2023年注定將成為中國數據發展歷史上特殊的一年，國家戰略層面成立了國家數據局，浙江省成為第四個全省推行企業首席數據官的省份。IDC預測中國數據量規模在2027年將達到76.6ZB。在數據量呈幾何級數上漲的同時，數據的價值也開始得到自上而下的認同，國內由此進入了數據治理的新時代。

但同樣在2023年，被稱為2022年第一威脅的勒索軟件攻擊將增長40%，并且情況還會持續惡化，預計到2031年，勒索軟件攻擊將上升到2秒發生一次。因此，數據治理首先要過的，就是需要重新定義數據保護的安全關。

變局的緣起

數據保護需要被重新定義，是由多方面因素決定的。這不僅因為用戶端的數據量快速增長，與業務緊密結合而讓數據的價值提升，還因為用戶IT基礎設施的變化，以及黑客攻擊手法的翻新。不變的就只有一點，那就是勒索軟件攻擊的破壞力在持續上升，目前最高的勒索贖金已達7000萬美金。

從用戶層面來看，海量數據已經不止存于數據中心，而更多地開始向云端和邊緣端遷移。當用戶在多云、混合云的環境下進行防保，數據備份就成了他們最后一道防線。而一直尋找系統弱點的黑客恰好也看準了這最后一道防線。當入侵成功之后，造成用戶數據無法恢復時，在業務、商譽損失面前，用戶往往會選擇忍讓，但這卻并不是一個明智之舉。

?

Commvault大中國區及東南亞區域技術總監陳偉俊表示：“勒索病毒在發展初期，黑客們只是進行惡意破壞，后來發現由此可以收獲贖金，就導致了大集團的操縱，大量資金被輸入進來。加密貨幣的流行，加速了勒索軟件攻擊的進程。但用戶需要特別注意的一點，是數據顯示只有4%的受感染者支付了贖金后能夠拿回全部數據。”

?

Commvault大中國區及東南亞區域副總裁蔡志斌則強調：“勒索軟件攻擊會攻擊所有的行業，只要你的數據有價值，就可能成為黑客攻擊的目標。類似于金融行業的大企業，數據安全防護做得比較好，黑客攻擊雖然收益大，但相應付出的成本也高。而很多中小企業，因為黑客入侵的門檻低，所以也很容易受到攻擊。”

?

作為深耕數據保護行業20多年的資深技術人，Commvault中國區技術總監董劍波則表示：“數據備份用戶的觀念其實一直在發生變化。2000年時，用戶的關注點在能不能備份，通過什么方式去備份數據。到了2010年，用戶更多關注系統一旦出現問題，數據能不能被恢復，恢復時間是多長。在2018年以后，用戶的關注點變成了備份系統是不是足夠強壯，能不能應付黑客的攻擊，數據恢復是不是安全的恢復，其中有沒有惡意代碼，會不會面臨二次攻擊等新問題。”

由此可見，數據保護被重新定義，其緣起正是用戶的需求。這是一場不分行業和規模的、企業必須打贏的數據保衛戰，而勝利的前提則是有力的武器保障。

體系的力量

重新定義數據保護并非只是在數據備份之中加入保護這么簡單，安全防護從來都是一項系統性工程。目前，全球有超過61%的企業在保障數據安全時，都會遵循NIST安全框架去加固自己的IT系統。Commvault的業界唯一能為生產和備份數據提供數據防御功能的解決方案，正是構建在NIST安全框架上的。

NIST安全框架包括了識別、保護、監控、響應、恢復五個部分，每一部分都有相應的標準。作為用戶，首要工作是識別出重要的數據在哪里，在此基礎之上，再去提供一個完善的保護方案，對系統進行加固，確保備份數據不被篡改。NIST安全框架提供了安全控制、零信任架構兩個標準，這兩個標準與資產識別和保護一起，被看作是最先的安全部署階段。

接下來，負責安全監控的監控和負責事件處理的響應，構成了NIST安全框架中的防御部分。監控包括了一系列的保護方案和流程，承擔著監測出系統中漏洞和風險的責任。但任何保護措施都無法保證100%的數據安全，當攻擊發生時就需要做出快速響應和快速處理，做到第一時間告警和溯源。

NIST安全框架的最后一個部分是安全恢復階段，它不僅涉及能否實現數據恢復，還需要避免二次攻擊和感染，將IT系統恢復到一個安全、干凈的狀態，同時還要盡量縮短恢復時間。

如此復雜的一個體系，顯然跟人們原來理解的簡單備份恢復有著天壤之別。此外，需要特別注意的是，NIST安全框架中的每一部分都非常重要，因為它們直接關系著整體防護的效果。

?

