跳至主要內容
ITD網站資安平台
ITD
搜尋

資安指南

#安全基礎#備份#ransomware#還原#AI 時代的防備

備份基礎：3-2-1 原則與抵禦 ransomware 的還原計畫

「我有做備份」不代表真的能還原。本文講解 3-2-1 原則、ransomware 加密不了的離線/不可變副本，以及確認備份真的能用的還原測試。

發布於 2026-06-12 更新於 2026-10-06 閱讀時間 4 分鐘
本頁內容

適合：個人開發或小團隊，有在做「某種備份」但心裡沒底「這樣真的夠嗎？」的人。這裡不講攻擊手法，只講 怎麼做出確實能還原的備份。

本站的視角：「雲端同步」不是備份

一個常見的誤解是「我同步到 OneDrive／Google 雲端硬碟了，所以已經備份了」。不對。同步複製的是當前狀態，所以誤刪的檔案、被 ransomware 加密的檔案，都會以那個狀態被複製到另一邊。

備份需要能回到之前的狀態：能還原舊版本的多版本管理，以及事後無法被覆寫的不可變副本。同步很方便，但只有它的話，一邊壞了兩邊都壞。請把它當成與備份完全不同的角色。

為什麼「有做備份」還不夠

需要備份，是因為資料遺失的原因 很多，而且會同時發生。硬體故障、誤刪、被盜與災害，還有 ransomware。只有一道防線，擋不住來自另一個方向的事故。

同步≠保存
誤刪、加密也會一併複製
長期連接
連著的備份會一起被加密
3-2-1
按份數、媒介、地點做冗餘
還原測試
能還原才算備份

尤其是 ransomware，會 主動搜尋並加密備份本身。和資料放在同一處的備份，會在同一起事故中一起受損。這是漏洞應對中「保持可還原狀態」最基本的形式（→ 漏洞應對實務）。

基本形態：3-2-1（＋離線/不可變）

3 — 3 份副本

原始資料加 2 份。壞掉 1 份，還能靠另外 2 份還原。

2 — 2 種媒介

例如：內建硬碟＋外接 SSD，或 NAS＋雲端。不要全放在同一台裝置裡。

1 — 1 份異地

放在另一個地點（雲端／另一個場所）。火災、被盜、水災不會一次全毀。

＋ 1 份離線/不可變

不長期連接，或無法覆寫。隨時保留 1 份 ransomware 加密不了的副本。

3-2-1＝3 份副本、2 種媒介、1 份異地。再加上 1 份離線/不可變副本，與 ransomware 隔離。

怎麼建立（依序補齊）

1

先盤點「丟了會麻煩的東西」

照片、文件、程式碼、資料庫、設定（金鑰和連線字串的安全副本）等，把必須能還原的東西列出來。不要平均保護所有東西，而是優先處理丟了就再也找不回的東西。
2

按 3-2-1 配置

3 份副本，分到 2 種媒介上，其中 1 份放到異地（雲端等）。冗餘的重點，是不要把全部放在同一台裝置、同一個地點或同一種媒介上。
3

至少讓 1 份離線/不可變

這是最有效的 ransomware 對策。準備 1 顆平時拔掉的外接硬碟，或無法覆寫的儲存空間（物件鎖定等不可變儲存），讓自己擁有一份攻擊者加密不了的副本。
4

自動化（手動撐不久）

人一定會忘。用排程自動備份，並做多版本管理（保留每日／每週的舊版本），避免變成「只剩最新一版」。
5

定期做還原測試

最常被跳過，也最重要的一步。實際還原到另一個地方，確認打得開。還原不了的備份，等於沒有備份。這就是最低限度清單裡 Tier 3（偵測、還原）的核心。

ransomware 也會盯上備份

現在的 ransomware 不只加密主要資料，還會加密它找得到的已連接備份目標（NAS、外接硬碟、已掛載的雲端）。所以如果只有一直連著的備份，它會和其他資料一起被加密。

最有效的防禦是：至少保有 1 份離線（實體切斷）或不可變（在一定期間內禁止覆寫、刪除）的副本。有沒有這一份，決定了你要不要付贖金。

只有雲端同步

  • 誤刪、加密也會 原樣同步
  • 無法 回到舊版本
  • 一直連接，也會被 ransomware 加密
  • 從來 沒確認過 能不能還原

3-2-1＋不可變＋還原測試

  • 多版本管理 能還原乾淨的舊版本
  • 離線/不可變 副本與 ransomware 隔離
  • 地點與媒介的冗餘，不會全部遺失
  • 定期測試確認 真的能還原

