跳到正文
ITDWeb 安全平台
ITD
搜索

安全指南

#安全基础#备份#ransomware#恢复#AI 时代的防备

备份基础：3-2-1 规则与抵御勒索软件的恢复计划

「我有做备份」并不代表能恢复。本文讲解 3-2-1 规则、勒索软件加密不了的离线/不可变副本，以及确认备份真正可用的恢复测试。

发布于 2026-06-12 更新于 2026-10-06 4 分钟阅读
本页目录

适合：个人开发、小规模团队里「备份是有在做，但这样真的够吗？」的人。这里不讲攻击步骤，只讲怎么做出一定能还原的备份。

本站的视角：「云同步」不是备份

一个常见的误解是「我同步到 OneDrive／Google 云端硬盘了，所以已经备份了」。不对。同步是复制当前状态的机制，所以误删的文件、被勒索软件加密的文件，都会原样复制到另一边。

备份需要能回到之前的状态：能恢复旧版本的多版本管理，以及事后无法被覆写的不可变副本。同步很方便，但单独使用时，一边坏了两边都坏。请把它当作与备份完全不同的角色。

为什么「有做备份」还不够

需要备份，是因为丢数据的原因又多、又会同时发生。硬件故障、误操作删除、被盗与灾害，还有勒索软件。只有一道防线，挡不住来自另一个方向的事故。

同步≠保存
误删、加密也会一并复制
长期连接
连着的备份会一起被加密
3-2-1
按份数、介质、地点做冗余
恢复测试
能还原才算备份

尤其是勒索软件，会主动搜索备份本身并加密它。和数据放在同一处的备份，会在同一起事故中受损。这是漏洞应对中「保持可恢复的状态」（→ 漏洞应对实务）最基本的形式。

基本形态：3-2-1（＋离线/不可变）

3 — 3 份副本

原件＋2 份复制。坏掉 1 份，还能靠另外 2 份还原。

2 — 2 种介质

例如：内置硬盘＋外接 SSD，或者 NAS＋云。不要全放在同一个盒子里。

1 — 1 份异地

放在另一个地方（云/另一处场所）。火灾、被盗、水灾不会一次全毁。

＋ 1 份离线/不可变

不长期连接，或无法覆写。始终保留 1 份勒索软件加密不了的副本。

3-2-1＝3 份副本、2 种介质、1 份异地。再加 1 份离线/不可变副本，与勒索软件隔离。

怎么做（按顺序补齐）

1

先盘点「丢了会麻烦的东西」

照片、文档、代码、数据库、配置（密钥和连接字符串的安全副本），把需要能恢复的对象列清楚。不要平均地保护全部，而是优先丢了就再也找不回的东西。
2

按 3-2-1 来布置

3 份副本，分到 2 种介质上，其中 1 份放到异地（云等）。冗余的关键是不要把一切都放在同一台设备、同一个地方或同一种介质上。
3

至少让 1 份离线/不可变

这是最有效的勒索软件对策。准备 1 块平时断开的外接盘，或无法覆写的存储（对象锁定等，即不可变），确保有一份攻击者加密不了的副本。
4

自动化（手动坚持不了）

人一定会忘。用定时的自动备份加多版本管理（按日/周保留旧副本），避免最后「只剩最新一版」。
5

定期做恢复测试

最容易被跳过，也最重要的一步。实际还原到另一个地方，确认能打开。还原不了的备份，跟没有一样。这是最低限度清单里 Tier 3（检测、恢复）的核心。

勒索软件也会盯上备份

现在的勒索软件不只加密主数据，还会加密它能找到的任何已连接的备份目标（NAS、外接盘、已挂载的云）。所以如果只有一直连着的备份，它会和其他数据一起被加密。

最有效的防御是：至少保留 1 份离线（物理断开）或不可变（在一定期间内禁止覆写、删除）的副本。有没有这一份，决定了你是付赎金还是不付。

只有云同步

  • 误删、加密也会原样同步过去
  • 回不到旧版本
  • 长期连接，也会被勒索软件加密
  • 从没确认过能不能还原

3-2-1＋不可变＋恢复测试

  • 多版本管理能恢复干净的旧副本