陳偉俊介紹說：“數據識別階段的工作非常重要，因為用戶的數據確實都非常重要，但并不是同等級的重要。如果不做數據識別工作，用同等的方法保護數據，那么一旦攻擊事件發生，恢復速度就會慢很多。而從Commvault的角度來看，我們會在用戶備份數據之前，先按重要性給數據分類，當事件發生時，自動恢復功能會選擇最重要的數據優先恢復，讓業務流程先跑起來。類似這些方法累積起來，就使得其他廠商的系統可能需要一個月的恢復時間，而Commvault最短的恢復時間只有12個小時。”

也正是因為這個原因，Commvault首先提供的，是安全評估服務。隨著用戶安全意識的提升，一些用戶，特別是被勒索過的用戶會主動找上門，通過咨詢查找自己系統中做得不到位的地方，而Commvault的工程師則會到用戶現場，通過現場調研、數據分析、風險分析，最后提交給用戶一個包含問題解決辦法的方案文檔，明確一條達到NIST五層框架的實現路徑。在此基礎之上，Commvault再給出端到端的解決方案。

復盤攻防戰

以往我們見到了太多勒索軟件攻擊的結果，卻從來沒有經歷過一場驚心動魄的攻防戰。而Commvault從NIST安全框架的安全、防御、恢復三個階段出發，將數據保護重新劃分為事先安全加固、事中及早預警和事后快速響應，我們由此也有機會復盤一次驚險的勒索軟件攻擊的攻防戰。

今天，用戶在多云的架構上形成了很多數據孤島，系統中還隱藏著大量碎片化的數據，而從識別的角度出發，卻不僅要保護所有的數據，還要識別出最重要的數據，進而保證備份數據不能被篡改。為此，Commvault研發了很多新技術，利用只能寫一次，不能重復修改的WORM副本，實現了數據的不可變存儲;進而利用氣隙系統實現數據隔離。還通過對生產數據的威脅掃描，識別出生產數據中的敏感數據到底會出現在什么地方。

當勒索軟件攻擊發生時，Commvault的系統不僅能夠利用檢測手段快速檢測到勒索病毒攻擊行為，實現第一時間告警，還可以故意模擬一些弱點，遮擋真正重要的數據存儲位置，從而保護最重要的數據不受攻擊。再將受攻擊的系統隔離，不讓攻擊范圍擴散。與此同時，攻擊行為還會被傳送到專屬的安全平臺進行分析，由此得出攻擊發起人、攻擊類型等信息。根據這些信息，再給出處理方案。目前Commvault與Palo Alto Networks、微軟、CyberArk的系統做了緊密的集成，通過分享安全信息，把安全作為統一事件來處理。

如果系統已經被勒索軟件攻擊攻破，就進入了數據恢復階段。高明的黑客往往會在數據中留下惡意代碼，這樣在數據恢復的過程中，可能實現二次攻擊。而Commvault在恢復數據中，遇到存在異常的備份數據，會打一個標簽，在數據恢復的進程中自動跳過。完成了這項工作之后，通過Commvault一鍵式的恢復能力，很短的時間內就可以恢復幾個TB的數據，從而將用戶宕機風險降到最低，實現更快速的恢復和更安全的自動跳轉。這樣做的實質，就是將數據安全引入數據保護之中，形成一個統一的平臺，從而在事前、事中、事后全面保障數據備份這最后一道防線的安全。

?

董劍波介紹說：“除了符合國際安全標準和實踐，采用更多自研技術實現更高安全性之外，Commvault還在努力利用AI和機器學習等技術讓系統變得更加智能化。我們現在已經采用了一些智能化技術，實現了誘導攻擊，未來我們會集成更多生成式AI、GPT能力。比如當用戶遇到備份失敗或恢復失敗的問題時，要花很多時間去處理。而我們經過二十多年的實踐，積累了非常多的知識庫，我們正計劃把它利用生成式AI做成自動化的處理方法，當用戶需要時，就自動把類似的能力加到用戶的生產系統或測試系統中去。”

接下來，數據量還會呈現出高增長的態勢，物聯網和邊緣計算的流行，也會加劇數據碎片化的狀態。同時，由于黑客的世界里沒有游戲規則，他們會繼續尋找最弱的防線。因此，數據保護注定將進入一個被重新定義的時代。

?

蔡志斌強調：“將數據安全注入數據保護，并不一定意味著成本的增加。由于很多技術都是我們自己研發的，所以安全功能的增長并不代表著采購價格的提升，只有用戶需要用到特殊的模塊時，才會增加成本。原有用戶完全可以通過升級就享受到安全新功能。”

編輯：黃飛

?