經得起勒索軟體的備份 ── 3-2-1 規則、無法覆寫的儲存位置、確認能否還原

在勒索軟體的災情中，常有明明有備份卻無法還原的例子。最常見的原因是備份也一起被加密了。本文以中小企業的 Windows PC 與檔案伺服器為對象，說明如何建立經得起攻擊的備份。

重點有三個：保有一份受感染的 PC 無法覆寫的副本、不要拿「舊版」來取代備份、確認實際上能否還原。3-2-1 規則決定副本的數量與存放位置，但光靠它作為勒索軟體的防備還有不足之處。

文中的命令僅適用於 Windows，並已在 Windows Server 2022 的系統管理員命令提示字元中執行並確認輸出。產品的設定畫面與價格可能會變動，導入時請確認各公司的最新資料。

有備份卻無法還原的企業很多

日本警察廳會詢問遭受勒索軟體攻擊的企業與團體其備份狀況。在 2025 年上半年的報告中，回答的 53 件裡有 51 件有備份。然而，在被問到能否從備份還原到受害前水準的 48 件中，能還原的只有 7 件，41 件無法還原¹。

在回答無法還原原因的 35 件中，「備份也被加密」有 23 件、「營運缺失」有 8 件、「其他」有 4 件¹。同一份報告寫道，勒索軟體集團為了抹去痕跡、讓受害者無法進行復原，會刪除受害企業的日誌與備份。報告接著要求將備份保管在離線環境中²。

flowchart TB
        accTitle: 有備份也無法還原的流程
        accDescr: 說明即使有備份，若放在受感染的 PC 碰得到的地方就會一起被加密，若沒有確認過還原程序，也會因營運缺失而無法還原的圖。
        A["有備份"] --> B{"受感染的 PC 碰得到嗎"}
        B -->|"碰得到"| C["一起被加密或刪除"]
        B -->|"碰不到"| D{"確認過還原程序嗎"}
        D -->|"沒有確認"| E["因營運缺失而無法還原"]
        D -->|"已確認"| F["可以還原"]

圖1：備份要在受感染的 PC 碰不到、而且還原程序已確認過時才能派上用場。

也有成功還原的例子。IPA 的「中小企業資訊安全對策指南」第4.0版中，收錄了一家建設業者經由 VPN 設備遭到入侵、檔案伺服器等被加密的案例。這家公司部分因為每年進行 2 次還原演練，在發現受害 5 天後就從備份讓核心系統重新運作。即便如此，各內部系統的恢復花了 41 天、遠端存取的恢復花了 4 個月，公司內部的檔案也損失了兩成多³。能從備份還原，並不代表損害就此消失。

圖中實線表示始終成立的關係，虛線表示附帶條件的關係（成立條件寫在詳細頁面中各關係的說明中）。關係的完整清單（共 13 條，附依據與可信度）以及主要概念的定義，彙整在知識地圖詳細頁面（日文）。資料：JSON-LD / Turtle

攻擊者會刪除碰得到的備份

美國 CISA 等機關發布的 #StopRansomware 指南寫道，許多勒索軟體為了讓受害者不付贖金就無法復原，會設法找出可存取的備份並加以刪除或加密。因此指南表示，離線保管備份很重要⁴。

Microsoft 也寫道，攻擊者會致力於讓備份軟體以及磁碟區陰影複製等 OS 功能無法使用⁵。受感染的 PC 碰得到的備份包括下列幾種。

• 一直接在 PC 上的外接磁碟
• 對應了磁碟機代號的 NAS 或檔案伺服器共用資料夾
• 平常使用的帳戶就能寫入的雲端同步資料夾
• 同一個磁碟區上的陰影複製（舊版）

就算只用 OS 內建的命令，也能刪除陰影複製與備份目錄。MITRE ATT&CK 將這種手法整理為「Inhibit System Recovery」（T1490）。其中舉出了以 vssadmin.exe delete shadows /all /quiet 刪除所有陰影複製，以及以 wbadmin.exe delete catalog -quiet 刪除 Windows 備份目錄的例子⁶。CISA 的指南也要求監視 vssadmin.exe、wbadmin.exe、wmic.exe（shadowcopy）等工具的可疑使用⁴。

flowchart TB
        accTitle: 受感染的 PC 碰得到與碰不到的備份
        accDescr: 說明受感染的 PC 可以寫入一直連接的外接磁碟、對應的共用資料夾、同步資料夾與陰影複製，但無法寫入已拔除的媒體與無法覆寫的儲存位置的圖。
        P["受感染的 PC"] --> R["可以寫入的地方"]
        P -.-x N["已拔除的媒體、無法覆寫的儲存位置"]
        R --> A["一直連接的外接磁碟"]
        R --> B["對應的共用資料夾"]
        R --> C["雲端同步資料夾"]
        R --> D["陰影複製"]

