7 mins read
在 2026 年的今天，我們必須承認一個殘酷的事實：「備份」已經不再是資安的避風港，而是駭客攻擊的首要目標。
隨著生成式 AI (GenAI) 被武器化，現代勒索軟體（Ransomware 3.0）展現出前所未有的戰術智慧。它們潛伏在網路中的時間（Dwell Time）雖然縮短，但破壞力卻成倍增加。駭客不再只是加密你的生產環境，他們會優先尋找並刪除備份系統、清除快照（Snapshots），甚至毒化備份資料，讓企業陷入「無路可退」的絕境。
面對這種威脅，傳統的備份策略已經過時。本文將深入探討構建現代資安韌性的兩大支柱，也就是不可變快照（Immutable Snapshots）與實體/邏輯隔離（Air-Gapped Backups，氣隙隔離備份）。
當備份軟體成為攻擊介面的趨勢
根據最新的市場威脅報告，超過 90% 的勒索軟體攻擊嘗試破壞備份存儲庫。這推動了儲存與資安市場的技術典範轉移，從過去只問「我們多久能復原？」這種 RTO 問題，改成問「我們確定資料還在嗎？」，這畢竟是因為儲存系統走向資安化，它不再是單純的資料倉庫，而是內建勒索軟體偵測與阻斷機制的防禦節點。另一方面，網路保險（Cyber Insurance）的相關要求，已經開始將「不可變備份」列為投保或理賠的先決條件。
在 AI 對抗 AI 的時代，傳統的邊界防禦（Firewall/EDR）即使攔截了 99% 的攻擊，剩下的 1% 仍足以致命，因此「不可篡改」的備份資料，是企業在談判桌上拒絕支付贖金的優勢籌碼。
技術核心一：不可變快照 (Immutable Snapshots)
什麼是「不可變性」？
簡單來說，就是「寫入一次，讀取多次」（WORM - Write Once, Read Many）。一旦資料被寫入並鎖定，在設定的保存期限（Retention Period）內，沒有任何人，包括系統管理員、Root 權限持有者，甚至是勒索軟體本身，都沒有辦法修改或刪除這些資料。
近年因為 Object Lock 的普及，基於 S3 API 的 Object Lock 已成為雲端與地端物件儲存的標準，不少現代高速儲存陣列（全閃 All-Flash Arrays）機種在底層直接整合此功能，無需額外軟體層。不但如此，資訊環境更導入了多因素驗證（MFA）強制刪除，即使駭客取得了管理員憑證，想要更改不可變策略或強制刪除快照，系統會觸發「四眼原則（Four-eyes principle）」，需要多人多因素授權才可以放行，這確保了資料的不可刪除特性。
技術核心二：實體與邏輯隔離 (Air-Gapped Backups，氣隙隔離備份)
傳統 vs. 現代 Air-Gap 已經很不一樣了，過去我們認為的 Air-Gap 是將磁帶（Tape）拔出並鎖在保險箱裡。雖然有效，但復原速度（RTO）太慢，無法滿足現代商業需求，但它可以當作當異地備份節點也損毀，網路中斷無法復原時的最後一道防線。
現代化的「虛擬氣隙」（Virtual Air-Gap）則更多是指邏輯上的隔離與網路層的阻斷，包括不可路由的網路（Non-routable Networks），我們可以將備份存在一個與生產環境完全隔離的網段，只有在設定好的備份排程時間，才透過開啟特定的安全通道傳輸資料來進行備份，只要備份完成，隨後立即關閉這個特定安全通道，這樣駭客就沒辦法存取這個形同離線並無法存取到的黃金備份區域。
另外，企業也會實作一個隔離的恢復環境（Cleanroom Recovery），利用雲端資源建立一個隔離的安全乾淨區域，在將備份資料恢復到生產環境前，先在安全區中進行 AI 掃描與鑑識，確保沒有潛伏的惡意軟體。
從「手動拔線」到「智慧阻斷」的 Airgap+ 技術進階實戰
