指南 · 备份与恢复
输不起数据的企业应遵循的备份最佳实践
备份只有在您需要从中恢复的那一天才真正有意义。本指南介绍如何安排备份副本，让勒索软件和人为失误都无法将其摧毁；Microsoft 365能保护什么、不能保护什么；以及如何证明您的备份确实可用。
- 发布日期
- 阅读约需7分钟
本页内容
要点速览
- 遵循3-2-1-1-0原则：三份副本、两种介质、一份异地、一份离线或不可篡改，经验证的恢复零错误。
- 当勒索软件团伙专门针对备份下手时，真正能保护您的是不可篡改或物理隔离的副本。
- Microsoft 365负责保持服务正常运行，但防止数据被删除、被入侵和长期丢失，在很大程度上是您自己的责任。
- 用独立的凭据、多因素身份验证和受限访问来保护备份系统本身。
- 定期测试恢复并记录所需时间，因为备份任务成功并不等于恢复能够成功。
3-2-1-1-0原则详解
最初的3-2-1原则已经扩展，以应对勒索软件：如今的勒索软件通常会先找出并删除备份，然后再加密生产系统。
3份数据副本
生产数据加上至少两份备份副本，这样任何单一故障都不会让您一无所有。
2种不同的介质或平台
例如本地备份设备加上云存储服务，这样一种技术出现故障时，不会同时影响两份副本。
1份异地副本
存放在与办公室不同的地点，防范火灾、水灾、盗窃或区域性故障。
1份离线或不可篡改的副本
这份副本在规定期限内无法被修改或删除，即使是管理员账户也不行；或者在物理上与网络断开。
验证后0错误
对备份进行监控，调查每次失败，并测试恢复，确保数据确实可以找回。
不可篡改性与备份系统的保护
不可篡改存储采用“一次写入、多次读取”的控制机制，例如云存储的对象锁定或经过加固的Linux存储库，使备份数据在保留期结束之前无法被更改或删除。即使攻击者取得了您网络的管理员权限，也只能看到备份而无法销毁它们。保留期应足够长，以覆盖入侵在被发现之前可能潜伏的时间。
备份平台本身就是高价值目标，应当相应地加以保护。使用专用的备份管理员账户，不要让它们属于日常域或Microsoft 365管理员组。备份控制台和云存储账户都要求多因素身份验证。限制对备份服务器的网络访问。针对保留设置的更改、被删除的备份任务和登录失败开启警报。把重建备份系统所需的信息（包括加密密钥和恢复代码）存放在不依赖于被备份系统的地方。
备份在传输和存储时都要加密，并审慎管理加密密钥。如果加密密钥只保存在那台已经故障的服务器上，备份就无法恢复。
Microsoft 365与责任共担模式
Microsoft运营着一项高可用的服务，会在其各个数据中心之间复制数据，并能从基础设施故障中恢复。但根据其责任共担模式，您的数据、身份和访问仍然由您负责。如果用户删除了一个SharePoint文档库、被入侵的账户加密了OneDrive文件、离职员工的邮箱被删除，或同步错误覆盖了文档，Microsoft基础设施的高可用性并不能撤销这些操作。
内置功能会有所帮助：回收站、已删除邮件恢复、文件版本历史和保留策略。它们很有价值，但有时间限制、依赖于配置，而且与攻击者可能掌握的管理员凭据使用同一套管理权限；大规模恢复时也可能很不方便。保留策略的设计初衷是合规和法律证据保全，而不是快速的时间点恢复。
专门的Microsoft 365备份——无论是Microsoft自己的Microsoft 365 Backup，还是第三方服务——会为Exchange Online、OneDrive、SharePoint和Teams的数据保存独立副本，并拥有自己的保留和恢复工具。对它同样要遵循所有备份的通用原则：独立的管理员访问、多因素身份验证、在支持时启用不可篡改功能，以及经过测试的恢复。
