implementing-ransomware-backup-strategy

实施勒索软件备份策略

适用场景

• 设计能够抵御勒索软件加密和删除尝试的备份架构
• 从传统备份迁移到具有不可变存储的勒索软件弹性备份
• 为关键系统建立 RPO/RTO 目标，并通过恢复测试进行验证
• 将备份凭据和基础设施与生产 Active Directory 域隔离
• 满足网络保险对备份弹性和经过测试的恢复能力的要求

不适用于替代端点防护、网络分段或事件响应规划。备份是最后一道防线，而不是主要的预防控制措施。

前提条件

• 按业务影响（Tier 1/2/3）分类的关键系统、应用和数据清单
• 按层级定义的 RPO（恢复点目标）和 RTO（恢复时间目标）
• 支持不可变存储库的备份软件（Veeam 12+、Commvault、Rubrik、Cohesity）
• 隔离的备份网段或气隙存储基础设施
• 未加入生产 AD 域的独立备份管理员凭据

工作流

步骤 1：对资产进行分类并定义恢复目标

根据业务影响将所有系统映射到恢复层级：

层级	示例	RPO	RTO	备份频率
Tier 1（关键）	域控制器、ERP、数据库	1 小时	4 小时	每小时增量，每日全量
Tier 2（重要）	文件服务器、电子邮件、Web 应用	4 小时	12 小时	每 4 小时增量，每日全量
Tier 3（标准）	开发环境、归档	24 小时	48 小时	每日增量，每周全量

记录系统之间的依赖关系。域控制器和 DNS 必须先于应用服务器恢复。数据库服务器必须先于应用层恢复。

步骤 2：实施 3-2-1-1-0 架构

按照扩展的 3-2-1-1-0 规则配置备份存储：

副本 1 - 本地存储上的主备份：

# Veeam backup job targeting local repository
# Fast restore for operational recovery
Backup Repository: Local NAS (CIFS/NFS) or SAN
Retention: 14 days of restore points
Encryption: AES-256 with password not stored in AD

副本 2 - 不同介质上的辅助备份：

# Replicate to secondary site or cloud
# Veeam Backup Copy Job or Scale-Out Backup Repository
Target: AWS S3 / Azure Blob / Wasabi / tape library
Retention: 30 days
Transfer: Encrypted TLS 1.2+ in transit

副本 3 - 异地副本：

# Geographically separated from primary and secondary
# Cloud object storage in different region or physical tape rotation
Target: Cross-region cloud storage or Iron Mountain tape vaulting
Retention: 90 days

+1 - 不可变或气隙副本：

# Cannot be modified or deleted for defined retention period
# Veeam Hardened Repository on Linux with immutable flag
# Or AWS S3 Object Lock in Compliance mode
# Or physical air-gapped tape

+0 - 恢复验证零错误：

# Automated restore testing using Veeam SureBackup or equivalent
# Scheduled weekly for Tier 1, monthly for Tier 2/3
# Verify boot, network connectivity, and application health

步骤 3：隔离备份凭据

勒索软件运营者通过 Active Directory 攻陷备份管理员凭据来攻击备份基础设施：

1. 将备份管理员账户与生产 AD 域分离。在备份服务器上使用本地账户，或使用专用的备份管理域。
2. 专用备份网段，其防火墙规则仅允许备份流量（特定端口、特定源/目标 IP）。
3. 备份控制台访问启用 MFA，使用硬件令牌或身份验证器应用，而不是短信。
4. 在备份服务器上禁用 RDP。使用带外管理（iLO/iDRAC/IPMI）进行紧急访问。
5. 将备份服务器从域中移除，或将其置于具有受限 GPO 继承的专用 OU 中。

# Linux Hardened Repository - disable SSH password auth
sudo sed -i 's/PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo systemctl restart sshd

# Set immutable flag on backup files (XFS filesystem)
sudo chattr +i /mnt/backup/repository/*

# Veeam Hardened Repository uses single-use credentials
# that are not stored on the Veeam server after initial setup

步骤 4：配置不可变存储

Veeam Hardened Linux Repository：

# Minimal Ubuntu 22.04 LTS installation
# No GUI, no unnecessary services
# Veeam uses temporary SSH credentials during backup window only

# Configure XFS with reflink support
sudo mkfs.xfs -b size=4096 -m reflink=1 /dev/sdb1
sudo mount /dev/sdb1 /mnt/veeam-repo

# Create dedicated Veeam user with limited permissions
sudo useradd -m -s /bin/bash veeamuser
sudo mkdir -p /mnt/veeam-repo/backups
sudo chown veeamuser:veeamuser /mnt/veeam-repo/backups

AWS S3 Object Lock（合规模式）：

# Create bucket with Object Lock enabled
aws s3api create-bucket \
  --bucket company-immutable-backups \
  --object-lock-enabled-for-bucket \
  --region us-east-1

# Set default retention - 30 days compliance mode
aws s3api put-object-lock-configuration \
  --bucket company-immutable-backups \
  --object-lock-configuration '{
    "ObjectLockEnabled": "Enabled",
    "Rule": {
      "DefaultRetention": {
        "Mode": "COMPLIANCE",
        "Days": 30
      }
    }
  }'

Azure Immutable Blob Storage：

# Create storage account with immutable storage
az storage container immutability-policy create \
  --account-name backupaccount \
  --container-name immutable-backups \
  --period 30

# Lock the policy (irreversible)
az storage container immutability-policy lock \
  --account-name backupaccount \
  --container-name immutable-backups

