備份保留政策最佳實務：完整指南

什麼是備份保留？

備份保留是指在明確定義的時間期間內維護關鍵資料副本的做法，並受法規、法律與網路安全要求所規範。它決定您保留復原點的時間長度、儲存位置，以及如何保護它們免受會危及您正式環境的攻擊。

風險是真實存在的。在 MGM Resorts 2023 年的勒索軟體事件中，該公司在 SEC 文件中揭露，對調整後 EBITDA 造成約 1 億美元的影響。當攻擊者觸及或破壞您的備份時，業務影響將不僅止於 IT 停機，而會成為企業層級的財務事件。

許多企業仍將備份保留視為儲存物流問題。能夠復原的組織與支付贖金的組織之間的差異，取決於它們如何設計、實作及強制執行其備份保留政策。

CISA #StopRansomware Guide 將備份保留指定為跨部門網路安全績效目標 2.R：維護關鍵資料的離線加密備份，並定期測試其可用性與完整性。這是聯邦網路安全基準。

勒索軟體集團現在將備份基礎架構視為主要目標。您的備份保留政策就是決定這些備份是否能存活的藍圖。

備份保留政策與網路安全的關聯

備份保留政策是一項防禦性控制。  NIST Cybersecurity Framework 2.0 在子類別 PR.DS-11 中將此編纂為正式要求，規定必須建立、保護、維護並測試備份。這使備份保留成為您保護性控制架構的一部分，與 端點防護、存取管理以及 網路分段 並列。

當您檢視攻擊者行為時，其與網路安全的關聯性就會變得清楚。根據 NIST SP 800-209，攻擊者可能會干擾備份程序本身，逐步污染未來的副本，直到唯一可用的備份也已遭到損毀。保留期限直接決定您是否能維持一個早於入侵事件的乾淨復原點。

在 2021 年 Colonial Pipeline 的 勒索軟體事件中，美國司法部在其 DOJ release中描述了一筆 440 萬美元的贖金支付。備份保留本身無法阻止勒索軟體，但它決定您是否能在無需談判的情況下還原並恢復營運。

您的備份保留政策定義了您可以回復到多早之前、能多快復原，以及攻擊者是否能消除您拒絕贖金要求的能力。

備份保留政策如何運作

備份保留政策管理組織所建立每一份備份副本的生命週期。它會針對每個資料分類層級，明確規定建立頻率、儲存位置、保護機制、保留期限與處置程序。

3-2-1-1-0 架構

為了因應當前的勒索軟體戰術，業界標準已從 3-2-1 規則演進為 3-2-1-1-0 架構。

此架構要求：

• 除正式資料外，還需有 3 份備份副本
• 使用 2 種不同媒體類型，以防範不同類型的風險
• 將 1 份副本儲存在異地，以實現地理隔離
• 1 份不可變或氣隙副本，加上備份驗證測試中 0 錯誤

強制執行所有這些要求，可降低單一入侵事件摧毀所有復原選項的可能性。

保留層級與期限

您的備份保留政策應根據資料分類、法規要求與復原目標來定義保留期間。根據 Gartner's Peer Community，企業實務人員通常會區分用於災難復原的備份副本（30 到 90 天）與用於合規的封存資料（受特定產業規範所管轄）。

每一項保留決策都由兩個以時間為基礎的目標所驅動：

1. 復原點目標 (RPO)：可接受用於還原的最大資料時間差。RPO 為四小時表示您不能遺失超過四小時的資料。
2. 復原時間目標 (RTO)：可接受的最長停機時間。這決定了您的保留基礎架構必須多快提供可用的復原點。

整體而言，RPO and RTO 形塑了您建立備份的頻率，以及在事件期間您的保留基礎架構必須多快提供這些備份。

不可變性與存取控制

不可變備份 使用 WORM (Write Once Read Many) 技術來防止修改或刪除，即使是擁有完整權限的管理員也不例外。 NIST SP 1800-25 指出，備份系統應將存取限制於已知機器上的單一服務帳戶，並強制執行以角色為基礎的存取控制， MFA，並將驗證框架與正式環境分離。