  • 离线/不可变副本与勒索软件隔离
  • 地点和介质的冗余，不会全部丢失
  • 定期测试确认确实能还原

按环境：自带什么，还要补什么

下面列出常见环境自带的机制、能否回到旧版本，以及针对勒索软件还要补充什么。

环境自带机制能否回到旧版本要补充的
Windows文件历史记录（保存到外接硬盘或网络位置）能（文件资源管理器中的「还原以前的版本」）备份完成后拔掉目标硬盘。在别处再放一份
Windows（Windows 备份应用）把桌面、文档等文件夹同步到 OneDrive取决于 OneDrive 的功能底层是同步，所以另外保留文件历史记录或外部副本
Mac时间机器能（过去 24 小时每小时、过去一个月每日、更早每周）在另一个地方再放一块备份磁盘，不时轮换
iPhoneiCloud 云备份（接通电源、连接 Wi-Fi 且锁屏时自动进行）用于恢复整台设备重要的照片和文档也在电脑或外接硬盘上保留一份
OneDrive同步Microsoft 365 订阅者可用「还原 OneDrive」回到过去 30 天内的某个时间点在同步之外保留 1 份离线副本
Google 云端硬盘同步非 Google 格式文件可通过「管理版本」回退；旧版本可能在 30 天后或新版本达到 100 个时被删除对需要的版本使用「永久保留」，再加 1 份离线副本
服务器 / VPS备份工具（restic 等）和独立的保存目标能（从工具的快照恢复）让生产服务器无法删除保存目标中的备份（S3 对象锁定等）
共享虚拟主机服务商的自动备份只能在服务商的保留期内定期把数据从服务商那里另行拷出来（到自己的电脑或云）

「要补充的」这一列，就是把 3-2-1 剩下部分补齐的工作。几乎没有哪个环境只靠自带机制就能做到 3-2-1 加离线副本。

如何检查自己的环境

为了摆脱「应该在备份吧」的状态，请按顺序检查以下几点。每一步只查看你自己的设备和账户上的设置。

1

查看最后一次成功备份的时间

  • Windows：打开控制面板中的「文件历史记录」，确认它已开启、使用的是哪块硬盘、上次复制文件的时间。
  • Mac：在 系统设置 → 通用 → 时间机器 中查看最近一次备份的时间。在终端中，tmutil latestbackup 显示最近一次备份，tmutil destinationinfo 显示备份目标（某些设置下终端需要「完全磁盘访问权限」）。
  • iPhone：设置 →［你的名字］→ iCloud → iCloud 云备份，会显示上次备份的日期和时间。
  • 服务器：使用 restic 时，restic snapshots 会列出快照及其日期。

如果日期停在几天前，那就是第一件要修的事。

2

确认备份目标不是一直连着的

检查外接硬盘或 NAS 是否一直插着、一直作为驱动器可见。在服务器上，通过权限设置确认生产服务器上存放的凭据不能同时删除备份。使用 S3 时，还要确认目标存储桶是否启用了对象锁定（Object Lock）。

3

确认云端能回退

OneDrive：查看 设置 → 选项 下是否出现「还原 OneDrive」（适用于 Microsoft 365 订阅者）。Google 云端硬盘：右键单击文件，看「管理版本」里是否列出旧版本。两者都有保留期限，所以要回到更早的时间点，需要另一种方式。

4

实际恢复一样东西（恢复测试）

挑一个重要文件，恢复到另一个位置，然后打开它。Windows 上右键单击文件夹，选择「还原以前的版本」；Mac 上从时间机器恢复。服务器上则恢复到另一个目录并检查内容；使用 restic 时，可以用 restic check --read-data-subset=5% 之类的命令读回部分已存数据进行校验。数据库则恢复到另一个数据库，确认能启动。

