什麼是氣隙備份？範例與最佳實務

什麼是氣隙備份？

勒索軟體操作者如今會在加密正式環境資料之前，先鎖定備份基礎架構。根據 CISA 的網路事件成本研究，每起資料外洩事件的平均成本高達 590 萬美元，這就是為什麼只有在攻擊者無法觸及您的最後一道防線時，它才真正有用。

氣隙備份是關鍵資料的隔離副本，會在實體或邏輯上與正式環境網路分離。它們透過建立具備受控存取的環境來形成保護屏障，使以網路為基礎的攻擊無法觸及。無論是透過實體斷開連線的磁帶媒體、具備嚴格存取控制的網路分段儲存，或是邏輯隔離的雲端保存庫，氣隙備份都有助於確保當攻擊者在您的環境中進行橫向移動時，至少有一份復原副本更難以被其觸及。

The NIST SP 800-209 指出備份作業可包含離線的儲存裝置，而 CISA ransomware guide 則指示組織維護離線備份，因為勒索軟體經常會嘗試刪除或加密可存取的備份資料。

作為資安控制措施的氣隙備份

氣隙 備份位於資料保護與勒索軟體韌性的交會點。現代勒索軟體家族會特意進行偵察，以找出備份伺服器、刪除陰影複本，並在觸發正式環境加密之前先加密備份儲存庫。CISA ransomware 回應指南指示組織「維護關鍵資料的離線加密備份」，因為現代勒索軟體變種「會嘗試尋找，並隨後刪除或加密可存取的備份」。

當您的 端點防護 透過 Behavioral AI 發現並阻止勒索軟體攻擊時，威脅就此終止。但當防禦遭到擊敗或繞過時，氣隙備份可在網路型攻擊的直接爆炸半徑之外提供復原路徑。若要了解這種保護在實務上如何運作，您需要將架構拆解為其核心元件。

氣隙備份的核心元件

每種氣隙備份架構，不論類型為何，都是由相同的六個層面構成。若要讓隔離具有實質意義，每一層都必須成立。

• 隔離儲存層。 備份副本所在的實體或邏輯環境，包括磁帶櫃、可卸式磁碟陣列、經網路分段的系統，或具備獨立驗證機制的隔離雲端安全網域。
• 傳輸機制。 資料會透過受控路徑從正式環境移動到隔離儲存層，無論是手動或機器人媒體運輸，或是具備單向資料流、可防止反向污染的排程複寫。
• 不可變層。 一旦資料進入氣隙環境，就應透過硬體一次寫入磁帶媒體、軟體保留鎖定，或物件儲存體的 compliance 模式來抵抗修改或刪除。
• 存取控制。 實體實作仰賴鑰匙或密碼組合存取，並記錄進出。邏輯實作則需要 角色型存取控制、多重要素驗證、最小權限強制執行，以及稽核記錄。The CISA data protection guide 要求受保護系統中的管理存取必須使用 MFA，並採用符合最小權限原則的角色型存取。
• 加密。 備份資料在靜態與傳輸中都應加密。The CISA encryption standards guide 規定傳輸中與靜態資料應採用 FIPS 140-2 或更強化的加密機制。 Encryption 金鑰管理系統應與備份資料保持隔離，以防單一入侵同時暴露兩者。
• 驗證基礎架構。 您需要能夠透過定期完整性檢查、校驗和、備份驗證程序與復原測試來確認備份完整性。