這些機制奠定了基礎，但您如何建構備份，將決定保留原則保護各資料層級的成效。

備份類型與保留策略

您的備份保留原則必須考量組織所使用的不同備份方法。每種類型都會建立不同的復原鏈，並在儲存空間、速度與風險之間形成不同的權衡。

• 完整備份： 完整備份會在單一作業中複製所有選取的資料。 NIST SP 800-34 建議原則根據資料關鍵性以及新資訊導入的速度來指定備份頻率。完整備份的還原速度最快，因為只需要一組備份集，但它們會消耗最多儲存空間，且完成所需時間最長。
• 增量備份： 增量備份僅擷取自上次任何類型備份以來發生變更的資料。每個增量備份都小且快速，但還原需要最後一次完整備份加上依序的每一個增量備份。如果該鏈中的任何一環損毀，您將失去對所有後續復原點的存取。
• 差異備份： 差異備份會擷取自上次完整備份以來的所有變更，不論期間已執行過多少次差異備份。差異備份每天都會變得更大，但還原速度比增量備份更快，因為您只需要兩組備份集：最後一次完整備份與最新的差異備份。
• 結合 GFS 輪替的方法： 大多數企業會使用 Grandfather-Father-Son (GFS) 輪替來結合這些方法：每週完整備份保留數個月、每日差異或增量備份保留數週，以及每月或每年的封存副本保留以符合合規要求。您的保留排程應為每個層級指定不同的保留期間。例如，每日增量備份可能在 14 天後到期、每週完整備份在 90 天後到期，而每月封存副本則可能依監管要求在一年到七年後到期。

您選擇的備份類型也會影響您的 RPO。每小時增量備份比每日差異備份提供更嚴格的 RPO，但它們會建立更長的還原鏈，進而增加您的 RTO。將每個資料分類層級對應到能平衡這些目標的備份方法與保留期間。

備份保留原則最佳實務

紙面上的備份保留原則，其強度取決於實作成效。以下每項最佳實務都對應到真實事件中觀察到的特定失敗模式，從備份投毒與身分遭入侵，到未經測試的還原與監控不足。

1. 至少強制執行 30 到 90 天的不可變備份儲存

根據您組織的平均威脅停留時間設定不可變保留期間。 CISA LockBit advisory 要求所有備份資料都必須加密、不可變，並涵蓋整個組織的資料基礎架構。

90 天的期間可涵蓋緩慢且持續性的入侵， NIST SP 800-209 將其描述為備份投毒，也就是攻擊者在對正式系統觸發加密之前，於數週內逐步破壞副本。較短的 30 天期間可防範快速發現的攻擊，但可能無法涵蓋較長的停留時間。

2. 實作實體隔離或邏輯隔離的儲存

如果攻擊者能透過其用來入侵正式環境的相同網路路徑存取您的不可變備份，這些備份就會失去其價值。NIST NCCoE 指引強調，必須透過實體氣隙隔離（離線磁帶或可移除媒體，且完全沒有網路連線）或邏輯氣隙隔離（具備物件層級保留原則與強式身分隔離的線上儲存）來達成完整隔離。無論採用哪種方式，攻擊者都不應能從您的正式環境身分平面橫向移動到您的備份控制平面。

3. 以零錯誤容忍度測試復原

3-2-1-1-0 中的「0」代表對未經測試的復原程序零容忍。 NIST Cybersecurity Framework 2.0 明確要求必須測試備份，將此從建議做法提升為正式的網路安全成果要求。

建立符合您風險概況的測試節奏：

• 每月驗證關鍵系統復原
• 每季執行模擬勒索軟體情境的完整還原測試
• 每半年或每年執行完整復原演練，以符合 ISO 27001 稽核整備需求

每次測試都應根據您的 RTO 衡量實際復原時間，並透過校驗和驗證資料完整性。將任何失敗的測試視為 P1 事件，並在下一個週期前完成修正。

4. 部署隔離式復原環境

NIST NCCoE guidance 建議使用具備 Immutable Data Vaults (IDVs) 的 Isolated Recovery Environments (IREs)。這些是安全且隔離的環境，您可在其中還原並分析備份資料，而不會重新引入惡意軟體。您的 IRE 需要獨立的驗證框架、專用網路區段，以及獨立的管理存取路徑。