圖2：放在受感染的 PC 可以寫入之處的備份，會成為攻擊的目標。

也要留意耗時較長的攻擊。Microsoft 寫道，勒索軟體有時會把金鑰留在系統上，一點一點地進行加密。這段期間使用者仍能照常使用資料，因此在沒有察覺加密的情況下，被加密資料的備份會不斷增加。等全部加密完畢、金鑰被刪除之後，最近的備份也會無法讀取⁵。若只保留最近的一個世代，遇到這種情況就沒有可以回去的地方。

「舊版」無法取代備份

Windows 的「舊版」與共用資料夾的陰影複製，使用的是磁碟區陰影複製服務（VSS）。Windows 隨附的 VSS 系統提供者採用寫入時複製方式，在區塊被覆寫之前先把內容移到差異區，藉此重現某個時間點的磁碟區⁷。

Microsoft 在 VSS 的資料中，將陰影複製與備份的差異說明如下：從陰影複製把資料寫到磁帶等抽取式媒體時，該媒體的內容就成為備份。寫入之後，陰影複製本身可以刪除⁷。資料中也寫到，差異區不足時，會從最舊的陰影複製開始依序刪除⁷。

flowchart TB
        accTitle: 陰影複製與備份的差異
        accDescr: 說明陰影複製是原本磁碟區的差異，會因空間不足或攻擊而被刪除，而寫到其他媒體的備份即使原本的磁碟區遺失仍會留下的圖。
        V["原本的磁碟區"] --> S["陰影複製（差異）"]
        S --> L["空間不足時從最舊的開始刪除"]
        S --> K["攻擊者用 vssadmin 刪除"]
        S -->|"寫到其他媒體"| B["備份"]
        B --> R["即使失去原本的磁碟區仍會留下"]

圖3：陰影複製以原本磁碟區的資料為前提，寫到其他媒體的才是備份。

陰影複製很適合讓使用者自行還原不小心覆寫的檔案。不過如前一節所述，它有時會被攻擊者刪除。機制與營運的詳細內容，請參閱「磁碟區陰影複製服務(VSS)的機制與實務」。

要查看還留著哪些陰影複製，可以在系統管理員命令提示字元中執行 vssadmin list shadows 列出。這個子命令在用戶端與伺服器上都能使用⁸。

vssadmin list shadows

OneDrive 與 SharePoint 的版本歷程記錄和資源回收筒，也是使用者取回檔案的方法。Microsoft 建議事先教會使用者如何把整個 OneDrive 還原到先前的時間點。同時也提到，要等確定已把攻擊者趕出去之後再讓使用者還原，並準備好使用者連惡意程式一起還原時的對策⁵。

3-2-1 規則決定副本的數量與存放位置

3-2-1 規則是說明如何保有備份副本的經驗法則。2012 年為美國 US-CERT 撰寫的「Data Backup Options」說明如下⁹。

• 3：重要的檔案要有原始檔 1 份加上備份 2 份，共 3 份。
• 2：為了因應不同種類的災害，存放在 2 種媒體上。
• 1：1 份放在住家或營業場所之外。

這份資料以攝影師 Peter Krogh 談數位照片管理的著作「The DAM Book」作為出處⁹。Microsoft 在防範勒索軟體的備份資料中也舉出這條規則，並將「1」說明為「異地或冷備份副本」⁵。

