关键字: [亚马逊云科技， Amazon Backup， 勒索攻击防御， 数据备份策略， 备份数据隔离， 备份数据不可修改， 备份恢复测试]

导读

在本次演讲中，讲者介绍了如何构建防勒索攻击的数据保护体系。他解释了勒索攻击的威胁及其对业务的影响，强调数据备份是应对勒索攻击的核心支柱。讲者阐述了3-2-1-1-0的备份原则，即保留3份数据副本、2份备份与生产数据分离、1份备份跨区域存储、1份备份不可修改，并定期进行恢复测试。他还介绍了亚马逊云科技的Amazon Backup服务，该服务提供集中化和自动化的备份管理、数据不可篡改、加密增强、跨账户共享等功能，以及审计管理器和恢复测试等特性，帮助企业构建防勒索攻击的数据保护架构。

演讲精华

以下是小编为您整理的本次演讲的精华。

好的，谢谢大家。我将用后面的大概半个小时左右的时间，跟大家聊一下防范勒索攻击的这个话题。勒索攻击无疑是一种严重的网络安全风险，它会给企业带来业务中断、财务损失等多方面的影响。要有效防范勒索攻击，需要采取多种措施，而数据备份则是其中最为核心和基础的一环。

勒索攻击的过程通常是这样的:攻击者会先潜伏数周甚至数月的时间，在这段时间内，他们会不断渗透目标系统，窃取系统权限、提升自身权限。接下来，攻击者会对目标系统中的数据进行加密，这是勒索攻击的关键一步。值得注意的是，攻击者在加密数据时，会使用只有自己掌握的密钥，以确保数据所有者无法解密。做好这一步后，攻击者就可以向数据所有者发起勒索，要求付费解密，否则就会删除或公开数据。如果我们没有采取有效的防护措施，势必会遭受严重的数据损失。

从时间线上看，当我们意识到系统遭到攻击时，实际上攻击已经持续了很长一段时间。在这个过程中，攻击者不断渗透我们的系统，部分数据可能已经被控制。从发现威胁到恢复正常运营，这中间需要经历一段时间，我们的目标就是尽可能压缩这个时间，从而降低损失。

勒索攻击对我们的影响是多方面的，不仅有财务风险，还需要组织内部跨部门的协调，因为这种专业化的攻击风险，很多部门可能难以理解。而在所有的应对措施中，数据备份实际上是最为核心的一个基础和支柱。为什么这么说呢?我们可以从攻击者的角度思考，如果攻击者只攻击生产数据而没有攻击备份数据，那受害者就可以很容易从备份数据中恢复系统。所以，更有技巧的勒索攻击一定会将备份系统作为主要攻击目标。因此，在防范勒索攻击时，我们必须重点考虑如何真正保护好备份系统，这是关键所在。

构建这样的防护体系之前，我们往往需要进行所谓的威胁建模。对于非安全或数据保护专业人员来说，他们可能难以理解安全风险到底在哪里，为什么需要采取某些特定的动作，而这些动作又会消耗公司资源。因此，安全建模很重要，它可以帮助我们跨部门达成共识。

从业界最佳实践来看，要达到一个比较完善的数据备份保护策略，我们有一个所谓的3-2-1-1-0原则。3指的是我们最好有三份不同的数据副本，包括1份生产数据和2份备份数据。2指的是这三份数据中，至少有两份备份数据与生产数据处于不同的逻辑边界，比如放在不同的账户中。在亚马逊云科技的环境下，账户就是分割权限的基本单元，将备份数据和生产数据隔离开来，可以进一步加大攻击者获取备份数据权限的难度。

1指的是这两份备份数据中，至少有一份要跨区域存储，以防止区域级别的灾难发生时，备份数据也遭到破坏。另一个1指的是，备份数据中至少有一份是不可修改的。如果备份数据可以被修改，攻击者就一定会试图对其进行加密等操作，使其无法使用。因此，不可修改性可以从根本上防范这种风险。

最后一个0表示，尽管我们有这么多备份数据，但还是要有一个合理的频率，通过恢复测试的方式，去确保所有的备份都是可用的。如果我们只是备份而不进行恢复测试，到真正需要用备份恢复系统时，可能会发现备份数据已经变得不可用了。

当然，要做到这么完善的备份方案可能会很困难。但我们今天也会介绍，亚马逊云科技为大家提供了什么样的工具，可以相对方便地达到这样的备份架构。

我们给大家一个更具体的例子。假设我们每天做一次备份，保留14天的数据。如果攻击者从第7天开始入侵，那么前7个备份副本就是安全的，没有受到感染。从第8天开始，数据里可能就已经被植入了一些危险因素，比如恶意的可执行文件。虽然这个文件暂时还没有爆发，但在做数据恢复时，我们有机会通过精确的手术式修复，将其去除。

但如果等到攻击程序爆发，数据全部被感染后，最近几天的备份就全部不可用了。这就意味着，尽管我们做了14天的备份，但在真正需要恢复时，可能只能选择第7天的数据，而7天内产生的所有新数据都会损失。这再次强调了，在做备份时，至少要有一份不可修改的副本，这一点至关重要。

接下来，我们逐步深入到解决方案的层面。我们有一个叫做数据保管库的概念，它不仅是一种存储介质，更多的是一个逻辑概念。在这个保管库中，我们可以很方便地定义数据的备份权限、加密方式、保存时间等，确保数据能够满足我们对备份策略的要求。

