權限分離保障，獨立於備份軟件的帳戶體系，通常被視為較堅實的防線。選擇時應按數據的重要性與合規要求衡量。

不可變備份的實作方式

不可變備份可按企業規模與預算，由輕到重分級實作。每一級都應確保備份數據與生產系統之間有帳戶權限的分隔。

部署的共同原則：一，備份帳戶與生產系統帳戶分開管理，備份帳戶不得用於日常登入；二，設定合理保留期，保留期太長會佔用儲存空間，太短則失去保護意義，常見取捨在數週至數月之間；三，保留期屆滿前，測試還原流程是否真的可以讀取數據——不可變備份若無法還原，等於沒有備份。

防勒索儲存的完整組合

不可變備份是防勒索儲存的關鍵一環，但不是全部。一個完整的防勒索儲存設計，通常包含以下層次：

1. 網絡分段——把備份網絡與生產網絡分隔，備份數據只經受控通道傳輸；攻擊者無法從生產區直接到達備份區。
2. 帳戶與權限分隔——備份系統使用獨立帳戶與多重要素驗證，不與生產系統共用管理員帳戶。
3. 不可變副本——以 Object Lock 或 WORM 機制保存至少一份不可變副本，保留期內無法被修改。
4. 離線或異地副本——把部分副本存放在異地或離線媒介，實體上與生產環境斷開。
5. 定期還原演練——定期從備份實際還原數據，驗證副本完整性與還原程序，而非只檢查備份作業「成功」。

此組合與網絡防火牆、端點防護構成多層防禦：前幾層失效時，不可變備份仍能提供乾淨的還原來源。對香港企業而言，這套組合亦是回應個人資料私隱條例（PDPO）資料保安要求的合理做法——「已建立不可被勒索軟件篡改的備份」是具體、可查證的保安措施。

香港企業部署不可變備份的實際考慮

香港中小企業在部署不可變備份時，最常見的障礙是成本與技術複雜度。以雲端物件儲存為例，不可變備份的費用包括儲存費與保留期內的長期佔用，規模小但數據量大的公司（例如存放大量監控錄影）須先計算年度成本；本地備份伺服器方案的初期投資則較高，但沒有持續儲存費。

法規方面，香港個人資料私隱專員公署建議機構採取「切合需要、合理」的保安措施；金融與醫療等受規管行業的母公司或監管要求，亦常要求具備可抵禦勒索軟件的備份。此外，不可變數據佔用的儲存空間無法即時回收——保留期內空間只增不減，規劃容量時必須預留額度，並定期檢討保留期的設定是否仍然合理。

部署時亦應留意管理上的細節：不可變備份的「不可變」是相對保存期的，保留期屆滿後數據即可被刪除，因此保留期的設定本身應由高層或專責人員決定，而非由日常操作人員自行調整；遺留的管理帳戶應在事件後立即停用。把不可變備份納入既有的備份與災難復原演練，是香港企業落地此方案最實務的起點。

常見問題

權威參考來源

• 維基百科：Write once read many（WORM 儲存）
• Amazon S3：Object Lock 官方文件
• 維基百科：Ransomware
• NIST SP 800-209：Security Guidelines for Storage Infrastructure
• 維基百科：Air gap（網絡）

相關技術主題