小村软件有限公司
咨询
菜单

经得起勒索软件的备份 ── 3-2-1 规则、无法覆盖的存储位置、确认能否还原

· · 信息安全, 勒索软件, 备份, Windows, 中小企业, VSS

分享到 X 分享到微博 分享到 QQ
更新记录(仅首版,2026年11月01日 发布)
首次发布
引用本文(DOI: 10.5281/zenodo.23969177)

本文保存于 Zenodo。以下同时提供始终指向最新版本的 DOI，以及固定于您正在阅读版本的 DOI。

Go Komura(2026)。《经得起勒索软件的备份 ── 3-2-1 规则、无法覆盖的存储位置、确认能否还原》。小村软件有限公司。https://doi.org/10.5281/zenodo.23969177 https://comcomponent.com/zh-CN/blog/ransomware-resilient-backup/

DOI(最新版本)
10.5281/zenodo.23969177
DOI(此版本)
10.5281/zenodo.23969178

在勒索软件的损害中，常有明明做了备份却无法还原的例子。最常见的原因是备份也一起被加密了。本文以中小企业的 Windows PC 和文件服务器为对象，说明如何建立经得起攻击的备份。

要点有三个：保有一份受感染的 PC 无法覆盖的副本、不要用“以前的版本”代替备份、确认实际上能否还原。3-2-1 规则决定副本的数量和存放位置，但仅靠它作为勒索软件的防备还有不足之处。

文中的命令仅适用于 Windows，已在 Windows Server 2022 的管理员命令提示符中执行并确认输出。产品的设置界面和价格可能会变化，导入时请确认各公司的最新资料。

做了备份却无法还原的企业很多

日本警察厅会询问遭受勒索软件攻击的企业和团体的备份情况。在 2025 年上半年的报告中，作答的 53 件里有 51 件做了备份。然而，在被问到能否从备份还原到受害前水平的 48 件中，能还原的只有 7 件，41 件无法还原1。

在回答无法还原原因的 35 件中，“备份也被加密”有 23 件，“运维缺陷”有 8 件，“其他”有 4 件1。同一份报告写道，勒索软件团伙为了抹去痕迹、让受害者无法进行恢复工作，会删除受害企业的日志和备份。报告接着要求将备份保存在离线环境中2。

做了备份也无法还原的流程说明即使做了备份，如果放在受感染的 PC 能够到达的地方就会一起被加密，如果没有确认过还原步骤，也会因运维缺陷而无法还原的图。能到达不能到达没有确认已确认做了备份受感染的 PC 能到达吗一起被加密或删除确认过还原步骤吗因运维缺陷而无法还原可以还原

图1：备份要在受感染的 PC 无法到达、而且还原步骤已确认过时才能派上用场。

也有成功还原的例子。IPA 的《中小企业信息安全对策指南》第4.0版中，收录了一家建筑业企业经由 VPN 设备遭到入侵、文件服务器等被加密的案例。这家公司部分因为每年进行 2 次还原演练，在发现受害 5 天后就从备份让核心系统重新运行。即便如此，各内部系统的恢复花了 41 天，远程访问的恢复花了 4 个月，公司内部的文件也丢失了两成多3。能从备份还原，并不意味着损害就此消失。

图中实线表示始终成立的关系，虚线表示带条件的关系（成立条件写在详情页各关系的说明中）。关系的完整列表（共 13 条，附依据与确信度）以及主要概念的定义，汇总在知识地图详情页（日文）。数据：JSON-LD / Turtle

攻击者会删除能到达的备份

美国 CISA 等机构发布的 #StopRansomware 指南写道，许多勒索软件为了让受害者不付赎金就无法恢复，会设法找出可访问的备份并加以删除或加密。因此指南表示，离线保存备份很重要4。

Microsoft 也写道，攻击者会致力于让备份软件以及卷影副本等 OS 功能无法使用5。受感染的 PC 能够到达的备份包括以下几种。

  • 一直连接在 PC 上的外部驱动器
  • 映射了驱动器号的 NAS 或文件服务器共享文件夹
  • 平时使用的账户就能写入的云同步文件夹
  • 同一个卷上的卷影副本（以前的版本）