5. 加密備份並分離金鑰管理

套用 AES-256 加密 於靜態資料，並依 ISO 27001 指引對傳輸中資料使用 TLS 1.3。將加密金鑰與備份資料分開儲存，並指派不同角色。對金鑰刪除作業要求 MFA。若攻擊者透過相同的存取路徑同時入侵您的備份資料與加密金鑰，加密將無法提供任何保護。

6. 將備份遙測整合至安全營運

您的備份基礎架構會產生應由 SOC 監控的訊號。 NIST SP 800-61 確立備份系統應與 incident response 能力整合。將備份遙測匯入您的 SIEM 或 XDR 平台，並監看以下項目：

• 備份大小或持續時間突然變化
• 已略過或失敗的備份作業
• 備份基礎架構上的異常登入模式
• 非預期的修改或刪除嘗試

這些異常通常會在勒索軟體觸發加密之前浮現。SentinelOne 的 Singularity Platform 可將此遙測資料與端點及雲端訊號一併關聯，讓您的分析師掌握完整攻擊鏈中的脈絡。

7. 維護黃金映像與基礎架構即程式碼備份

該 CISA #StopRansomware 指南 指示組織維護關鍵系統的黃金映像，並使用基礎架構即程式碼 (IaC) 部署雲端資源，同時讓範本備份保持離線。請對您的 IaC 範本進行版本控制並稽核變更，以便完整重建環境。

8. 對破壞性操作實施基於法定人數的核准

任何單一管理員都不應能夠刪除或修改不可變備份。對於任何會減少備份副本、縮短保留期限或停用不可變性的操作，要求基於法定人數的核准（多位授權人員）。這可防範內部威脅與遭入侵的特權帳戶。

實施這些控制措施後，請將保留期限與測試證據對應至您的合規框架。

備份保留的法規遵循要求

備份保留期限不只是安全性決策。它們也是具有稽核與法律後果的合規義務。挑戰在於不同框架施加不同要求，而且許多組織同時受多個框架約束。當法規框架彼此衝突時，請實施適用的最長備份保留要求，同時記錄每個資料分類層級的理由。

HIPAA

HIPAA 未規定備份資料保留期限，但依據 45 CFR § 164.308(a)(7) 要求建立並維護可擷取的電子受保護健康資訊 (ePHI) 精確副本之程序。該 HHS HIPAA 系列 要求安全文件至少保留六年。

GDPR

EDPB 指南 4/2019 要求在個人資料不再必要時予以刪除。GDPR 將備份視為 EDPB 指南 9/2022 所定義的處理活動，因此須遵守所有資料保護要求。請記錄每個保留期限的業務理由。

PCI-DSS

PCI-DSS 要求 10.7 規定稽核軌跡須保留一年，其中三個月須可立即存取。要求 3.1 規定每季驗證超過保留期限的儲存資料已安全刪除。

SOC 2

SOC 2 未規定保留期限。請自行定義、記錄、持續一致地遵循，並在稽核期間證明控制措施有效運作。

合規對齊是必要條件，但並不足夠。您還需要規劃那些在實務上會破壞備份保留的失效模式。

備份保留政策的挑戰與限制

即使是設計完善的保留政策，在實作上仍會面臨障礙，而這些障礙通常是在真實事件中浮現，而非在規劃期間。最常見的失敗具有共同模式：組織正確建立了政策，卻低估了攻擊者、基礎架構缺口與營運盲點如何隨時間侵蝕其有效性。

勒索軟體集團會優先鎖定備份

攻擊者會搜尋備份憑證、利用未修補的備份解決方案漏洞，並在對正式環境系統觸發加密之前，刻意破壞復原基礎架構。如果您的備份基礎架構與正式環境共用相同的身分識別儲存區，一個遭入侵的 網域管理員帳戶就可能讓您完全喪失復原能力。