决定备份哪些内容、多久备份一次
应从企业运营需要什么出发，而不是从什么容易备份出发。
- Microsoft 365或Google Workspace数据：电子邮件、文件、SharePoint网站和Teams内容。
- 服务器和虚拟机，包括文件服务器和业务应用数据库；数据库要使用应用一致性快照。
- 会计、事务所管理或客户关系管理（CRM）等云应用；逐一核实各供应商的导出和备份选项以及合同条款。
- 配置数据：防火墙和交换机配置、Intune和条件访问策略、DNS记录，以及系统搭建方式的文档。
- 无法把数据重定向到云存储的终端设备；不过，把桌面和文档文件夹重定向到OneDrive通常是更好的做法。
- 每个系统的恢复点目标（RPO）决定备份频率：文件服务器可能需要每小时快照，而归档数据每周备份一次即可。
认真对待恢复测试
恢复测试是大多数备份方案的薄弱环节。备份任务报告成功，并不能证明数据完整、未损坏且可以使用。
每月恢复文件和邮件
把一部分样本文件、一个文件夹和一封邮件恢复到其他位置，确认它们都能正常打开。
每季度恢复应用
把一台服务器或一个应用数据库恢复到隔离环境中，确认应用能够启动，数据也恢复到了预期的时间点。
每年一次完整恢复演练
模拟丢失一个关键系统，并为完整恢复过程计时，包括获取凭据、准备硬件或云资源，以及由业务人员进行验证。
记录并改进
每次测试都记录日期、范围、结果和所用时间。将恢复时间与业务预期进行比较，并弥补差距。
监控、保留期与文档
每个工作日都必须有人查看备份结果。在IT评估中，最常见的发现之一就是某个备份任务已经悄无声息地失败了好几周。请为失败的任务以及根本没有运行的任务配置警报，并且在持续出现的警告得到解决之前，一律按失败处理。
保留期应在恢复需求、存储成本和任何记录保存义务之间取得平衡。常见的做法是：每日备份保留几周，每月备份保留一年，在有要求时年度副本保留更久。请向您的专业或法律顾问咨询，您的企业所持有的记录适用哪些保留期限。
最后，把恢复流程写成文档。一份清晰的恢复操作手册写明备份存放在哪里、如何访问、系统应按什么顺序恢复、需要联系谁，就能把一次令人焦虑的中断变成一个可控的流程。
备份是灾难恢复的一部分，而不是全部
备份为您提供数据。灾难恢复规划则决定哪些系统先恢复、多快恢复、在什么基础设施上恢复，以及由谁做决定。如果您有备份但没有恢复计划，下一步就从这里开始。
常见问题
Microsoft不是会替我们备份Microsoft 365数据吗？
Microsoft会保护服务免受基础设施故障影响，并提供回收站、版本历史和保留功能。但默认情况下，它不会为您的数据提供独立的、长期的时间点备份。专门的Microsoft 365备份可以弥补这一缺口。
办公室里放一个U盘或NAS就够了吗？
单靠它是不够的。放在同一栋楼里的设备，与其他系统一样面临火灾、盗窃风险，也会受到同一网络中勒索软件的威胁。它可以作为其中一份副本，再配合一份异地副本和一份不可篡改或离线的副本。
应该多久测试一次恢复？
每月测试小规模恢复，每季度测试应用或服务器恢复，至少每年或在重大变更后进行一次完整恢复演练。请记录测试结果，以便证明备份确实可用。
不可篡改备份在实际中意味着什么？
意思是备份数据在设定的保留期内被锁定，任何人（包括管理员）都无法修改或删除。即使勒索软件或攻击者取得了管理员权限，这些副本仍然可以用于恢复。
弄清您的备份是否真的能够恢复
备份恢复评估会审查哪些内容受到保护、副本如何得到保障、恢复是否经过测试，然后提出切实可行的改进建议。