3-2-1 規則要求的是放在公司外，並未要求公司外的副本必須離線或無法覆寫。因此，若公司外的副本放在受感染的 PC 隨時都能寫入的雲端，就可能和手邊的副本一起被加密。CISA 的指南與 Microsoft 的資料都將離線保管列為勒索軟體的防備。Microsoft 也舉出無法覆寫的儲存位置⁴⁵。

flowchart TB
        accTitle: 3-2-1 規則與勒索軟體的防備
        accDescr: 說明在 3 份副本、2 種媒體、1 份放在公司外的 3-2-1 規則上，再加上一份離線或無法覆寫的副本，並確認能否還原的圖。
        A["3 份副本"] --> B["2 種媒體"]
        B --> C["1 份在公司外"]
        C --> D["1 份離線或無法覆寫"]
        D --> E["確認能否還原"]

圖4：在 3-2-1 規則上，加上受感染的 PC 無法覆寫的副本，以及能否還原的確認。

備份產品廠商 Veeam 將此推廣為「3-2-1-1-0 規則」。在 Veeam 的資料中，追加的「1」是保有一份離線、實體隔離或無法覆寫的副本，「0」是定期還原驗證中沒有錯誤¹⁰。這是廠商資料中的稱呼，並非公定標準。不過追加的兩個項目，也與 CISA 和 IPA 的要求重疊。

保有一份受感染的 PC 無法覆寫的副本

製作無法覆寫的副本，大致有兩種方法：把媒體從 PC 上拔除後保管，或使用在一定期間內既無法覆寫也無法刪除的雲端儲存位置。無論選擇哪一種，都要把管理備份的權限與平常的作業分開。

把媒體從 PC 上拔除後保管

IPA 的指南在自我診斷的對策範例中，舉出備份用的裝置與媒體只在進行備份時才連接 PC。此外也舉出決定備份的方法、保管在安全的地方、定期確認能否還原¹¹。

在更進一步的階段，指南舉出「實體隔離」。這是把備份放在與原本系統實體分離的地方，將外接儲存裝置或備份磁帶保管在盡量遠的地方。保管地點的例子包括銀行的保險箱，或值得信賴的往來廠商與關係企業¹²。

像這樣與正式環境系統切開保管的備份，稱為離線備份。受感染的 PC 無法寫入已拔除的媒體。相對地，換接與搬運都要由人來做，因此會發生忘了備份或忘了帶出去的情況。要事先決定由誰、在什麼時候連接媒體、拔除媒體並送到保管地點。

使用無法覆寫的雲端儲存位置

雲端儲存提供了在指定期間內，資料既無法覆寫也無法刪除的功能。這是以稱為 WORM（Write Once, Read Many）的狀態保管資料。

在 Azure Blob 儲存體的不可變儲存體中，設定以時間為基礎的保留原則後，在該期間內資料可以建立與讀取，但無法修改或刪除¹³。原則一開始會以未鎖定的狀態建立，測試之後再鎖定。鎖定的原則無法刪除，保留期間可以延長但不能縮短¹³。Microsoft 說明，即使是擁有帳戶系統管理員權限的使用者，也無法修改或刪除資料¹³。

Amazon S3 的 Object Lock 有兩種模式。在合規模式下，包括 AWS 帳戶的根使用者在內，任何人都無法在保留期間內覆寫或刪除物件版本。在治理模式下，只有擁有特殊權限的使用者可以變更或移除保留設定¹⁴。Object Lock 只能用於已啟用 S3 版本控制的儲存貯體¹⁴。

flowchart TB
        accTitle: 無法覆寫的儲存位置的兩個例子
        accDescr: 說明 Azure Blob 儲存體的不可變儲存體鎖定後的原則無法刪除、保留期間無法縮短，以及 S3 Object Lock 在合規模式下連根使用者也無法刪除、在治理模式下可用特殊權限變更的圖。
        W["無法覆寫的儲存位置"] --> AZ["Azure Blob 儲存體的不可變儲存體"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["鎖定後無法縮短保留期間"]
        S3 --> C["合規模式"]
        S3 --> G["治理模式"]
        C --> C1["連根使用者也無法刪除"]
        G --> G1["可用特殊權限變更"]

圖5：兩種儲存位置都會在指定期間內拒絕覆寫與刪除。強度依設定而不同。

在 Azure 中，即使鎖定原則後才發現設定錯誤，也無法縮短保留期間¹³。CISA 的指南介紹部分雲端業者提供無法覆寫的儲存位置之後，提醒設定錯誤可能造成龐大的費用。指南也提到，這類儲存位置有時無法滿足特定法規的要求⁴。若把保留期間設得很長並鎖定，在該期間內就無法刪除資料，保管費用也會持續產生。一開始先以未鎖定的狀態或較短的期間測試，確認能還原之後再套用正式環境的設定。