任何單一層面的弱點都可能破壞整體架構。下一步是了解這些層面如何在備份、隔離、儲存與復原之間運作。

氣隙備份如何運作

氣隙備份遵循四階段循環：擷取、隔離、安全儲存，以及受控復原。每個階段都有特定要求，決定當攻擊者進入您的環境時，該架構能維持得多好。

• 第 1 階段：備份與擷取。 正式環境資料會透過您的標準備份程序複製到備份目標。在資料進入氣隙環境之前，反惡意軟體掃描會驗證其完整性。氣隙前掃描至關重要，因為將已遭入侵的資料備份到不可變的氣隙環境中，會產生受污染的副本，並可能在復原期間引發再次感染。
• 第 2 階段：隔離。對於實體氣隙， 這表示將磁帶匣移除，或將可卸式磁碟陣列與所有系統及網路中斷連線。對於邏輯氣隙，備份週期之間會停用網路連線，而排程複寫視窗則要求每次傳輸都需明確驗證。以雲端為基礎的保存庫則透過獨立安全網域、僅限 API 存取及獨立驗證來強制隔離。
• 第 3 階段：安全儲存。 隔離副本會維持在其受保護狀態，實體媒體儲存在安全的異地保存庫中，而邏輯副本則維護於 網路分段、存取控制，以及不可變性鎖定。這種備份隔離可在攻擊者於相互連接的系統中橫向移動時，讓至少一條復原路徑維持較低的暴露風險。
• 第 4 階段：復原。 當您需要資料時，流程會反向進行。實體媒體會從安全儲存位置取回並手動連接。邏輯副本則透過經驗證且受控的路徑存取。在重新連接至正式環境之前，請先還原到隔離的暫存環境進行驗證。

一旦您了解此工作流程，就可以評估哪種實作模型最適合您的環境。

氣隙備份架構類型

您有三種主要架構選擇，每種都有不同的取捨。

1. 實體氣隙 使用可移除式儲存媒體，並與網路完全斷開。磁帶匣會被複製、實體移除，並存放於異地。此方法每 GB 的儲存成本較低，且可提供最強的勒索軟體隔離。其代價是資料存取速度較慢，不適合需要快速且頻繁還原的組織。
2. 邏輯氣隙 使用網路分段、通訊協定限制及存取控制，在不實體移除媒體的情況下建立隔離。其元件包括具備防火牆控制的獨立 VLAN、移除常見攻擊目標通訊協定（例如 CIFS、NFS 和 SMB），以及單向資料流。邏輯氣隙適用於無法實施實體斷線的企業級環境。此模型仰賴強健的身分識別、分段與政策強制執行。
3. 雲端式氣隙保存庫 在雲端基礎架構內建立邏輯隔離的安全網域。這些做法使用獨立驗證、物件層級不可變性（例如 S3 Object Lock）、僅限 API 的存取，以及 MFA。單靠雲端儲存並不構成氣隙；仍需要額外的隔離控制。如果您的環境涵蓋雲端基礎架構與雲端應用程式備份，您的雲端安全控制將決定該邏輯分離實際上有多強。

架構選擇會決定您的復原限制。以下範例說明各種架構在實際環境中的樣貌。

實務中的氣隙備份範例

抽象地理解架構是一回事，在實務中看到它則能讓實作決策更清楚。以下三種情境展示了氣隙備份在不同環境中的樣貌。

以磁帶為基礎的實體氣隙

一家執行工業控制系統的製造商，每晚都會將關鍵 OT 組態與生產歷史資料備份到 LTO 磁帶。每次作業完成後，技術人員會取出磁帶匣，將其登錄於監管鏈登記冊中，並存放在生產區域外上鎖的防火保險箱內。該磁帶在任何時間點都不會維持網路連線。當需要復原時，會取回磁帶，連接至隔離工作站，掃描其完整性，然後用於還原。該 CISA ICS 安全指引 將離線媒體儲存識別為營運技術環境的基準控制。

網路分段式邏輯氣隙

某企業在一台強化防護的伺服器上執行備份軟體，該伺服器位於專用的備份 VLAN 上，並透過防火牆政策與所有正式環境網段隔離。該網段已停用 SMB、NFS 和 CIFS。在排程的複寫時段期間，單向資料流會複製備份資料：每個作業都需要使用受 MFA 保護的驗證，且使用的服務帳戶不具備其他任何網路權限。任何已加入網域的正式環境端點都無法直接連線至備份伺服器，從而切斷勒索軟體用來定位並摧毀備份基礎架構的橫向移動路徑。