身分識別基礎架構盲點

如果Active Directory、驗證系統與特權存取管理未納入您的保留範圍，您將面臨復原悖論：不可變資料備份雖然存在，但您無法恢復對它們的存取。您的備份保留政策必須將 身分識別基礎架構視為第一級備份目標。

跨框架的合規衝突

GDPR 的資料最小化原則可能與 HIPAA 或 PCI-DSS 較長的保留要求相衝突。管理這些衝突需要具細緻區分、以資料為基礎的保留排程，並具備文件化的法律依據與持續性的法律審查。

監控缺口與無聲失敗

如果沒有人檢視備份日誌或警示，失敗情況可能數月都未被發現。儲存空間會被填滿、備份工作會在未通知的情況下略過，而組織往往只有在實際嘗試復原時才發現損毀。將備份遙測整合到您的安全監控堆疊中，可彌補這項可視性缺口。

週末與假日的攻擊時機

攻擊者會利用監控縮減的時段。勒索軟體集團會刻意將攻擊時機安排在 IT 人員值班最薄弱的期間，增加備份遭入侵卻未被察覺的時間窗口。相較於僅依賴人工監督，自主監控與回應能力能更有效地因應此弱點。

這些挑戰指出一個共同缺口：備份保留政策需要持續執行，而不只是文件化。要彌補這項缺口，需要一個可自主運作並能提供整個復原環境可視性的安全平台。

使用 SentinelOne 改善備份保留

您的備份保留政策定義規則。您的安全平台則決定這些規則在遭受攻擊時是否仍能成立。SentinelOne 的 Singularity Platform 會在勒索軟體到達您的備份基礎架構之前加以阻止，並提供您的 SOC 即時發現備份鎖定行為所需的可視性，從而強化備份保留。

自主勒索軟體回復

SentinelOne 使用行為式 AI 在執行階段識別並阻止勒索軟體活動，降低加密擴及關鍵系統（包括備份伺服器）的可能性。當勒索軟體確實加密 Windows 端點上的檔案時，平台的回復功能會使用 Volume Shadow Copy 快照，將受影響檔案還原至攻擊前狀態。

備份基礎架構保護

Singularity Cloud Workload Security將即時保護延伸至承載您備份基礎架構的 VM、伺服器、容器與 Kubernetes 叢集。該平台可在公有雲、私有雲與地端資料中心提供執行階段威脅防護與自主回應，隔離受影響系統並回復至已知安全狀態，無需分析師介入。

AWS Backup 整合

SentinelOne 與 AWS Backup 整合，以簡化雲端復原工作流程。當 Singularity Cloud Workload Security 識別出遭入侵的 EC2 執行個體時，會向 AWS Backup 查詢復原資訊，並直接從 SentinelOne 主控台提供還原連結。

用於備份異常調查的 Purple AI

Purple AI讓您的分析師能透過對話式查詢調查可疑的備份存取模式，縮短事件回應期間驗證復原選項所需的時間。早期採用者回報，Purple AI 可讓威脅狩獵與調查速度提升最多 80%。

Singularity™ AI SIEM

SentinelOne 的 Singularity™ AI SIEM適用於自主 SOC，是業界速度最快的開放平台，可支援您的所有資料與工作流程。它建構於我們的資料湖之上，並為整個企業提供即時 AI 防護。您可獲得無限制的擴充能力與無限期的資料保留。透過 Hyperautomation 加速您的工作流程。保護您的端點、雲端、網路、身分、電子郵件等。串流您的資料以進行即時偵測，並透過自主 AI 推動機器速度的防護。您也可透過業界唯一的統一主控台體驗，獲得更高的可視性以支援調查與偵測。立即導覽。

向 SentinelOne 報名產品示範，了解自主備份保護如何融入您的環境。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

備份保留是一項資安控制措施，用來決定您的組織是能從勒索軟體中復原，還是選擇付款。請以不可變且實體隔離的副本實作 3-2-1-1-0 架構。每季測試復原，對錯誤採取零容忍。 

使備份保留排程符合 HIPAA、GDPR、PCI-DSS 與 SOC 2。將備份遙測整合到您的 SOC。SentinelOne 的 Singularity Platform 透過自主回應與橫跨整個復原環境的即時可視性，強化這些策略。