步骤 5：自动化恢复测试

按周期性计划配置自动化恢复验证：

# Veeam SureBackup verification job (PowerShell)
# Tests VM boot, network ping, and application health

Add-PSSnapin VeeamPSSnapin
$backupJob = Get-VBRJob -Name "Tier1-DailyBackup"
$sureBackupJob = Get-VSBJob -Name "Tier1-RestoreTest"

# Verify last restore test completed successfully
$lastSession = Get-VSBSession -Job $sureBackupJob -Last
if ($lastSession.Result -ne "Success") {
    Send-MailMessage -To "[email protected]" `
        -Subject "ALERT: SureBackup verification failed" `
        -Body "Tier 1 restore test failed. Last result: $($lastSession.Result)" `
        -SmtpServer "smtp.company.com"
}

记录恢复测试结果，并维护一份包含每个层级逐步操作流程的恢复运行手册。

关键概念

术语	定义
3-2-1-1-0	扩展备份规则：3 份副本、2 种介质类型、1 份异地、1 份不可变/气隙隔离、0 次恢复验证错误
RPO	恢复点目标：以时间衡量的最大可接受数据丢失量（例如 1 小时 RPO 意味着最多 1 小时的数据丢失）
RTO	恢复时间目标：系统必须恢复运行前可接受的最大停机时间
不可变备份	在规定的保留期内无法被修改、加密或删除的备份副本，即使管理员也无法操作
气隙隔离备份	与生产系统无网络连接的物理隔离备份，提供最强的勒索软件防护
加固存储库	基于 Linux 的备份存储，具有最小攻击面、无持久 SSH 连接以及不可变文件标志

工具与系统

• Veeam Backup & Replication 12：企业级备份，支持加固 Linux 存储库、SureBackup 验证以及不可变备份
• Rubrik Security Cloud：零信任备份平台，具有不可变快照、异常检测和气隙隔离恢复功能
• Commvault：备份支持 Metallic 气隙保护、异常检测和自动化恢复编排
• AWS S3 Object Lock：云原生不可变存储，支持 Compliance 或 Governance 模式用于备份副本
• Cohesity DataProtect：备份平台，具有 DataLock 不可变性、反勒索软件检测和即时大规模恢复功能

常见场景

场景：金融服务公司实施抗勒索软件备份

背景：一家拥有 500 台服务器、200TB 数据以及 7 年监管保留要求的中型银行，在同行机构遭受勒索软件攻击后必须重新设计备份。当前备份使用位于加入生产域的一台 Windows 服务器上的单一 Veeam 存储库。

方法：

1. 将所有 500 台服务器分为三个层级：50 台 Tier 1（核心银行、AD、DNS）、200 台 Tier 2（电子邮件、文件共享、Web）、250 台 Tier 3（开发、测试、归档）
2. 在专用 Ubuntu 22.04 服务器上部署 Veeam 加固 Linux 存储库，使用 XFS 不可变性作为主备份
3. 配置 S3 Object Lock 为 Compliance 模式，通过 Veeam Scale-Out Repository 容量层实现 30 天不可变云副本
4. 建立每季度磁带轮换至 Iron Mountain，以满足 7 年监管保留要求
5. 将所有备份服务器从生产 AD 域中移除，并创建使用硬件 MFA 令牌的隔离备份管理员账户
6. 部署 SureBackup 作业：Tier 1 每周一次，Tier 2 每月一次，Tier 3 每季度一次
7. 每年进行完整恢复演练，恢复 AD、DNS、核心银行及依赖应用程序，以验证文档化的 RTO

陷阱：

• 将备份管理员凭据留在生产 AD 域中，勒索软件操作者可通过 Kerberoasting 或 DCSync 窃取
• 配置的不可变保留期短于典型勒索软件的驻留时间（平均 21 天），使攻击者可以等待不可变性过期
• 仅测试单个 VM 恢复，而未测试包含依赖项的完整应用栈恢复
• 忘记将备份服务器配置（Veeam 配置数据库、加密密钥）与备份基础设施本身分开备份

输出格式

## Ransomware Backup Strategy Assessment

**Organization**: [Name]
**Assessment Date**: [Date]
**Assessor**: [Name]

### Current State
- Backup Solution: [Product/Version]
- Copies: [Number and locations]
- Immutable Copy: [Yes/No - Details]
- Air-Gapped Copy: [Yes/No - Details]
- Credential Isolation: [Yes/No - Details]
- Last Restore Test: [Date - Result]

### Gap Analysis
| Control | Current | Target | Gap | Priority |
|---------|---------|--------|-----|----------|
| Immutable backup | None | S3 Object Lock + Linux Hardened Repo | Missing | Critical |
| Credential isolation | Domain-joined | Standalone local accounts + MFA | Partial | Critical |
| Restore testing | Ad-hoc manual | Automated weekly SureBackup | Missing | High |

### Recommendations
1. [Priority] [Recommendation] - [Estimated effort]
2. ...

### Recovery Tier Summary
| Tier | Systems | RPO | RTO | Backup Schedule | Restore Test Frequency |
|------|---------|-----|-----|-----------------|----------------------|
| 1 | 50 | 1hr | 4hr | Hourly inc/Daily full | Weekly |
| 2 | 200 | 4hr | 12hr | 4hr inc/Daily full | Monthly |
| 3 | 250 | 24hr | 48hr | Daily inc/Weekly full | Quarterly |