雲端保存庫邏輯氣隙

一家雲端原生公司將備份儲存在啟用合規模式 Object Lock 的 AWS S3 儲存貯體中，且該儲存貯體位於與正式環境帳戶隔離的獨立 AWS 帳戶內。正式環境中的任何 IAM 角色都不具備對備份儲存貯體的寫入或刪除權限。備份工作透過單向 API 呼叫執行，並使用僅存在於備份帳戶中的專用憑證集進行驗證。即使正式環境帳戶遭到完全入侵，攻擊者在保留期間內也無法刪除或覆寫保存庫內容。此模型符合 CISA 勒索軟體指引，內容涉及以獨立認證與存取控制來維護備份。

這些實作都符合現代 3-2-1-1-0 備份規則中的離線副本要求：一份離線、不可變或具氣隙的副本，並透過還原測試而非僅靠總和檢查來確認零錯誤。該框架直接指出氣隙備份所提供的核心效益。

氣隙備份的主要效益

若實作正確，氣隙備份可提供四項安全與營運優勢，這是任何始終連線的備份架構都無法比擬的。

• 勒索軟體隔離。 這是主要的價值主張。氣隙備份可消除使備份遭到破壞的網路可存取路徑。實體或邏輯隔離意味著 ransomware 在正式環境系統上執行時，無法輕易觸及備份副本。
• 復原信心。 氣隙備份可保留較少暴露於主動攻擊的復原點。備份已遭入侵的組織，必須進行鑑識分析以判定哪些備份世代值得信任，而此流程可能大幅延長復原時間。氣隙架構可藉由限制攻擊者至少對一條復原路徑的直接存取，協助減輕這種壓力。
• 法規一致性。 氣隙備份策略符合 NIST SP 800-209，支援聯邦安全與醫療照護環境中的應變規劃期望，並普遍支援主要控制框架中的備份、可用性與存取控制目標。對受監管產業而言，氣隙架構可提供合理資安控制的可辯護證據。
• 降低內部威脅。 氣隙架構在設計上縮小了存取面。即使是具特權的使用者，也無法透過標準網路路徑存取備份儲存庫，任何與隔離副本的互動都需要實體存取或雙重核准工作流程。這是復原端的控制，可避免單一入侵演變為導致業務終止的事件。

這些效益確實存在，但也帶來一個同樣重要的問題：究竟哪些組織實際上需要氣隙備份，以及需要到什麼程度？

誰需要氣隙備份

問題不在於您的組織是否夠大；而在於您是否承受得起失去正式環境資料存取權，且沒有經過驗證、可抵禦攻擊者的復原副本。下表將組織類型對應到最實際的氣隙方法及其主要驅動因素。

較小型的組織通常認為氣隙備份在營運上難以實現。實際上，在獨立帳戶中使用具備 Object Lock 的雲端保存庫不需要任何內部部署硬體，且可在數小時內完成設定。一家十人規模的醫療診所與大型企業一樣，都有同等重要的復原能力需要保護；無論員工人數多少，勒索軟體的算術都是一樣的。

了解哪種方法適合您的環境至關重要，但氣隙備份也伴隨著實際的權衡取捨。在部署前理解這些取捨，可避免您在壓力下必須回頭推翻的架構決策。

氣隙備份的挑戰與限制

氣隙備份並非交鑰匙解決方案。以下四項挑戰經常導致團隊不是錯誤設定其架構，就是高估其實際提供的保護。

• 定義上的模糊性會造成虛假的安全感。大多數「氣隙」備份部署並非真正的氣隙。真正的氣隙要求系統在實體上不連接，且任何邏輯連線都不是自主的，而是由人工控制。您需要確切知道自己部署的是哪一種類型。
• 自動化與真正隔離的悖論。 企業環境面臨根本性的張力：真正的氣隙需要人工介入，但大規模的人工流程會產生難以承受的成本。任何自主路徑，無論是排程的 rsync 工作、API 呼叫，或備份代理程式，都會創造可被利用的機會。這種張力無法被完全消除，只能透過審慎的架構決策加以管理。
• 營運複雜性與延長的復原時間。氣隙實作會造成營運摩擦，直接影響復原目標。相較於始終連線的解決方案，備份與復原流程複雜性的增加可能導致更長的復原時間，形成一種悖論：增強的安全性反而在此架構原本就是為其設計的事件中拖慢復原。
• 不可變性不等於氣隙。組織經常將這兩種不同的控制措施混為一談。包含勒索軟體或 惡意軟體 的不可變備份在復原期間毫無用處，且可能引發再次感染。從未掃描過的氣隙備份可能包含損毀資料。這兩種控制措施都需要具備，且必須清楚了解各自處理的是什麼問題。最常見的實作錯誤，出現在團隊於日常作業中模糊這些區別時。