即使只用 OS 自带的命令，也能删除卷影副本和备份目录。MITRE ATT&CK 将这种手法归纳为“Inhibit System Recovery”（T1490）。其中举出了用 vssadmin.exe delete shadows /all /quiet 删除所有卷影副本，以及用 wbadmin.exe delete catalog -quiet 删除 Windows 备份目录的例子6。CISA 的指南也要求监视 vssadmin.exe、wbadmin.exe、wmic.exe（shadowcopy）等工具的可疑使用4。

受感染的 PC 能到达和不能到达的备份说明受感染的 PC 可以写入一直连接的外部驱动器、映射的共享文件夹、同步文件夹和卷影副本，但无法写入已断开的介质和无法覆盖的存储位置的图。受感染的 PC可以写入的地方已断开的介质、无法覆盖的存储位置一直连接的外部驱动器映射的共享文件夹云同步文件夹卷影副本

图2：放在受感染的 PC 可以写入之处的备份，会成为攻击的目标。

还要留意耗时较长的攻击。Microsoft 写道，勒索软件有时会把密钥留在系统上，一点一点地推进加密。这段时间用户仍能照常使用数据，因此在没有察觉加密的情况下，被加密数据的备份会不断增加。等全部加密完、密钥被删除之后，最近的备份也会无法读取5。如果只保留最近的一代，遇到这种情况就没有可以回去的地方。

“以前的版本”不能代替备份

Windows 的“以前的版本”和共享文件夹的卷影副本，使用的是卷影复制服务（VSS）。Windows 自带的 VSS 系统提供程序采用写时复制方式，在块被覆盖之前先把内容转移到差异区域，以此重现某个时间点的卷7。

Microsoft 在 VSS 的资料中，将卷影副本与备份的区别说明如下：从卷影副本把数据写到磁带等可移动介质时，该介质的内容就成为备份。写入之后，卷影副本本身可以删除7。资料中还写道，差异区域不足时，会从最旧的卷影副本开始依次删除7。

卷影副本与备份的区别说明卷影副本是原卷的差异，会因空间不足或攻击而被删除，而写到其他介质上的备份即使原卷丢失也会保留的图。写到其他介质原卷卷影副本（差异）空间不足时从最旧的开始删除攻击者用 vssadmin 删除备份即使失去原卷也会保留

图3：卷影副本以原卷的数据为前提，写到其他介质上的才是备份。

卷影副本很适合让用户自行还原不小心覆盖的文件。不过如上一节所述，它有时会被攻击者删除。原理和运维的详细内容，请参阅“卷影复制服务（VSS）的原理与实务”。

要查看还留有哪些卷影副本，可以在管理员命令提示符中执行 vssadmin list shadows 列出。这个子命令在客户端和服务器上都能使用8。

vssadmin list shadows

OneDrive 和 SharePoint 的版本历史记录与回收站，也是用户取回文件的手段。Microsoft 建议事先教会用户如何把整个 OneDrive 还原到之前的时间点。同时还提到，要在确信已把攻击者清除出去之后再让用户还原，并准备好用户连恶意软件一起还原时的对策5。

3-2-1 规则决定副本的数量和存放位置

3-2-1 规则是说明如何保有备份副本的经验法则。2012 年为美国 US-CERT 编写的“Data Backup Options”说明如下9。

  • 3：重要的文件要有原件 1 份加上备份 2 份，共 3 份。
  • 2：为了应对不同种类的灾害，存放在 2 种介质上。
  • 1：1 份放在住宅或营业场所之外。

这份资料以摄影师 Peter Krogh 谈数码照片管理的著作“The DAM Book”作为出处9。Microsoft 在防范勒索软件的备份资料中也举出这条规则，并将“1”说明为“异地或冷副本”5。