依環境區分：內建機制與要補的部分

以下是常見環境的內建機制、能否回到舊版本，以及為了對付 ransomware 要補上的部分。

環境內建機制能回到舊版本嗎？要補的部分
Windows檔案歷程記錄（存到外接硬碟或網路位置）可以（檔案總管的「還原舊版」）備份完成後拔掉目標硬碟。另外在別處再放一份
Windows（Windows 備份 App）把桌面、文件等資料夾同步到 OneDrive取決於 OneDrive 的功能底層是同步，所以也要保留檔案歷程記錄或外接副本
MacTime Machine可以（過去 24 小時每小時、過去一個月每日、更早每週）在另一個地點再放一顆備份磁碟，不時交換
iPhoneiCloud 備份（接上電源、連上 Wi-Fi 並鎖定時自動進行）用於還原整台裝置重要的照片和文件也存一份到電腦或外接硬碟
OneDrive同步Microsoft 365 訂閱者可用「Restore your OneDrive」（還原 OneDrive）回到過去 30 天內的時間點與同步分開的 1 份離線副本
Google 雲端硬碟同步非 Google 格式的檔案可透過「Manage versions」（管理版本）還原；舊版本可能在 30 天後或累積 100 個新版本後被刪除需要的版本設為「Keep forever」（永久保留），再加 1 份離線副本
伺服器／VPS備份工具（restic 等）與另一個目的地可以，從工具的快照還原讓正式環境伺服器無法刪除備份目的地（S3 Object Lock 等）
共享主機業者的自動備份只在業者的保存期間內也定期把資料從業者那裡複製出來（到自己的電腦或雲端）

「要補的部分」這一欄，就是補齊 3-2-1 其餘部分的工作。幾乎沒有任何環境只靠內建機制就能做到 3-2-1 加離線副本。

如何檢查自己的設定

為了擺脫「應該有在備份吧」，請依序確認以下各項。每一步都只是查看自己裝置和帳戶上的設定。

1

查看上次備份成功的時間

  • Windows：在控制台開啟「檔案歷程記錄」，確認已開啟、使用哪顆硬碟，以及上次複製檔案的時間。
  • Mac：在 系統設定 → 一般 → Time Machine 查看最新備份時間。在終端機中，tmutil latestbackup 會顯示最新的備份，tmutil destinationinfo 會顯示備份目的地（某些環境下終端機需要「完整磁碟取用權限」）。
  • iPhone：設定 → 你的名字 → iCloud → iCloud 備份，會顯示上次備份的日期與時間。
  • 伺服器：使用 restic 時，restic snapshots 會列出快照及其日期。

如果日期停在好幾天前，這就是第一件要修的事。

2

確認備份目的地不是一直連接

確認外接硬碟或 NAS 是否一直接著、一直顯示為磁碟機。伺服器的話，請在權限設定中確認存放在正式環境伺服器上的憑證無法同時刪除備份。使用 S3 時，也確認目的地 bucket 是否已啟用 Object Lock。

3

確認雲端能回到舊版本

OneDrive 請看 設定 → 選項 中是否出現「Restore your OneDrive」（還原 OneDrive）（Microsoft 365 訂閱者）。Google 雲端硬碟請在檔案上按右鍵，看「Manage versions」（管理版本）是否列出舊版本。兩者都有保存期限，要回到更早的時間點需要其他方法。

4

實際還原一個東西（還原測試）

挑一個重要檔案，還原到另一個位置，然後打開它。Windows 在資料夾上按右鍵選「還原舊版」，Mac 則從 Time Machine 還原。伺服器則還原到另一個目錄並檢查內容；使用 restic 時，可以用 restic check --read-data-subset=5% 之類的指令讀回部分已儲存的資料來驗證。資料庫則還原到另一個資料庫，確認能啟動。

