构建全方位不可变堡垒——云端锁定 + 智能预警，让勒索攻击无功而返

本地不可变备份固然坚固，但万一机房失火、遭遇物理破坏，或攻击者潜伏更久怎么办？真正成熟的数据保护方案，必须符合 3-2-1-1-0 黄金法则，并具备主动发现威胁的能力。本篇文章，我们将拆解如何从本地延伸至云端，并借助智能监控做到“先发制人”。

1. 遵循黄金法则：3-2-1-1-0 是底线

一个可靠的备份体系必须满足：

• 3 份副本（生产 + 备份 + 异地）

• 2 种不同介质

• 1 份异地存放

• 1 份不可变或离线

• 0 次恢复失败（经过实际验证）

Synology 的方案完整覆盖每一条：

• 本地副本：生产数据 + Snapshot Replication 不可变快照（第一台 NAS）

• 第二副本：将快照复制到第二台 NAS，保持不可变

• 异地/云副本：通过 Hyper Backup 将备份发送到外部硬盘、远程 NAS 或 Synology C2 云存储

2. 云上不可变：C2 Object Lock 锁死“最后防线”

对于没有第二个物理站点的企业，Synology C2 OneStorage 提供了即开即用的云端不可变存储。启用 Object Lock 后，备份对象在指定保留期内无法被修改或删除，即便拥有管理员凭证也无济于事。这样，即便本地遭遇毁灭性攻击，你仍能从云端拉回一份干净的时间点数据。

3. 智能早期检测：Active Insight 让攻击“露头就打”

不可变备份解决的是“灾后恢复”，而 Active Insight 则专注于“灾前预警”。它通过云端的文件活动监控，实时分析文件访问模式、修改频率、扩展名变化等行为。一旦检测到勒索软件典型特征（如单进程每分钟修改数千文件），它会在几分钟内发出警报，甚至在支持机型上自动触发一次不可变快照，为后续恢复提供“黄金副本”。

对于 IT 团队精简的企业，这等于多了一双永不疲倦的眼睛，让你在攻击扩散前就按下暂停键。

4. 恢复简单可靠，绝不依赖赎金

恢复过程完全自主可控：从不可变快照或 Hyper Backup 目标直接恢复，或通过 Virtual Machine Manager 先启动虚拟机验证无误再上线。恢复时间远快于与黑客谈判，且无需冒险支付赎金——要知道，大量支付赎金的受害者并未完整拿回数据，并且很可能在一年内再次遭袭。

5. 成本优势：无需按点按量付费

相比 Veeam、Acronis 等按虚拟机、按用户或按工作负载收费的模式，Synology 将 Active Backup 套件随 DSM 免费提供。对于保护数十台终端、多台虚拟机和 SaaS 数据的中小企业，三年下来可节省可观的许可成本，且所有功能集成在一个平台，管理更省心。

从本地不可变快照，到云端对象锁定，再到智能行为检测，Synology 提供了一套“防御 + 检测 + 恢复”三位一体的闭环方案。无论攻击多么凶猛，只要你的备份“不可变、全覆盖、可验证”，就能真正做到“勒索不慌，恢复不愁”。

常见问题解答（FAQ）

问：勒索软件能删除或加密我的备份吗？
答：绝大多数备份都可以被攻击者触及——这正是问题所在。现在超过九成的勒索攻击会专门针对备份存储库，而且大多数受害者的备份确实被攻破了。如果攻击者能随意删除你的备份，那它就不是防御。唯一的例外是不可变备份。Synology 的不可变 Snapshot Replication 会生成 WORM（一次写入，多次读取）副本，任何人——即便持有被盗的管理员账号——都无法在保护期内修改或删除它。

问：Microsoft 365 自带不可变备份吗？
答：不带。根据微软官方的“责任共担”模型，微软只负责底层基础设施，你的数据由你自己负责保护。原生保留期限很短，而且如果勒索软件通过同步感染了 OneDrive 或 SharePoint，那些加密版本会直接覆盖掉原来的文件，微软本身无法帮你恢复。Active Backup for Microsoft 365 会在平台外单独保留一份 Exchange、OneDrive、SharePoint 和 Teams 的独立副本，无论租户内发生什么，你都能找回数据。

问：怎样保护我的备份免遭勒索软件侵害？
答：核心就两条：覆盖全面 + 不可变存储。备份必须涵盖所有工作负载（PC、服务器、虚拟机、SaaS），不给攻击者留下任何“漏网之鱼”；同时，这份备份必须能在攻击中“活下来”。Synology 的 Active Backup for Business 随 DSM 免费提供覆盖保护，而 Snapshot Replication 把这些备份变成不可变的 WORM 副本，勒索软件无法物理删除或篡改。只要你的备份“全且锁死”，你就有了不付赎金的底气。

问：Synology C2 是什么？Object Lock 怎么保护备份？
答：Synology C2 是群晖自有的公有云服务。其中 C2 OneStorage 是一个统一的云存储池，可以作为 Hyper Backup 的远程目标。它独立于你的本地网络和账号体系，因此本地勒索病毒根本无法触达。而 Object Lock（对象锁定）则更进一步：在你设定的保留期内，任何人都无法修改或删除云端的备份对象——即使持有管理员权限也不行。此外，C2 还可以直接为 Windows 终端和 SaaS 数据提供云备份，无需借助 NAS 设备。

问：Synology 的授权模式和 Veeam、Acronis 比有什么优势？
答：Veeam 和 Acronis 通常按虚拟机数量、用户数或工作负载来收取许可费，规模越大费用越高。而 Synology 将 Active Backup 套件（涵盖 PC、服务器、虚拟机、Microsoft 365 等）直接随 DSM 系统免费提供，无需额外购买许可。对于一家保护数十台终端、若干虚拟机和邮件租户的典型企业来说，三年下来能省下一笔可观的成本，管理也更统一。具体能省多少，可以用 Synology 的“勒索软件韧性挑战”工具快速估算，也欢迎直接咨询我们的专家。