3-2-1 规则要求的是放在公司外，并没有要求公司外的副本必须离线或无法覆盖。因此，如果公司外的副本放在受感染的 PC 随时都能写入的云端，就可能和手边的副本一起被加密。CISA 的指南和 Microsoft 的资料都把离线保存列为勒索软件的防备。Microsoft 还举出了无法覆盖的存储位置45。

3-2-1 规则与勒索软件的防备说明在 3 份副本、2 种介质、1 份放在公司外的 3-2-1 规则上，再加上一份离线或无法覆盖的副本，并确认能否还原的图。3 份副本2 种介质1 份在公司外1 份离线或无法覆盖确认能否还原

图4：在 3-2-1 规则上，加上受感染的 PC 无法覆盖的副本，以及能否还原的确认。

备份产品厂商 Veeam 将此推广为“3-2-1-1-0 规则”。在 Veeam 的资料中，追加的“1”是保有一份离线、物理隔离或无法覆盖的副本，“0”是定期还原验证中没有错误10。这是厂商资料中的叫法，并非公定标准。不过追加的两项，也与 CISA 和 IPA 的要求重合。

保有一份受感染的 PC 无法覆盖的副本

制作无法覆盖的副本，大致有两种方法：把介质从 PC 上断开后保存，或者使用在一定期间内既无法覆盖也无法删除的云存储位置。无论选择哪一种，都要把管理备份的权限与平时的工作分开。

把介质从 PC 上断开后保存

IPA 的指南在自我诊断的对策示例中，举出备份用的设备和介质只在进行备份时才连接电脑。此外还举出决定备份的方法、保存在安全的地方、定期确认能否还原11。

在更进一步的阶段，指南举出“物理隔离”。这是把备份放在与原系统物理分离的地方，将外部存储或备份磁带保存在尽可能远的地方。保存地点的例子包括银行的保险箱，或值得信赖的合作伙伴与关联公司12。

像这样与生产系统断开保存的备份，称为离线备份。受感染的 PC 无法写入已断开的介质。相应地，重新连接和搬运都要靠人来做，因此会出现忘记备份或忘记带出去的情况。要事先决定由谁、在什么时候连接介质、断开介质并送到保存地点。

使用无法覆盖的云存储位置

云存储提供了在规定期间内，数据既无法覆盖也无法删除的功能。这是以称为 WORM（Write Once, Read Many）的状态保存数据。

在 Azure Blob 存储的不可变存储中，设置基于时间的保留策略后，在该期间内数据可以创建和读取，但无法修改或删除13。策略一开始以未锁定的状态创建，测试之后再锁定。锁定的策略无法删除，保留期可以延长但不能缩短13。Microsoft 说明，即使是拥有账户管理员权限的用户，也无法修改或删除数据13。

Amazon S3 的 Object Lock 有两种模式。在合规模式下，包括 AWS 账户的根用户在内，任何人都无法在保留期内覆盖或删除对象版本。在监管模式下，只有拥有特殊权限的用户才能更改或删除保留设置14。Object Lock 只能用于已启用 S3 版本控制的存储桶14。

无法覆盖的存储位置的两个例子说明 Azure Blob 存储的不可变存储锁定后的策略无法删除、保留期无法缩短，以及 S3 Object Lock 在合规模式下连根用户也无法删除、在监管模式下可用特殊权限更改的图。无法覆盖的存储位置Azure Blob 存储的不可变存储S3 Object Lock锁定后无法缩短保留期合规模式监管模式连根用户也无法删除可用特殊权限更改

图5：两种存储位置都会在规定期间内拒绝覆盖和删除。强度因设置而异。

在 Azure 中，即使锁定策略后才发现设置有误，也无法缩短保留期13。CISA 的指南在介绍部分云服务商提供无法覆盖的存储位置之后，提醒设置错误可能带来高昂的费用。指南还提到，这类存储位置有时无法满足特定法规的要求4。如果把保留期设得很长并锁定，在该期间内就无法删除数据，存储费用也会持续产生。一开始先以未锁定的状态或较短的期间测试，确认能还原之后再应用生产环境的设置。

