生产系统有防火墙、有权限体系、有审计，备份系统往往什么都没有：一台服务器、一个大目录、一个共享账号。攻击者很清楚这一点。
一、备份为什么是高价值目标
- 数据集中：多个系统的全量数据聚集在一处
- 权限宽松：常为了"方便恢复"而给了过大的访问权限
- 审计薄弱：备份任务的日志往往只记录成功失败，不记录谁读过
更麻烦的是，备份一旦泄露，泄露的是历史快照——包括那些已经从生产系统中删除的数据。
二、加密：静态与传输都要做
- 备份介质或存储桶启用静态加密
- 传输过程使用加密通道，禁止明文传输
- 密钥独立管理，不与备份文件放在同一位置
- 验证恢复流程时确认密钥可用——密钥丢了，备份等于零
三、权限：只给需要的人
| 角色 | 权限 |
|---|---|
| 备份系统账号 | 仅写入指定目录 |
| 恢复操作 | 按申请审批，操作留痕 |
| 日常查询 | 普通账号无权限，走申请流程 |
| 第三方厂商 | 临时授权，限时且全程记录 |
取消"所有人可读"的共享
备份目录常被设置成全员可读，只为"方便取文件"。这个便利的代价，是任何人都可以把全公司的数据拷走。
四、留痕：谁读了备份
- 记录恢复与导出操作：谁、什么时间、恢复了什么范围
- 大批量恢复或导出应触发提醒
- 定期检查异常访问，例如非工作时间的批量读取
五、定期做一次"备份面向的攻击演练"
每半年假设一次场景：如果备份服务器被入侵，能拿到什么、能破坏什么。按这个思路检查加密是否生效、权限是否合理、离线副本是否真的隔离。备份的意义是"出事时能救回来"，前提是它自己没有先出事。
#备份安全#数据加密#权限管控#运维事业部