在设计保管库时，我们需要从多个角度考虑，比如哪些数据需要进入保管库?恢复过程是什么?不同的保管库可能有不同的加密策略和保留时间，这些都需要根据数据的重要性来定义。我们提供的特性非常多，对于刚接触这方面内容的人来说，可能会感到目不暇接。我们的建议是，从最基础的自动备份计划开始，至少可以帮助减少恢复点目标(RPO)时间，然后再逐步完善系统，增加物理隔离、数据不可变性、自动恢复测试等功能，这是一个逐步完善的过程。

围绕我们刚才谈到的所有方法论，亚马逊云科技提供了一项主要服务，叫做Amazon Backup。这个服务的两大核心特点就是集中化和自动化。集中化是指，我们可以在一个界面上集中管理来自不同数据源的所有备份，而不是分散在各个服务中，这避免了目不暇接的情况。自动化则是指，所有的备份策略都可以在第一天进行定义，之后就自动执行，无需手工操作。

当你把数据放入Amazon Backup的逻辑保管库后，它还能提供一些额外的特性。比如，我们可以让备份数据不可篡改，增强加密能力，很容易地在账户间共享备份数据。此外，我们还可以通过脚本化的方式，周期性地从备份库中拉出任意一个备份，并自动进行恢复测试，确保该备份能够正常拉起系统。

我们还可以集成安全扫描功能，在从备份恢复系统后，使用类似于IaC Secure这样的工具，扫描存储中是否存在恶意软件等不应该有的内容。只有经过这一步确认是干净的备份，我们才能在紧急情况下将其作为可靠的恢复选项。

另外，Amazon Backup服务还提供了审计管理器功能。很多客户，特别是在金融等行业，他们的监管机构会要求他们定期出具审计报告，证明其数据保护措施符合规范要求。手工完成这一工作不仅工作量大、容易出错，权威性也有待商榷。而通过审计管理器，客户可以预先设计规则，系统会按需或定时审计所有备份是否达标，自动生成审计报告，从而节省大量人力。

可以看出，Amazon Backup服务将我们之前讨论的备份方法论和架构融入到了服务中，为客户提供了一站式的数据保护解决方案，帮助他们更好地完成备份这一防勒索攻击的关键环节。

如果在亚马逊云科技的环境中建立数据保护体系，我们的参考架构有以下几个重点:

首先，工作负载账户和数据备份账户必须分离，处于不同的账户中。这是因为从权限的角度，不同账户就是天然的逻辑边界，可以进一步加大攻击者攻击备份数据的难度。

其次，在整个多账户体系中，我们建议有一个专门的账户，只有在这个账户中，备份管理员才有权限进行备份操作、恢复操作、删除操作等。在其他所有账户中，备份管理员都没有这些权限。这就进一步降低了攻击者获取备份管理员权限的可能性。

类似地，我们还有取证账户和恢复测试账户，这些账户中也只运行相应的工作负载，没有其他生产工作负载，进一步实现了权限隔离。

最后，我们会将用于加密备份数据的密钥，单独放在一个密钥管理账户中，确保任何不应该访问这个账户的人都无法访问，从而降低密钥泄露的风险。

在取证账户中，我们主要进行恢复测试的工作。我们不仅可以通过脚本化的方式自动周期性地拉起备份数据，测试其可用性，还可以集成安全扫描工具，确保从备份恢复的系统是干净的，没有被植入恶意软件。只有经过这一步确认是安全的备份，我们才能在紧急情况下将其作为可靠的恢复选项。

总的来说，防范勒索攻击需要从方法论、架构、技术、人员等多方面着手。数据备份是其中最为核心和基础的一环。亚马逊云科技的Amazon Backup服务将业界最佳实践融入到了服务中，提供了集中自动化管理、逻辑保管库、不可篡改备份、增强加密、跨账户共享、自动恢复测试、审计报告等功能，帮助客户更好地完成备份这一关键环节，构建完善的防勒索攻击数据保护体系。

下面是一些演讲现场的精彩瞬间：

总结

亚马逊云科技提供了一种构建防勒索攻击数据保护体系的方法论和工具。勒索攻击通常会在长时间潜伏后，加密受害者的数据并勒索赎金。为了防御这种攻击，数据备份是关键的一环。

亚马逊云科技建议采用“3-2-1-1-0”原则:保留3份数据副本，其中2份在不同的逻辑边界(如账户)，1份跨区域存储，1份不可修改，并定期进行恢复测试(0)。这种方法可以最大程度地降低数据丢失和系统中断的风险。

亚马逊云科技推出了Amazon Backup服务，实现了集中化和自动化的数据备份管理。该服务可以确保备份数据的不可篡改性、加强加密能力、跨账户共享备份，并支持自动化的恢复测试和审计。通过将不同职责分离到不同账户，Amazon Backup服务为构建防勒索攻击的数据保护体系提供了完整的解决方案。

我们正处在Agentic AI爆发前夜。2025亚马逊云科技中国峰会提出，企业要从“成本优化”转向“创新驱动”，通过完善的数据战略和AI云服务，把握全球化机遇。亚马逊将投入1000亿美元在AI算力、云基础设施等领域，通过领先的技术实力和帮助“中国企业出海“和”服务中国客户创新“的丰富经验，助力企业在AI时代突破。