共享文件服务器被勒索病毒加密时，如何避免备份也被一起删除或加密？
应组合不可变副本、离线或隔离副本、独立凭据、最小权限、恢复测试和告警，不能只依赖在线 NAS 快照。
适用范围与操作边界应组合不可变副本、离线或隔离副本、独立凭据、最小权限、恢复测试和告警，不能只依赖在线 NAS 快照。 排查前先确认影响范围和复现条件；任何变更都应保留备份、测试对象和明确的回退路径。
1. 结论与适用范围
排查前应准备备份产品与版本、任务和存储库信息、恢复点与保留策略、完整错误信息、容量与校验状态、应用一致性设置，以及最近一次恢复测试结果。文中不包含任何真实客户环境参数。
该问题涉及“备份、NAS 与业务连续”。如果已经影响办公、生产或数据安全，可先远程收集日志和配置；涉及批量权限、交换机链路、停机切换或恢复演练时，应安排受控实施窗口。
2. 现象与影响范围
- 保留完整报错、事件日志时间点和失败操作，不要只凭用户口述判断。
- 先记录影响范围、首次发生时间、是否持续复现，以及同网段和其他网段是否一致。
- 应组合不可变副本、离线或隔离副本、独立凭据、最小权限、恢复测试和告警，不能只依赖在线 NAS 快照。
3. 原因分析与检查步骤
- 至少保留一份生产账号无法删除或改写的备份副本，并为不可变期、容量和紧急恢复建立明确策略。
- 离线或隔离副本应在备份完成后与生产网络断开，并定期验证介质、目录和恢复所需密钥。
- 备份服务器、仓库和虚拟化平台使用独立管理账号与多因素认证，避免域管理员凭据泄露后同时破坏生产与备份。
- 快照依赖原存储，适合短期回滚；独立备份应跨设备、跨故障域，并通过恢复演练验证。
- 按整机、文件、数据库和应用分别制定恢复测试，记录 RTO、RPO、凭据、网络隔离和验收结果。
- 检查备份仓库容量、文件系统、校验、保留链、合成操作和不可变/离线副本，避免单点损坏。
只读检查示例
# Verify that production credentials cannot delete the protected backup copy.
# Perform an isolated file and full-system recovery test on a scheduled basis.命令中的服务器名、域名和路径必须替换为本企业已确认的值。不要复制未知环境中的真实 IP、域名或账号。
4. 处理方案与受控实施
优先使用只读查询、导出配置和单台验证。确认根因后，再选择修复对象、维护窗口和回退方式。将恢复测试纳入月度或季度巡检，轮换验证整机、文件、数据库和关键应用，并记录恢复时间。
- 快照依赖原存储，适合短期回滚；独立备份应跨设备、跨故障域，并通过恢复演练验证。
- 按整机、文件、数据库和应用分别制定恢复测试，记录 RTO、RPO、凭据、网络隔离和验收结果。
- 检查备份仓库容量、文件系统、校验、保留链、合成操作和不可变/离线副本，避免单点损坏。
远程还是现场处理？单台或少量终端、配置与日志可远程获取时，通常可先远程判断；涉及交换机链路、机房布线、多网段批量变更或停机切换时，建议安排现场窗口。杭州及长三角可根据项目情况上门，其他地区可远程协助。
5. 验证、回退与常见误区
修复后不要只看“暂时能用”。应从用户操作、日志、重启/重新登录、不同网络位置和下一次策略/备份周期再次验证。
验证与回退检查
- 一次只变更一个条件，并在变更前导出配置或记录当前状态。
- 按整机、文件、数据库和应用分别制定恢复测试，记录 RTO、RPO、凭据、网络隔离和验收结果。
- 检查备份仓库容量、文件系统、校验、保留链、合成操作和不可变/离线副本，避免单点损坏。
常见错误做法
- 把任务成功或快照存在当作恢复能力。
- 恢复演练直接连接生产网络，造成名称或地址冲突。
- 只保留同一设备上的副本，没有异机或离线副本。