分開管理備份的權限

即使使用無法覆寫的儲存位置，若平常的系統管理員帳戶就能變更備份的設定與原則，攻擊者也可能加以變更。Microsoft 建議在修改或刪除線上備份之前，要求多重要素驗證或安全性 PIN 等額外的步驟。也舉出將備份與還原的操作限定給指定角色的使用者，以及減少檔案共用中許多使用者都能寫入與刪除的狀態⁵。

即使 PC 的管理與備份的管理由同一個人負責，用來管理備份位置的帳戶也不要用在平常的 PC 登入，並為它設定多重要素驗證。

保留多個世代

IPA 的指南舉出保有多個時間點備份的「世代管理」。這是讓資料損毀或遺失時，能回溯到特定時間點還原的方法¹²。如前一節所述，若察覺加密需要時間，最近的備份就會是已經被加密後的資料。要保留幾個世代，請依察覺加密可能需要的時間與保管費用來決定。

flowchart TB
        accTitle: 保有無法覆寫副本的三個方法
        accDescr: 說明拔除媒體保管或使用無法覆寫的儲存位置、把管理備份的權限與平常的帳戶分開、保留多個世代的圖。
        A["無法覆寫的副本"] --> B["拔除媒體保管"]
        A --> C["無法覆寫的儲存位置"]
        B --> D["分開管理權限"]
        C --> D
        D --> E["保留多個世代"]

圖6：決定存放位置之後，分開管理權限，並保留世代，讓察覺得晚也能回得去。

確認能否還原

在警察廳的報告中，無法還原原因的第二名是「營運缺失」¹。備份實際上能否還原，不還原看看就無從得知。實際從備份還原來確認的作業，稱為還原測試。

IPA 的指南將備份的營運分為取得、保管、復原三個部分。在復原方面，要求擬定復原計畫，並確認能正確復原³。對於業務上重要的系統，則要求配合目標復原時間（RTO）與目標復原時間點（RPO）整備備份的取得與程序，並透過演練確認實效。RTO 是恢復到目標水準所需的時間，RPO 是還原的時間點，也就是最近一次備份的時間點¹⁵。CISA 的指南也要求以災害復原為前提，定期確認備份是否可用、是否完好⁴。

flowchart TB
        accTitle: 還原測試的進行方式
        accDescr: 說明決定還原順序、還原到其他環境、將所花時間與還原的時間點對照 RTO 與 RPO、修改作業手冊的流程的圖。
        A["決定還原順序"] --> B["還原到其他環境"]
        B --> C["將所花時間與 RTO 比較"]
        B --> D["將還原的時間點與 RPO 比較"]
        C --> E["修改作業手冊"]
        D --> E
        E -.->|"下次確認"| A

圖7：實際還原看看，確認時間與時間點是否符合目標，並把結果回饋到作業手冊。

要確認什麼

要確認的內容，可以依 IPA 與 Microsoft 的資料整理如下。

Microsoft 建議先決定業務不可或缺的系統，並定期備份它們。這樣做出來的備份優先順序清單，直接就成為還原順序的清單。在優先順序高的項目中，Microsoft 最先舉出 Active Directory 等進入其他所有系統都需要的驗證機制⁵。也建議定期進行從所有系統都停擺的狀態讓業務重新啟動的演練。屆時要假設電子郵件與聊天也無法使用⁵。

Microsoft 寫道，攻擊者會刻意鎖定還原作業手冊與網路圖。建議加以保護，或列印出來放在手邊⁵。若作業手冊只放在檔案伺服器裡，該檔案伺服器被加密時就無法閱讀。

受害後還原時的注意事項

實際受害之後，要先從環境中清除勒索軟體本體再還原⁵。Microsoft 舉出要選擇已知未受感染時間點的備份，以及還原前檢查備份中是否有惡意程式⁵。警察廳的報告寫道，勒索軟體集團為了在入侵途徑被封住後仍能再次進入，有時會安裝可遠端操作的軟體作為後門²。還原之前，必須調查入侵途徑與留下的機關。

flowchart TB
        accTitle: 受害後從備份還原的順序
        accDescr: 說明清除勒索軟體本體與入侵途徑、選擇未受感染時間點的備份、檢查是否有惡意程式之後，從優先順序高的系統開始還原的圖。
        A["清除勒索軟體本體"] --> B["調查入侵途徑與機關"]
        B --> C["選擇未受感染的時間點"]
        C --> D["檢查備份"]
        D --> E["從優先順序高的開始還原"]

