为应对勒索软件的威胁，国家金融监督管理总局发布了《银行保险机构数据安全管理办法》，要求银行保险机构开展相关数据处理活动时，应事先开展安全评估，建立数据安全保护基线等。

从具体的安全防护实践来看，加强网络安全防护体系建设，完善员工培训机制，制定应急预案，加强与监管机构、行业组织的合作等都是不可或缺的方式方法。但是当勒索软件冲破了防火墙、终端防护、入侵检测等一道又一道安全防线，加密或破坏生产数据时，唯一能够恢复业务的保障就是未被感染的备份数据。因此，备份也被称为防勒索攻击的“最后一道防线”。

很多企业也深谙此理，建立了数据备份系统，但为什么已经建立了备份系统的企业也会被勒索攻击呢？针对最新的勒索攻击行为，传统备份系统建设有以下局限性：

第一，备份系统也是勒索攻击的目标之一，因为对攻击者来说，备份系统被勒索加密或破坏后，再加密生产数据，可以极大提高赎金的支付概率，而传统备份系统一旦被非法越权，并无手段保障备份数据不被篡改；第二，备份系统作用是拷贝数据到后端备份介质中，传统备份系统好比快递员运送快照包裹（数据副本），仅能校验该包裹外包装是否损坏，但是没有手段检测包裹内部是否有危险物品，导致用户被勒索攻击后，在执行恢复操作时才发现无“干净”数据可用。

实际上，备份只是手段，而安全恢复才是目的。得益于多年攻防实践经验积累，交通银行和华为都明确指出了备份防勒索的核心价值所在，即通过构建独立于生产系统的数据副本，确保在遭遇数据加密、删除等极端攻击时，能够绕过勒索软件的威胁链条，实现数据的完整恢复与业务的快速重启。结合香港金融管理局与香港银行公会共同制定的数据备份标准STDB（Secure Tertiary Data Backup），基于华为备份防勒索解决方案，共同建设了“交通银行数据安全优化STDB实施项目”，构建起“事前预防、事中检测、事后恢复”的备份防勒索体系。

备份防勒索架构示意图

01、备份强化“抗攻击力”

避免沦为“纸防线”

STDB指南要求备份架构必须具备抗攻击能力，包括不可变性、隔离性、安全、受控、可验证等，这样才能确保在遭受攻击后快速恢复关键业务数据。

华为备份防勒索解决方案的另一大特征即“识别准”。它采用基于AI机器学习的华为自研专利算法，通过自学习自动优化，通过集成杀毒软件检测已知勒索软件，并针对备份数据内容分析特征的变化，如备份文件的新增，删除，修改，扩展名，文件熵值等变化，识别文件是否干净或已经被污染，整体检测有效率高达99.9%。

华为备份防勒索解决方案通过底层硬件锁定对备份副本设置为WORM副本，防止数据被篡改，实现“防护硬”，在数据保留周期内，即使攻击者获得管理员权限，也不能在备份数据的保留期内对其进行修改或删除；另外，借助WORM副本的法规时钟，即使攻击者篡改NTP时钟服务器，也不会影响备份数据的正常过期。

此外，针对STDB要求的Air Gap能力，交通银行在部署STDB隔离区的基础上，通过物理Air Gap复制技术，仅在备份复制时才由内而外打开复制端口，仅允许生产区OceanProtect备份一体机复制差异备份数据到隔离区，复制完毕后，断开隔离区复制端口，隔离区处于“离线”状态，最大程度保证隔离区的数据安全，保证“真隔离”。

华为备份防勒索方案

02、安全大局观：

贵在持之以恒、与时俱进

随着技术的进步，新型威胁不断涌现，金融领域面临着更严峻的安全挑战。防勒索解决方案也要与时俱进，具备更强的演进性，比如借助零信任架构，逐步演进为动态检测、主动防御，才能在未来与勒索攻击的博弈中持续占据上风。

该方案在“2025数字中国建设峰会”创新大赛上，荣获“非通信行业数据安全优秀案例银奖”，为金融机构防勒索提供了成功示范。

数字中国创新大赛数字安全赛道证书

展望未来，华为与交通银行将构建集 "预测、防御、响应、恢复" 于一体的主动安全体系。将安全能力内化为数字化转型的核心基因，以 "零容忍" 态度构建数据安全的 "铜墙铁壁"，在人工智能浪潮中守护金融体系的稳健运行。

“数智世界 一触即达” 选择华为，让您的企业轻松数智化。

本文来源：财经报道网