在理解了氣隙隔離的理論後，企業最常面臨的實作難題是：「真的要叫 IT 人員每天去機房插拔網路線嗎？」 這在人力吃緊的年代顯然不切實際。因此，新一代的備份防禦技術引入了「主動式氣隙隔離」（Active Air-Gap）的概念，例如 QNAP 推出的 Airgap+ 技術，便將此概念自動化與智慧化。
這項技術的核心邏輯在於「預設斷線（Disconnected by default）」。不同於傳統防火牆僅依靠軟體規則（Rule-based）阻擋流量，現代化的 Airgap+ 整合了備份軟體（如 HBS 3）與網路設備（路由器或交換器）的控制層。只有在備份任務啟動的瞬間，系統才會發送指令「喚醒」特定的網路介面（Link Up）；一旦資料傳輸完成，該網路介面會立即被物理層級或邏輯層級關閉（Link Down）。
在設定 HBS 備份選遠端 NAS 設備時，可順便開啟 RTRR 伺服器，該頁面往下拉，就可以選 Airgap+ 的選項。
圖片中可看到我們選了支援 Airgap+ 的 QNAP 交換器，本案例中是選QSW-M3224-24T，可以看到本案例中的實測速度達到每秒 1.02GB，兩台間是 10GbE 網路連結的環境，這樣同步備份的效率都會比較快。
這種設計創造了一個駭客難以跨越的「時間窗口」，因為在 99% 的時間裡，備份伺服器在網路上是完全隱形的（Invisible），掃描工具無法探測，勒索軟體也無法建立連線，只要採用 QNAP 路由器或支援的 QNAP交換器，即可實作部署這種具備更高安全性的氣隙隔離升級版 Airgap+。
被保護的 NAS 設備在 HBS 3 中會被標是被保護中，即便是你連線打這個 IP 位置，系統都不會成功，因為被交換器或路由器匿蹤遮蔽起來了。
被 Airgap+ 保護的 QNAP NAS 設備，在內網中就不會被看到了，對照之下上下二張圖，連QNAP 的Qfinder Pro當系統備份已經建立 Airgap+ 機制後，確實也找不到這台 NAS。
此外，針對高安全性需求的環境，進階架構甚至採用「橋接隔離模式（Bridge Mode）」，也就是我們可以在生產環境與備份金庫之間，增加一台不儲存資料的中介橋接設備（Bridge NAS）。生產伺服器只能接觸到中介設備，而真正的備份金庫則隱藏在中介設備之後，形成「隔山打牛」的防護縱深，即便生產環境全面淪陷，駭客也找不到通往備份核心的數位路徑，這相當程度地提高了最終資料備份區域的安全性。
在這個環境中，QNAP 交換器QSW-M3224-24T中的畫面即顯示該 NAS 設備 TS-855X所連接上的 17、19、23 這三個 Port 都顯示為未連接狀態，
實戰策略：升級 3-2-1 備份法則為 3-2-1-1-0 法則
過去的「3-2-1 法則」（3 份副本、2 種介質、1 份異地）在面對針對性攻擊時已顯不足，不少企業在實作企業資訊與網路環境時，已經開始推動組織升級至「3-2-1-1-0 法則」，這是什麼呢 ?
也就是在資訊環境中，最少要有 :
3 份資料副本。
2 種不同的存儲介質。
1 份異地存放（Offsite）。
1 份離線或不可變（Offline / Immutable）副本，也就是現在市場關注的關鍵重點。
0 錯誤（透過自動化驗證確保備份可讀、可恢復）。
信任是好的，但驗證與鎖定更重要
在全球資安邊界已經模糊，身份驗證可能被盜用，漏洞可能被零日攻擊（Zero-day）利用時。唯有 Immutable Snapshots 不可變快照 與 Air-Gap Backups 隔離備份提供的新世代數位金庫，能確保在駭客日益猖獗的時代，企業核心資料依然完好無損。