5

記錄結果與所需時間

記下日期、還原了什麼、花了多久。這能讓你大致知道完整還原需要幾個小時，下次測試時也能發現變化。

常見錯誤與修正方式

  • 外接硬碟一直接著：對 ransomware 來說，已連接的硬碟只是另一個可以加密的地方。每次備份完就拔掉，或輪流使用兩顆硬碟，讓其中一顆一直未連接。
  • 把同步當成備份：Windows 備份 App 的資料夾備份，底層是 OneDrive 同步。請另外準備保留舊版本的備份。
  • 備份管理介面和正式環境使用同一組密碼：正式環境被入侵時，備份也會被刪除。請使用不同的密碼，並開啟多因素認證。
  • 沒有留意失敗通知：備份停了也不會發現。請開啟失敗通知，並每月確認一次上次備份時間。
  • 還原所需的東西只放在備份裡：加密密碼和復原金鑰要存放在與備份分開的地方（→ 如何選擇密碼管理器）。
  • 離線副本只做一次就不再更新：你只能還原到那份副本建立的時間點。請按固定週期更新，例如每月一次。

公開案例：保住的是一份舊的離線副本

關於 2021 年 10 月 鶴町立半田醫院（英文）遭受 ransomware 攻擊的事件，專家委員會報告（2022 年 6 月公布）對備份有以下說明：

  • 備份伺服器名列已確認被加密的伺服器之中
  • 保存在離線狀態、截至 2018 年的備份資料沒有受到影響，可用於復原
  • 一般門診於 2022 年 1 月 4 日恢復，距攻擊約兩個月

連著的備份與正式環境一起受害，切斷的副本則保住了。但那份副本已是好幾年前的。離線副本只有在 定期更新、讓可還原的時間點保持在近期時，才能充分發揮作用。

本站是怎麼做的

本站把資料和文件 自動地、放到另一個地點、保留多個版本 地備份，並搭配「能重建的就盡量設計成能重建」的思路。例如可以機械方式重新產生的資料（抓取的 feed、索引），就以能重建為前提來保存，而不是依賴備份，這是「從一開始就減輕備份負擔」的做法。在此之上，對無法取代的東西（文章本文、設定）做冗餘保存，並把隨時保持可還原狀態當作營運的前提。

更換已停止支援的裝置時（→ Windows 10 支援終止的文章），之所以能安心遷移，也是因為有可以還原的備份。請不要只把備份當成其他控制都失效時才用的東西，而要當成 事故應對的前提條件。

接下來閱讀

參考資料

FAQ

Q雲端同步（Google 雲端硬碟或 OneDrive）算備份嗎？
A

同步不是備份。同步複製的是最新狀態，所以誤刪的檔案、或被 ransomware 加密的檔案，都會以壞掉的狀態被複製到雲端。備份需要能回到之前的狀態：多版本管理（能還原舊版本），以及無法被覆寫的不可變副本。只有同步的話，一邊壞了，另一邊也跟著壞。

Q3-2-1 原則是什麼？
A

保有 3 份資料副本（原始資料加 2 份），存放在 2 種不同的媒介上，其中 1 份放在異地。這是一種冗餘，避免單一裝置故障、單一地點災害或單次操作失誤就讓資料全部消失。為了對付 ransomware，現在的做法是再加上「至少 1 份離線或不可變的副本」。

Q防備 ransomware，什麼最有效？
A

擁有至少 1 份「離線」（平時不連接）或「不可變」（無法覆寫）的備份。ransomware 會主動搜尋並加密備份，所以一直連著的備份會連同原始資料一起被加密。只要有一份切斷連線或無法覆寫的副本，你就能不付贖金而還原。然後透過定期還原測試，確認它真的能用。

Q外接硬碟一直接著做備份可以嗎？
A

它能防誤刪和硬體故障，但對 ransomware 防護不足。一直連接的硬碟，對 ransomware 來說只是另一個可以加密的地方。每次備份完就拔掉，或輪流使用兩顆硬碟，讓其中一顆一直處於未連接狀態，這樣至少隨時都有一份副本是切斷的。

Q多久備份一次比較好？
A

依照你能承受損失多少工作來決定：能接受損失一天份就每天備份，只能接受一小時份就每小時備份。Mac 的 Time Machine 每小時備份一次，保留過去 24 小時的每小時備份、過去一個月的每日備份，以及更早的每週備份。自動化比頻率更重要，因為手動作業遲早會停。離線副本則按固定週期更新，例如每月一次。

Q還原測試具體要做什麼？
A

挑一個重要檔案，還原到另一個位置，確認能打開。Windows 在資料夾上按右鍵使用「還原舊版」，Mac 則從 Time Machine 還原。伺服器則還原到另一個目錄或資料庫，確認應用程式能啟動。記下日期、還原了什麼、花了多久，就能大致知道完整還原需要多少時間。