分开管理备份的权限

即使使用无法覆盖的存储位置，如果平时的管理员账户就能更改备份的设置和策略，攻击者也可能加以更改。Microsoft 建议在修改或删除在线备份之前，要求多重身份验证或安全 PIN 等额外的步骤。还举出将备份和还原操作限定给指定角色的用户，以及减少文件共享中许多用户都能写入和删除的状态5。

即使 PC 的管理和备份的管理由同一个人负责，用来管理备份位置的账户也不要用于平时的 PC 登录，并为它启用多重身份验证。

保留多代

IPA 的指南举出保有多个时间点备份的“世代管理”。这是让数据损坏或丢失时，能回溯到特定时间点还原的方法12。如上一节所述，如果察觉加密需要时间，最近的备份就会是已经被加密后的数据。要保留几代，请根据察觉加密可能需要的时间和存储费用来决定。

保有无法覆盖副本的三个手段说明断开介质保存或使用无法覆盖的存储位置、把管理备份的权限与平时的账户分开、保留多代的图。无法覆盖的副本断开介质保存无法覆盖的存储位置分开管理权限保留多代

图6：决定存放位置之后，分开管理权限，并保留多代，让察觉得晚也能回得去。

确认能否还原

在警察厅的报告中，无法还原原因的第二位是“运维缺陷”1。备份实际上能否还原，不还原试一下就无从得知。实际从备份还原来确认的工作，称为还原测试。

IPA 的指南将备份的运维分为获取、保存、恢复三个部分。在恢复方面，要求制定恢复计划，并确认能正确恢复3。对于业务上重要的系统，则要求配合恢复时间目标（RTO）和恢复点目标（RPO）整备备份的获取与步骤，并通过演练确认实效。RTO 是恢复到目标水平所需的时间，RPO 是还原的时间点，也就是最近一次备份的时间点15。CISA 的指南也要求以灾难恢复为前提，定期确认备份是否可用、是否完好4。

还原测试的进行方法说明决定还原顺序、还原到其他环境、将所用时间和还原的时间点对照 RTO 与 RPO、修改操作手册的流程的图。下次确认决定还原顺序还原到其他环境将所用时间与 RTO 比较将还原的时间点与 RPO 比较修改操作手册

图7：实际还原一下，确认时间和时间点是否符合目标，并把结果反馈到操作手册。

要确认什么

要确认的内容，可以根据 IPA 和 Microsoft 的资料整理如下。

要确认的事 要看的要点 依据
能否以文件为单位还原 用户使用的文件能否打开 IPA11
能否还原整个系统 还原到生产环境以外的 PC 或服务器，业务应用能否运行 IPA3、Microsoft5
所用时间 是否在设定的 RTO 之内 IPA15
还原的时间点 是否没有比设定的 RPO 更旧 IPA15
还原顺序 是否已决定身份验证或核心业务等要先还原的对象 Microsoft5
操作手册的存放位置 即使公司内部系统全部停止也能阅读吗 Microsoft5

Microsoft 建议先确定业务不可或缺的系统，并定期备份它们。这样做出的备份优先级清单，直接就成为还原顺序的清单。在优先级高的对象中，Microsoft 最先举出 Active Directory 等进入其他所有系统都需要的身份验证机制5。还建议定期进行从所有系统都停止的状态让业务重新启动的演练。届时要假设电子邮件和聊天也无法使用5。

Microsoft 写道，攻击者会有意针对还原操作手册和网络图。建议加以保护，或打印出来放在手边5。如果操作手册只放在文件服务器里，该文件服务器被加密时就无法阅读。

受害后还原时的注意事项

实际受害之后，要先从环境中清除勒索软件本体再还原5。Microsoft 举出要选择已知未受感染时间点的备份，以及还原前检查备份中是否有恶意软件5。警察厅的报告写道，勒索软件团伙为了在入侵口被封住后仍能再次进入，有时会安装可远程操作的软件作为后门2。还原之前，必须调查入侵途径和留下的机关。

