为应对勒索软件的威胁,国家金融监督管理总局发布了《银行保险机构数据安全管理办法》,要求银行保险机构开展相关数据处理活动时,应事先开展安全评估,建立数据安全保护基线等。
从具体的安全防护实践来看,加强网络安全防护体系建设,完善员工培训机制,制定应急预案,加强与监管机构、行业组织的合作等都是不可或缺的方式方法。但是当勒索软件冲破了防火墙、终端防护、入侵检测等一道又一道安全防线,加密或破坏生产数据时,唯一能够恢复业务的保障就是未被感染的备份数据。因此,备份也被称为防勒索攻击的“最后一道防线”。
很多企业也深谙此理,建立了数据备份系统,但为什么已经建立了备份系统的企业也会被勒索攻击呢?针对最新的勒索攻击行为,传统备份系统建设有以下局限性:
第一,备份系统也是勒索攻击的目标之一,因为对攻击者来说,备份系统被勒索加密或破坏后,再加密生产数据,可以极大提高赎金的支付概率,而传统备份系统一旦被非法越权,并无手段保障备份数据不被篡改;第二,备份系统作用是拷贝数据到后端备份介质中,传统备份系统好比快递员运送快照包裹(数据副本),仅能校验该包裹外包装是否损坏,但是没有手段检测包裹内部是否有危险物品,导致用户被勒索攻击后,在执行恢复操作时才发现无“干净”数据可用。
实际上,备份只是手段,而安全恢复才是目的。得益于多年攻防实践经验积累,交通银行和华为都明确指出了备份防勒索的核心价值所在,即通过构建独立于生产系统的数据副本,确保在遭遇数据加密、删除等极端攻击时,能够绕过勒索软件的威胁链条,实现数据的完整恢复与业务的快速重启。结合香港金融管理局与香港银行公会共同制定的数据备份标准STDB(Secure Tertiary Data Backup),基于华为备份防勒索解决方案,共同建设了“交通银行数据安全优化STDB实施项目”,构建起“事前预防、事中检测、事后恢复”的备份防勒索体系。
备份防勒索架构示意图
01、备份强化“抗攻击力”
避免沦为“纸防线”
STDB指南要求备份架构必须具备抗攻击能力,包括不可变性、隔离性、安全、受控、可验证等,这样才能确保在遭受攻击后快速恢复关键业务数据。
华为备份防勒索解决方案的另一大特征即“识别准”。它采用基于AI机器学习的华为自研专利算法,通过自学习自动优化,通过集成杀毒软件检测已知勒索软件,并针对备份数据内容分析特征的变化,如备份文件的新增,删除,修改,扩展名,文件熵值等变化,识别文件是否干净或已经被污染,整体检测有效率高达99.9%。
华为备份防勒索解决方案通过底层硬件锁定对备份副本设置为WORM副本,防止数据被篡改,实现“防护硬”,在数据保留周期内,即使攻击者获得管理员权限,也不能在备份数据的保留期内对其进行修改或删除;另外,借助WORM副本的法规时钟,即使攻击者篡改NTP时钟服务器,也不会影响备份数据的正常过期。
此外,针对STDB要求的Air Gap能力,交通银行在部署STDB隔离区的基础上,通过物理Air Gap复制技术,仅在备份复制时才由内而外打开复制端口,仅允许生产区OceanProtect备份一体机复制差异备份数据到隔离区,复制完毕后,断开隔离区复制端口,隔离区处于“离线”状态,最大程度保证隔离区的数据安全,保证“真隔离”。
华为备份防勒索方案
02、安全大局观:
贵在持之以恒、与时俱进
随着技术的进步,新型威胁不断涌现,金融领域面临着更严峻的安全挑战。防勒索解决方案也要与时俱进,具备更强的演进性,比如借助零信任架构,逐步演进为动态检测、主动防御,才能在未来与勒索攻击的博弈中持续占据上风。
该方案在“2025数字中国建设峰会”创新大赛上,荣获“非通信行业数据安全优秀案例银奖”,为金融机构防勒索提供了成功示范。
数字中国创新大赛数字安全赛道证书
展望未来,华为与交通银行将构建集 "预测、防御、响应、恢复" 于一体的主动安全体系。将安全能力内化为数字化转型的核心基因,以 "零容忍" 态度构建数据安全的 "铜墙铁壁",在人工智能浪潮中守护金融体系的稳健运行。
“数智世界 一触即达” 选择华为,让您的企业轻松数智化。