当勒索病毒成为常态，我们该如何做好数据的等级保护

事件描述

2017年6月27日，代号为Petya的新型勒索病毒在欧洲地区快速扩散，并对多家大型企业和政府机构造成冲击。俄罗斯石油公司、丹麦A.P.穆勒-马士基集团等相继报告业务系统受到影响，乌克兰政府机构也出现系统中断现象。与此前的WannaCry类似，Petya利用系统漏洞和内网横向渗透能力扩大感染范围，迫使企业在数据可用性与业务连续性之间承受巨大压力。

公开信息显示，此次事件影响范围覆盖俄罗斯、乌克兰、丹麦、法国、美国等国家，涉及金融、能源、交通、商业等多个关键领域。Petya的爆发再次提醒企业：在攻击手段不断变化的背景下，单纯依赖边界防御已经难以保障业务绝对安全，数据层与业务层的韧性建设同样重要。

当勒索病毒成为常态：攻击能被完全阻止吗？

Petya事件并非孤立案例。随着攻击工具化、漏洞利用常态化和钓鱼手段复杂化，勒索攻击正在从“偶发事件”演变为企业必须长期面对的“常态风险”。理论上，企业可以通过防火墙、终端防护、邮件过滤、入侵检测、补丁更新等方式降低风险，但在真实业务环境中，没有任何一种防御手段可以承诺100%阻断所有威胁。

原因在于，开放系统的漏洞总是在持续被发现，而人的操作失误、权限滥用、第三方供应链风险也很难完全消除。许多攻击并非只从外部强行突破，而是通过钓鱼邮件、恶意附件、弱口令或泄露凭据进入内部，再横向扩散到核心业务系统。对于关键行业而言，真正值得警惕的不只是“攻击是否发生”，而是“攻击发生后，业务和数据能否快速恢复”。

厘清数据和业务保护等级，建立长期建设规划

既然外部攻击难以完全避免，企业就必须把数据保护从“应急补救”升级为“体系化建设”。这其中，最关键的一步是根据业务重要性、数据价值、恢复目标和监管要求，建立清晰的数据与业务保护等级。保护等级越高，通常意味着恢复时间目标更短、数据丢失容忍度更低、架构复杂度和建设投入也更高。

国际上，SHARE78灾难恢复模型常被用于指导企业从低到高建设容灾能力。该模型将灾难恢复划分为多个层级，不同层级对应不同的恢复时间、恢复点、技术架构和成本投入。对于企业而言，选择哪一层并不取决于“技术是否最先进”，而取决于业务中断和数据丢失可能带来的实际损失。

一些企业在发生误删除、逻辑错误或小规模数据丢失后，会引入基础备份工具，将数据库或文件在业务低峰期复制到另一台服务器。这种方式的优点是成本较低、实现简单，适合对恢复时间要求不高、数据价值相对可控的业务系统。

但定时备份的局限性也很明显：备份通常存在时间窗口，故障发生后企业只能恢复到最近一次备份点。如果备份周期是一天，关键业务就可能承受数小时甚至更长的数据丢失。对于核心交易、生产系统和监管类业务，这种方案往往难以满足业务连续性要求。

为了缩短恢复时间和减少数据丢失，企业会将基础备份升级为CDP持续数据保护。CDP能够持续捕获业务数据变化，并将数据复制到本地备份系统中，使企业可以在故障发生后恢复到更接近故障发生时刻的状态。

对于中大型企业的关键业务而言，CDP已经成为数据保护的重要能力之一。但本地CDP仍然主要解决“数据副本”和“恢复点”问题，如果本地机房遭遇火灾、停电、网络故障或区域性灾难，业务连续性仍可能受到影响。

当企业需要抵御本地机房级故障时，异地CDP备份就成为更高级别的选择。在这一场景中，企业会将关键数据通过网络同步到异地数据中心或云平台，形成跨地域的数据副本。即使本地系统发生严重故障，异地副本仍然可以作为恢复基础。

不过，异地CDP仍偏重于“数据保护”。对于很多核心业务来说，只拥有一份异地数据还不够，因为业务恢复还依赖主机、操作系统、应用配置、网络、IP地址、访问链路等多种资源协同。要实现真正的业务连续性，企业还需要进一步建设应用级容灾能力。

应用高可用的目标已经不再局限于“恢复数据”，而是保障“业务持续运行”。在本地高可用架构中，企业会建立主备两套环境，并通过字节级复制、数据同步和故障检测机制，将业务从故障节点切换到正常节点。

当服务器宕机、网络异常、硬件故障或系统维护时，备端可以快速接管应用，减少业务中断时间。但本地高可用主要面向单机房内的故障场景，如果遭遇地震、火灾、大面积断电等区域性风险，企业仍需要跨城市的异地容灾能力。

应用异地容灾高可用是更完整的业务连续性方案。企业不仅在本地建设高可用系统，还会在另一座城市建立功能对等的IT环境，并通过数据复制、网络切换、故障诊断和策略调度能力，确保本地机房发生灾难时，异地机房能够快速承接生产业务。

这一能力通常用于金融、政府、能源、电力等关键行业。它要求企业同时具备本地安全机制、远程数据复制、广域网故障切换和业务恢复策略，因此建设周期更长，也更依赖运维体系、演练机制和跨部门协同。