从没演练过的备份，不是备份
勒索团伙第一个盯上备份，正因为一次成功的恢复会让他们失去筹码。而多数组织是在事故进行时才第一次弄清自己的恢复时间。
One stopwatch, nothing else
A single mechanical stopwatch on a seamless bone-white surface, viewed slightly from above. Vast empty space around it. Nothing else in frame.
2400×1350 · WebP · <350KB
我们协助度过勒索事件的每一家机构，都是有备份的。区别不在这里。区别在于：是否曾有人在时间压力下真正从备份里恢复过——在平时负责这件事的人不在场、域控制器也一并被加密的情况下。
攻击者是有意冲着备份来的
如今的勒索软件运营者不是碰巧加密了一个文件共享的机会主义者。他们会先在网络里潜伏数日，而最早的目标之一就是你的备份基础设施——因为一个能恢复的客户不会付钱。他们删除快照、破坏存储库；如果你的备份服务器加了域，还用着域管理员的服务账号，那他们就是拿着你自己的凭据在做这件事。
如果一个拿到域管理员权限的攻击者能删掉你的备份，那你没有备份，你只有副本。
3-2-1-1-0，以及所有人都跳过的那一位
- 3 份数据副本
- 2 种不同介质
- 1 份存放异地
- 1 份不可篡改或物理隔离——带对象锁定的存储，攻击者即便掌握完全控制权也删不掉
- 0 个恢复验证错误
最后那个零，是最常被丢掉的，因为只有它要求持续投入而不是一次采购。它前面的一切都是架构。最后这一位，是习惯。
真正的恢复测试长什么样
不是一个报告成功的备份作业。而是一次真实的恢复：恢复到隔离的基础设施上，恢复一个真正要紧的系统，用秒表计时，由不是搭建它的那个人来执行。你同时在测试三件事：数据是否完整、运行手册是否准确，以及团队里一个普通成员能不能照着做下来。
把运行手册打印出来再做。真实事故中，你的 wiki 可能已被加密，单点登录可能已经瘫痪，而你的密码管理器可能正是你要恢复的系统之一。
你应该能脱口而出的几个数字
对每一层系统：你能承受丢失多少数据（RPO）、能承受停机多久（RTO），以及——单独一项——你实际测量过的恢复时间。后两者之间的差距，就是你真实的风险敞口，也是本文中唯一值得拿到董事会上的数字。
我们评估过的多数机构，这个差距是三倍甚至更多。不是因为技术选错了，而是因为没人算过在应用服务器之前先恢复 Active Directory 要花多少小时，也没人注意到异地副本要走一条搬运一 TB 需要十一小时的链路。