金牛在线扎牢防护篱笆，守卫数据安全：交通银行构建金融数据安全新范式

（原标题：扎牢防护篱笆金牛在线，守卫数据安全：交通银行构建金融数据安全新范式）

为应对勒索软件的威胁，国家金融监督管理总局发布了《银行保险机构数据安全管理办法》，要求银行保险机构开展相关数据处理活动时，应事先开展安全评估，建立数据安全保护基线等。

从具体的安全防护实践来看，加强网络安全防护体系建设，完善员工培训机制，制定应急预案，加强与监管机构、行业组织的合作等都是不可或缺的方式方法。但是当勒索软件冲破了防火墙、终端防护、入侵检测等一道又一道安全防线，加密或破坏生产数据时，唯一能够恢复业务的保障就是未被感染的备份数据。因此，备份也被称为防勒索攻击的“最后一道防线”。

很多企业也深谙此理，建立了数据备份系统，但为什么已经建立了备份系统的企业也会被勒索攻击呢？针对最新的勒索攻击行为，传统备份系统建设有以下局限性：

第一，备份系统也是勒索攻击的目标之一，因为对攻击者来说，备份系统被勒索加密或破坏后，再加密生产数据，可以极大提高赎金的支付概率，而传统备份系统一旦被非法越权，并无手段保障备份数据不被篡改；第二，备份系统作用是拷贝数据到后端备份介质中，传统备份系统好比快递员运送快照包裹（数据副本），仅能校验该包裹外包装是否损坏，但是没有手段检测包裹内部是否有危险物品，导致用户被勒索攻击后，在执行恢复操作时才发现无“干净”数据可用。

实际上，备份只是手段，而安全恢复才是目的。得益于多年攻防实践经验积累，交通银行和华为都明确指出了备份防勒索的核心价值所在，即通过构建独立于生产系统的数据副本，确保在遭遇数据加密、删除等极端攻击时，能够绕过勒索软件的威胁链条，实现数据的完整恢复与业务的快速重启。结合香港金融管理局与香港银行公会共同制定的数据备份标准STDB（Secure Tertiary Data Backup），基于华为备份防勒索解决方案，共同建设了“交通银行数据安全优化STDB实施项目”，构建起“事前预防、事中检测、事后恢复”的备份防勒索体系。

备份防勒索架构示意图

01、备份强化“抗攻击力”

避免沦为“纸防线”金牛在线

STDB指南要求备份架构必须具备抗攻击能力，包括不可变性、隔离性、安全、受控、可验证等，这样才能确保在遭受攻击后快速恢复关键业务数据。

华为备份防勒索解决方案的另一大特征即“识别准”。它采用基于AI机器学习的华为自研专利算法，通过自学习自动优化，通过集成杀毒软件检测已知勒索软件，并针对备份数据内容分析特征的变化，如备份文件的新增，删除，修改，扩展名，文件熵值等变化，识别文件是否干净或已经被污染，整体检测有效率高达99.9%。

华为备份防勒索解决方案通过底层硬件锁定对备份副本设置为WORM副本，防止数据被篡改，实现“防护硬”，在数据保留周期内，即使攻击者获得管理员权限，也不能在备份数据的保留期内对其进行修改或删除；另外，借助WORM副本的法规时钟，即使攻击者篡改NTP时钟服务器，也不会影响备份数据的正常过期。

此外，针对STDB要求的Air Gap能力，交通银行在部署STDB隔离区的基础上，通过物理Air Gap复制技术，仅在备份复制时才由内而外打开复制端口，仅允许生产区OceanProtect备份一体机复制差异备份数据到隔离区，复制完毕后，断开隔离区复制端口，隔离区处于“离线”状态，最大程度保证隔离区的数据安全，保证“真隔离”。