圖8：受害後，要清除攻擊者留下的機關，確認未受感染的時間點之後再還原。

多久確認一次

IPA 的指南與 CISA 的指南都要求「定期」確認能否還原，但沒有提出次數¹¹⁴。前面介紹的 IPA 案例中的公司，每年進行 2 次還原演練³。請先決定業務可以停擺多久、還原的時間點最舊可以到什麼程度，再以能確認是否達成這些目標的頻率來確認。

先要決定的事

把到目前為止的內容，整理成中小企業首先要決定的事。

flowchart TB
        accTitle: 決定經得起勒索軟體之備份的順序
        accDescr: 說明決定對象、決定副本的存放位置與無法覆寫的副本、決定權限與世代、決定 RTO 與 RPO 並確認能否還原的順序的圖。
        A["決定對象"] --> B["決定副本的存放位置"]
        B --> C["決定無法覆寫的副本"]
        C --> D["決定權限與世代"]
        D --> E["決定 RTO 與 RPO"]
        E --> F["確認能否還原"]

圖9：從對象開始決定，一路決定到最後確認能否還原為止。

在 IPA 指南的第4.0版中，最先實踐的「資訊安全五條款」加入了「進行備份！」，成為六條款¹⁶。整份指南的進行方式，整理在「中小企業的資安對策，該從何開始」中。若有更換伺服器的計畫，也請參考「Preparing for Windows Server 2016 End of Support」。

相關文章

• 中小企業的資安對策，該從何開始 ── IPA「中小企業資訊安全對策指南」第4.0版導覽
• 磁碟區陰影複製服務(VSS)的機制與實務 ── 為什麼能備份使用中的檔案
• Preparing for Windows Server 2016 End of Support

參考資料

相關文章

共用相同標籤的最新文章。能以相近的主題延伸理解。

相關主題

與本文相近的主題頁面。以本文為起點，可進一步連到相關服務與其他文章。

與本主題相關的服務

本文連結到以下服務頁面，歡迎從最接近的入口查看。

常見問題

整理諮詢這個主題時常見的問題。

只要有備份，感染勒索軟體後就能恢復原狀嗎？

只是有備份，往往還是無法還原。在日本警察廳彙整的 2025 年上半年災情中，有備份的企業與團體裡，回答的 48 件中有 41 件無法還原到受害前的水準。最常見的原因是備份也被加密了。必須保有受感染的 PC 無法覆寫的副本，並事先確認能否還原。

有 Windows 的「舊版」，是不是就不需要備份？

還是需要。舊版就是磁碟區陰影複製，是留在原本磁碟區上的差異。Microsoft 將從陰影複製寫到磁帶等媒體的資料視為備份。勒索軟體有時會用 vssadmin 等工具刪除陰影複製，因此要搭配放在其他媒體上的備份。

遵守 3-2-1 規則，作為勒索軟體對策就足夠了嗎？

光是這樣有時並不夠。3-2-1 規則要求 3 份副本、2 種媒體、1 份放在公司外，但並未要求公司外的副本必須離線或無法覆寫。受感染的 PC 隨時都能寫入的雲端副本，也可能同樣被加密。請再加上一份放在離線媒體或無法覆寫的儲存位置上的副本。

應該多久確認一次能否從備份還原？

IPA 的指南與 CISA 的指南都只寫「定期」，沒有提出次數。IPA 的指南中有一個案例：每年進行 2 次還原演練的企業，在發現受害 5 天後就讓核心系統重新運作。請先決定業務可以停擺多久、還原的時間點最舊可以到什麼程度，再以能確認是否達成這些目標的頻率來確認。

作者檔案

本文作者的個人檔案頁面。

Go Komura

小村軟體有限公司 代表

以 Windows 軟體開發、技術諮詢與故障調查為中心，擅長處理仍留有既有資產的專案，以及原因難以看清的故障調查。