Veeam 不可变备份和 Hardened Repository 如何防止备份被勒索病毒一起删除？
Veeam Hardened Repository 通过 Linux、单次凭据和不可变期限降低备份被篡改或删除的风险，但仍需隔离、监控和恢复验证。
先控制风险，再实施变更建议先在测试环境或单一对象上验证，保存配置、日志和可恢复备份。涉及生产切换、批量策略、数据库修复或存储重建时，应设置维护窗口和明确回退条件。
1. 结论与适用范围
如果备份服务器、仓库和生产域使用同一管理员账号，攻击者控制域后可能同时删除备份。Hardened Repository 通过最小化长期凭据和对备份文件设置不可变属性，缩小这一攻击路径，但不是单独部署后就自动安全。
该问题涉及备份、存储、恢复和业务连续性。成功状态不能代替实际恢复演练。
2. 需要优先关注的风险信号
- 备份仓库加入生产域，域管理员可直接登录并删除文件。
- Veeam 控制台账号、Linux root、存储管理和虚拟化管理员高度重叠。
3. 迁移或处理前的检查清单
- 确认 Veeam 版本、Linux 发行版、XFS、硬件、容量和不可变期限支持。
- 设计独立管理账号、单次凭据、管理网络、时间同步和物理访问。
- 根据保留策略计算不可变期间的峰值容量和合成操作。
- 确认备份副本、配置备份、加密密钥和恢复介质不依赖同一故障域。
只读检查与验证示例
findmnt -no FSTYPE,OPTIONS /backup
df -h /backup
timedatectl status
ss -lntupcorp.example、192.0.2.0/24 与 203.0.113.0/24 均为文档示例。只有在确认实际环境参数后，才能替换为真实值。
4. 推荐实施步骤
- 使用专用 Linux 服务器和受支持文件系统，不加入生产 AD。
- 部署时使用单次凭据，完成后禁止常规 SSH 或严格限制管理入口。
- 设置与业务恢复目标匹配的不可变期限，并配置容量和告警。
- 结合 3-2-1-1-0、离线/异地副本和定期 SureBackup 或恢复演练。
远程还是现场处理？日志、配置和少量对象通常可先远程评估；涉及物理服务器、存储、机房供电、批量切换或恢复演练时，应安排受控现场窗口。浙江、上海、江苏可根据项目情况上门，其他地区可远程协助。
5. 验证、回退与常见误区
- 在 Veeam 控制台和操作系统层均无法提前删除不可变恢复点。
- 模拟备份服务器受损后，仍可使用独立流程访问仓库并恢复。
- 容量、时间同步、证书和不可变状态监控正常。
常见错误做法
- 把 Linux 仓库加入生产域。
- 不可变期限设置过长却没有容量规划。
- 只验证“不能删除”，没有实际恢复虚拟机和应用。
官方资料参考
常见问题
不可变备份是否绝对无法删除？
在配置期限内可显著阻止常规删除和篡改，但硬件毁坏、错误设计和特权控制仍需其他措施。
是否还需要异地或离线副本？
需要。不可变解决篡改风险，异地/离线副本解决站点、硬件和更大范围灾难。