受害后从备份还原的顺序说明清除勒索软件本体和入侵途径、选择未受感染时间点的备份、检查是否有恶意软件之后，从优先级高的系统开始还原的图。清除勒索软件本体调查入侵途径和机关选择未受感染的时间点检查备份从优先级高的开始还原

图8：受害后，要清除攻击者留下的机关，确认未受感染的时间点之后再还原。

多久确认一次

IPA 的指南和 CISA 的指南都要求“定期”确认能否还原，但没有给出次数114。前面介绍的 IPA 案例中的公司，每年进行 2 次还原演练3。请先决定业务可以停多久、还原的时间点最旧可以到什么程度，再以能确认是否满足这些目标的频率来确认。

首先要决定的事

把到目前为止的内容，整理为中小企业首先要决定的事。

项目 要决定的事
对象 无法还原就会让业务停止的数据和系统
副本 按照 3-2-1 规则决定副本的数量、介质和存放位置
无法覆盖的副本 使用已断开的介质，还是无法覆盖的存储位置
权限 管理备份的账户和多重身份验证
世代 保留几代、保留多久
目标 各项业务的 RTO 和 RPO
确认 由谁、以什么频率、还原什么来确认
操作手册 写有还原顺序和步骤的文档放在哪里
决定经得起勒索软件的备份的顺序说明决定对象、决定副本的存放位置和无法覆盖的副本、决定权限和世代、决定 RTO 与 RPO 并确认能否还原的顺序的图。决定对象决定副本的存放位置决定无法覆盖的副本决定权限和世代决定 RTO 和 RPO确认能否还原

图9：从对象开始决定，一直决定到最后确认能否还原为止。

在 IPA 指南的第4.0版中，最先实践的“信息安全五条准则”加入了“做好备份！”，成为六条准则16。整份指南的推进方法，整理在“中小企业的安全对策，该从何入手”中。如果有更换服务器的计划，也请参考“Preparing for Windows Server 2016 End of Support”。

相关文章

参考资料

  1. 日本警察厅网络警察局，关于 2025 年上半年网络空间相关威胁形势等（2025 年 9 月，日文）。资料篇第 61 页“勒索软件损害相关统计④”。备份的获取情况（有效回答 53 件中有备份 51 件）、还原结果（有效回答 48 件中可还原 7 件、无法还原 41 件）、无法还原的原因（有效回答 35 件中备份也被加密 23 件、运维缺陷 8 件、其他 4 件）。 ↩ ↩2 ↩3

  2. 日本警察厅网络警察局，关于 2025 年上半年网络空间相关威胁形势等（日文）。第 9 页。勒索软件团伙会删除受害企业的日志和备份、为了再次入侵而安装后门，以及要求将备份保存在离线环境中。 ↩ ↩2

  3. IPA，中小企业信息安全对策指南 第4.0版（日文）。第 11 页的案例 3（每年 2 次还原演练、发现后 5 天核心系统重新运行、丢失两成多的文件）和第 21 页的专栏“进行适当的备份运维”（获取、保存、恢复）。 ↩ ↩2 ↩3 ↩4

  4. CISA 等，#StopRansomware Guide。维护离线且加密的备份，并定期确认其可用性和完整性。许多勒索软件会设法删除或加密可访问的备份。监视 vssadmin.exe、wbadmin.exe 等工具的可疑使用。无法覆盖的存储位置因设置错误产生的费用，以及法规方面的注意事项。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6

  5. Microsoft Learn，Azure backup and restore plan to protect against ransomware。攻击者针对备份和卷影副本、一点一点加密的手法、3-2-1 规则、离线和无法覆盖的存储位置、多重身份验证和安全 PIN、还原顺序、保护操作手册，以及还原前的确认。 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11 ↩12 ↩13 ↩14