這就是為什麼檢視那些一再削弱原本健全設計的錯誤會有所幫助。

常見的氣隙備份錯誤

即使是設計良好的氣隙架構，在相同的營運錯誤未被修正時，實務上仍會失敗。這六項錯誤占了大多數看似隔離但仍可被存取的備份環境。

• 將邏輯隔離稱為「氣隙」，卻未記錄已接受的風險。當您實作具排程傳輸的網路分段備份系統時，您擁有的是邏輯隔離，而非真正的氣隙。請記錄已接受的風險，並以額外層級加以補償：MFA、RBAC、保留期超過典型攻擊者潛伏時間的不可變儲存，以及異常監控。
• 將備份基礎架構留在生產網路上。 允許備份系統持續可從與生產系統相同的網路區段存取，是重大的架構錯誤。請將備份基礎架構隔離到專用區段上。管理介面絕不應可從一般企業網路存取。
• 忽略備份軟體上的預設認證。 某些備份軟體仍以預設使用者登入名稱與密碼出貨。再加上缺乏 MFA，這會為攻擊者提供直接的進入點。移除預設值、對所有備份存取強制執行 MFA，並為刪除備份資料等破壞性操作（尤其是在其排定到期前）實作雙重核准工作流程。
• 從不測試還原。 這是最常見的單一缺口。這份 CISA 勒索軟體回應指南 強調要定期測試備份程序。您需要測試從氣隙媒體進行完整系統還原，而不只是驗證檔案完整性。請定期安排在隔離環境中進行完整還原測試，並根據您的復原時間目標 (RTO) 要求衡量實際復原時間。
• 略過氣隙前的惡意軟體掃描。 將已遭入侵的資料備份到不可變、氣隙的環境中，會建立一份您無法修改的中毒副本。這份 NIST SP 800-209 要求記錄用於網路事件復原之備份副本的反惡意軟體掃描結果。專用的備份前惡意軟體掃描可在資料進入隔離環境前驗證其完整性。
• 將氣隙視為單層防禦。 將氣隙備份作為您唯一的備份策略，會形成單點故障。請遵循 3-2-1-1-0 規則，如此一來，任何單一層遭到破壞都不會消除所有復原能力。

一旦您避免這些錯誤，就可以進一步採用讓設計可持續的營運實務。

Air Gapped Backup 最佳實務

選擇正確的架構類型可讓您順利起步，但能讓備份隔離長期維持有效的關鍵在於營運紀律。這八項實務針對的是 air gapped backup 設計在初始部署後最常出現劣化的領域。