5

记录结果和所用时间

记下日期、恢复了什么、花了多长时间。这样就能大致知道完整恢复需要几个小时，下次测试时也能注意到变化。

常见错误及修正方法

  • 外接硬盘一直插着：对勒索软件来说，连着的硬盘只是又一个可以加密的地方。每次备份完就拔掉，或者两块硬盘轮换，让一块始终断开。
  • 把同步当成备份：Windows 备份应用的文件夹备份，底层是 OneDrive 同步。另外保留一份能保存旧版本的备份。
  • 备份控制台和生产环境用同一个密码：生产环境被攻陷时，备份也会被删掉。使用不同的密码，并开启多因素认证。
  • 没有关注失败提醒：备份停了也没人发现。开启失败通知，并每月检查一次最后备份时间。
  • 恢复所需的东西只放在备份里面：加密密码和恢复密钥要存放在备份以外的地方（→ 如何选择密码管理器）。
  • 离线副本只做了一次就再也没更新：只能恢复到做那份副本时的状态。按固定周期（例如每月）更新它。

公开案例：保住的是一份断开连接的旧副本

关于 2021 年 10 月鹤町立半田医院（英文）遭受勒索软件攻击一事，专家委员会报告（2022 年 6 月公布）就备份有如下记载：

  • 备份服务器在已确认被加密的服务器名单中
  • 截至 2018 年一直离线保存的备份数据未受影响，可以用于恢复
  • 攻击发生约两个月后，于 2022 年 1 月 4 日恢复正常门诊

连着的备份和生产环境一起被攻击；断开的副本保住了。但那份副本已经是好几年前的了。离线副本只有在定期更新、可恢复的时间点保持较新时，才能发挥全部作用。

本站是怎么做的

本站把数据和文档自动地、放到另一个地方、保留多个版本地备份，并同时采用「能设计成可重建的就设计成可重建」的思路。比如可以机械地重新生成的数据（抓取的 feed、索引），就以能够重建为前提来持有，而不是依赖备份，这是「从源头减轻备份负担」的做法。在此之上，对无法替代的东西（文章正文、配置）做冗余保存，并把始终保持可恢复的状态当作运维的前提。

更换已停止支持的设备时（→ Windows 10 支持终止的话题），之所以能安心迁移，也是因为有能还原的备份。请不要只把备份当成其他对策都失效时的手段，而要把它当作事故应对的前提条件。

接下来读

参考资料

FAQ

Q云同步（Google 云端硬盘或 OneDrive）算备份吗？
A

同步不是备份。同步是复制当前状态的机制，所以误删的文件、或被勒索软件加密的文件，都会以这种损坏的状态被复制到云端。备份需要能回到之前的状态：多版本管理（恢复旧版本），以及无法被覆写的不可变副本。只有同步时，一边坏了，另一边也跟着坏。

Q3-2-1 规则是什么？
A

保有 3 份数据副本（原件＋2 份复制），保存到 2 种不同的介质上，其中 1 份放在另一个地方（异地）。它通过冗余，避免单台设备故障、单个地点的灾害、单次误操作就让数据全部丢失。针对勒索软件，现在的做法是再加上「至少 1 份离线或不可变的副本」。

Q防备勒索软件，什么最管用？
A

拥有至少 1 份「离线」（不长期连接）或「不可变」（无法覆写）的备份。勒索软件会主动搜索并加密备份，所以一直连着的备份会连同原件一起被加密。只要有一份断开或无法覆写的副本，就能不付赎金而恢复。然后通过定期的恢复测试，确认它真的能用。

Q外接硬盘可以一直插着用来备份吗？
A

它能防误删和硬件故障，但防不太住勒索软件。一直连着的硬盘，对勒索软件来说只是又一个可以加密的地方。每次备份完就拔掉，或者两块硬盘轮换使用，让其中一块始终断开，这样至少总有一份副本是隔离的。

Q多久备份一次？
A

按你能承受丢失多少工作量来决定：能接受丢一天的就每天，能接受丢一小时的就每小时。Mac 的时间机器每小时备份一次，保留过去 24 小时的每小时备份、过去一个月的每日备份，以及更早的每周备份。自动化比频率更重要，因为手动的习惯迟早会中断。离线副本按固定周期（例如每月）更新。

Q恢复测试具体要做什么？
A

挑一个重要文件，恢复到另一个位置，确认能打开。Windows 上右键单击文件夹，使用「还原以前的版本」；Mac 上从时间机器恢复。服务器上则恢复到另一个目录或数据库，检查应用能否启动。记录日期、恢复了什么、花了多长时间，这样就能大致知道完整恢复需要多久。