  6. MITRE ATT&CK，Inhibit System Recovery (T1490)。用 vssadmin.exe 删除卷影副本，以及用 wbadmin.exe 删除备份目录的例子。 ↩

  7. Microsoft Learn，Volume Shadow Copy Service (VSS)。写时复制方式、卷影副本与备份的区别，以及差异区域不足时的删除。 ↩ ↩2 ↩3

  8. Microsoft Learn，vssadmin。vssadmin list shadows 等子命令，以及在客户端和服务器上能否使用。 ↩

  9. Paul Ruggiero, Matthew A. Heckathorn，Data Backup Options（2012 年，由 Carnegie Mellon University 为 US-CERT 编写）。3-2-1 规则的内容，以及作为出处的 Peter Krogh“The DAM Book”。 ↩ ↩2

  10. Veeam，[3-2-1 Rule Veeam Backup for Microsoft 365 Best Practices](https://bp.veeam.com/vb365/guide/design/3-2-1)。厂商资料。3-2-1-1-0 规则追加的“1”（离线、物理隔离或无法覆盖的副本）和“0”（还原验证中没有错误）。

    ↩

  11. IPA，中小企业信息安全对策指南 第4.0版（日文）。第 24 页。备份的对策示例（定期进行、设备和介质只在备份时连接、保存在安全的地方、定期确认能否还原）。 ↩ ↩2 ↩3

  12. IPA，中小企业信息安全对策指南 第4.0版（日文）。第 33 页“进行适当的备份”。世代管理和物理隔离。 ↩ ↩2

  13. Microsoft Learn，Immutable storage for blob data overview。WORM 状态、基于时间的保留策略、锁定的策略无法删除且保留期无法缩短，以及拥有管理员权限的用户也无法修改或删除数据。 ↩ ↩2 ↩3 ↩4

  14. AWS，Locking objects with Object Lock。合规模式和监管模式，以及需要版本控制。 ↩ ↩2

  15. IPA，中小企业信息安全对策指南 第4.0版（日文）。第 38 页。配合恢复时间目标（RTO）和恢复点目标（RPO）整备备份获取与步骤，并通过演练验证实效。 ↩ ↩2 ↩3

  16. IPA，发布《中小企业信息安全对策指南》第4.0版（日文）。加入“做好备份！”成为信息安全六条准则。 ↩

相关文章

共享相同标签的最新文章。可以围绕相近的主题进一步加深理解。

相关主题

与本文相近的主题页面。以本文为起点，可以进一步了解相关服务和其他文章。

与本主题相关的服务

本文与以下服务页面相关联，欢迎从最接近的入口查看。

常见问题

汇总了咨询这一主题时常见的问题。

只要做了备份，感染勒索软件后就能恢复原状吗？
只是做了备份，往往还是无法还原。在日本警察厅汇总的 2025 年上半年损害中，做了备份的企业和团体里，作答的 48 件中有 41 件无法还原到受害前的水平。最常见的原因是备份也被加密了。必须保有受感染的 PC 无法覆盖的副本，并事先确认能否还原。
有了 Windows 的“以前的版本”，是不是就不需要备份了？
仍然需要。以前的版本就是卷影副本，是保留在原卷上的差异。Microsoft 将从卷影副本写到磁带等介质上的数据视为备份。勒索软件有时会用 vssadmin 等工具删除卷影副本，因此要与放在其他介质上的备份配合使用。
遵守 3-2-1 规则，作为勒索软件对策就足够了吗？
仅靠它有时并不够。3-2-1 规则要求 3 份副本、2 种介质、1 份放在公司外，但并没有要求公司外的副本必须离线或无法覆盖。受感染的 PC 随时都能写入的云端副本，也可能同样被加密。请再加上一份放在离线介质或无法覆盖的存储位置上的副本。
应该多久确认一次能否从备份还原？
IPA 的指南和 CISA 的指南都只写“定期”，没有给出次数。IPA 的指南中有一个案例：每年进行 2 次还原演练的企业，在发现受害 5 天后就让核心系统重新运行。请先决定业务可以停多久、还原的时间点最旧可以到什么程度，再以能确认是否满足这些目标的频率来确认。

作者简介

本文作者的个人简介页面。

Go Komura

小村软件有限公司 代表

以 Windows 软件开发、技术咨询与故障排查为中心，擅长保留有既有资产的项目，以及原因难以看清的故障调查。

联系我们
返回博客列表