1. 在設計架構之前先分類資料。並非所有資料都需要相同的 air gap 方法。請依據法規義務、業務關鍵性、Recovery Point Objective (RPO) 與保留排程來整理備份需求。
2. 定義 RPO/RTO 並據此進行測試。如果您的 RPO 是一小時，備份就必須每小時執行一次或更快。如果您的 RTO 是四小時，您的 air gapped 還原流程就必須在該時限內完成，包括實體媒體取回。請記錄這些數值，並透過排定的演練加以驗證。
3. 在所有備份儲存庫上實作不可變性。 啟用寫入一次或鎖定的組態，使其在保留期間內無法修改。這可補強 air gapping，即使攻擊者取得隔離環境的存取權，也能防止修改。搭配使用時，不可變備份與 air gapped backup 可為您提供更強的勒索軟體復原選項。
4. 對所有備份作業強制執行 MFA 與雙重核准。 備份基礎架構的每一條存取路徑都需要 MFA，包括管理存取。刪除、保留原則變更與停用不可變性等破壞性作業，應要求由不同管理員提供雙重核准。強大的 身分安全控制在您的備份隔離仰賴特權工作流程控制時尤其重要。
5. 在儲存前後使用最新工具掃描備份。定期使用更新後的反惡意軟體工具重新掃描歷史備份副本。這可識別包含惡意軟體但在備份當時無法辨識的受污染副本。您端點保護平台中的 Behavioral AI 可在此提供驗證層。
6. 監控以備份為目標的行為。 CISA 特別建議監控 vssadmin.exe, bcdedit.exe, wbadmin.exe, fsutil.exe 搭配 deletejournal，以及 wmic.exe 搭配 shadowcopy or shadowstorage 命令的異常使用，詳見其 CISA 勒索軟體監控指南。您的 XDR 平台應將這些標示為高優先順序訊號。
7. 定期測試還原，每年模擬災難。 定期對隔離環境執行完整還原測試。每年進行模擬實際資料遺失事件的災難演練，而不只是檔案層級檢查。 NIST IR 8576 規定應每年測試從備份還原的程序。
8. 還原至隔離的暫存環境，而非正式環境。 Air gapped 復原副本應還原到專用的隔離環境，在將系統送回正式環境之前，先在該處驗證系統已清除乾淨。在暫存環境中執行行為異常工具，以確認重新連線前不會發生再次感染。

這些實務可讓您的備份設計在真實事件中更具韌性。它們也為後續事件範例鋪陳，說明當復原路徑可被存取或未經驗證時會發生什麼情況。

真實世界的勒索軟體事件與備份經驗教訓

真實事件讓備份風險變得具體。

1. Norsk Hydro，2019，LockerGoga 勒索軟體。 當 LockerGoga 於 2019 年 3 月發動攻擊時，Norsk Hydro 宣布公司進入危機狀態，並在 40 個國家切換為手動作業，因為勒索軟體鎖定了數千台伺服器與 PC 上的檔案。該公司後來回報 5.5 億至 6.5 億挪威克朗損失，為 2019 年上半年的損失。此事件顯示，即使生產作業仍以降級模式持續進行，營運中斷仍可能擴散至整個組織；同時也顯示備份韌性如何讓 Norsk Hydro 無需支付贖金即可還原系統。
2. Colonial Pipeline，2021，DarkSide 勒索軟體。 該公司在攻擊後關閉了管線營運，而 DOJ 後來 追回 230 萬美元，來自 75 枚比特幣的贖金付款。 CISA 的 DarkSide 公告 記錄了這起針對業務系統的攻擊如何在關鍵基礎設施中造成重大營運中斷。
3. MGM Resorts，2023，社交工程與勒索軟體相關中斷。 在攻擊者利用社交工程入侵 MGM 的身分基礎架構後，該公司 關閉營運 以遏止外洩事件，涵蓋飯店與賭場據點。MGM 後來回報 1 億美元 EBITDAR 影響 於 2023 年 9 月。此事件顯示，身分遭入侵如何連鎖擴大為大範圍中斷狀況，這也是為什麼若缺乏身分控制，僅有備份隔離仍不足夠。

這些事件直接引出最後一個問題：您要如何將復原韌性與控制措施結合，在攻擊者能夠污染、刪除或觸及您的備份路徑之前阻止他們？

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

氣隙備份提供一種架構方式，讓至少一份復原副本保留在例行性網路型攻擊的觸及範圍之外。隔離是任何可防禦勒索軟體復原計畫中的必要部分。 

依循 3-2-1-1-0 規則實作氣隙備份，定期測試還原、在儲存前後進行掃描，並將備份隔離與 Behavioral AI 預防搭配使用，在威脅觸及您的備份基礎架構之前加以阻止。若您將離線備份與不可變備份作為更廣泛網路韌性計畫的一部分，仍需要定期驗證以支援可靠的勒索軟體復原。