傳統(tǒng)的數據備份“3-2-1”規(guī)則仍然是一種行之有效的方法，可以確保備份數據的完整性，這對于災難恢復工作至關重要，并且必須正確執(zhí)行。

隨著企業(yè)存儲數據的地方越來越多，數據備份3-2-1規(guī)則的基本概念常常被人遺忘。而3-2-1規(guī)則已經成為設計數據保護的最基本概念之一，重要的一點是人們要理解為什么要創(chuàng)建這個規(guī)則，以及在當今日益繁瑣的存儲世界中如何解釋這個規(guī)則。

數據備份的3-2-1規(guī)則是什么？

數據備份的3-2-1規(guī)則規(guī)定，應在兩個不同的存儲介質上至少存儲三個數據副本或版本，其中一個不在現場設施中存儲。以下了解這三個要素中的每個要素及其要解決的問題：

?3個數據副本或版本：在不同時間段內擁有至少三個不同版本的數據，可確保企業(yè)可以從影響多個版本的災難事故中恢復。任何完善的備份系統(tǒng)都將具有三個以上的副本或版本。

?兩種不同的存儲介質：企業(yè)不應在同一存儲介質上存儲兩個數據副本。例如，使用蘋果公司的Time Machine。企業(yè)可以使用硬盤應用程序將硬盤分為兩個虛擬卷，然后使用Time Machine將第一個虛擬卷備份到第二個虛擬卷。但是如果發(fā)生故障，則這兩個虛擬卷的數據備份也會失效。這就是備份數據需要在不同的存儲介質上進行存儲的原因。

?1個異地備份：某位會議發(fā)言人在一次演講中表示不想采用磁帶存儲，因為其IT部門的一名員工將磁帶放置在服務器頂部，當服務器產生故障著火導致磁帶融化。其實這個問題的本身不是磁帶存儲，而是沒有將備份磁帶放置在安全的地方。因此，至少一份備份副本應與需要備份的內容存儲在不同的物理位置。

采用空隙方法

空隙是一種保護數據副本的方法，它將數據副本存儲在其他服務器上，而這個數據副本在物理上與其主數據副本是分開的。從字面上講，這意味著主服務器和備用服務器之間存在空隙。這種空隙不僅可以完成簡單的災難恢復，還能完成更多工作，這對于防止黑客攻擊非常有用。

如果所有數據副本都能通過受到網絡攻擊的同一臺服務器訪問，則黑客可能會使用感染的服務器來攻擊企業(yè)的備份服務器。企業(yè)可以通過空隙將輔助數據副本與主數據副本進行物理分離，黑客很難做到這一點，并不是不可能，只是更難。

很多企業(yè)都希望采用空隙這種方法。現在討論的是如何在不使用磁帶存儲的情況下采用空隙。在磁帶備份數據的時代，采用空隙方法很容易。在企業(yè)產生了數據副本之后，可以將這些磁帶運送到另一個設施。這樣，企業(yè)的主數據副本和輔助數據副本之間就出現了空隙，黑客幾乎不可能同時攻擊企業(yè)的主數據副本和輔助數據副本。

但并不是說黑客進行這樣的攻擊是不可能的，只是變得更加困難。為了能夠攻擊企業(yè)的數據副本，黑客需要通過社交工程手段進行物理攻擊。人們可能會認為，存儲在異地存儲設施中的磁帶不會受到通過社交工程進行物理攻擊的侵害，但事實并非如此。專家表示曾參與對異地存儲設施的白帽攻擊，并成功地侵入了存儲設施。大多數黑客不會采用物理攻擊，因為風險太大，因此空隙備份方法顯著降低了備份數據受到危害的風險。

3-2-1規(guī)則的錯誤實現

現在對于備份系統(tǒng)而言，很多甚至都沒有通過3-2-1規(guī)則的寬松解釋。一個完美的例子就是各種基于云計算的服務，這些服務將備份存儲在它們所保護的同一服務器和同一存儲設施上，而忽略了這一重要規(guī)則中的“2”和“1”。

例如，公共云供應商的客戶通過創(chuàng)建他們正在使用的資源的快照/映像來備份其系統(tǒng)，這非常普遍。映像通常存儲在運行主系統(tǒng)的同一帳戶中的對象存儲中。如果黑客獲得特權訪問，他們可以輕松刪除數據的主數據副本和輔助數據副本。3-2-1規(guī)則仍適用于云計算，將輔助數據副本保存在其他位置，例如在其他帳戶中或者不同的可用性區(qū)域。

使用數百個SaaS服務的許多企業(yè)也忽略了3-2-1規(guī)則。例如，考慮Kubernetes的出現以及許多企業(yè)將其Kubernetes配置存儲在GitHub中這一現實，很多企業(yè)的主數據副本存儲在可能沒有備份的系統(tǒng)中?？紤]其他服務，例如電子郵件提供商或文件共享服務，其中甚至數據的主數據副本也只存儲在第三方供應商的平臺中。這些服務中的許多備份只是位于同一位置的輔助數據副本。企業(yè)需要詢問其供應商，如果其帳戶遭到第三方攻擊，供應商將如何幫助他們進行恢復。

如何擁有空隙？

理想主義者會說，擁有真正空隙的唯一方法是將數據副本存儲在可移動介質(例如磁帶)上，然后從物理方面與主存儲介質分離。其他人承認，許多公司已經將磁帶作為一種保護機制，并且如果完全使用磁帶，則只能將其用于長期存儲。問題是如何確保黑客無法訪問主數據副本和輔助數據副本。

當前最好的答案是以盡可能多的方式將這兩種數據副本分開。企業(yè)需要盡可能地執(zhí)行以下操作：

?不同的存儲–使用與主存儲不同的存儲類型。專為某個目標設計的網絡攻擊可能不會對另一目標起作用。

?不同的環(huán)境-使用無法通過局域網直接訪問的備份系統(tǒng)。這是防止內部部署服務器上的漏洞攻擊備份系統(tǒng)的另一種方法。

?不同的操作系統(tǒng)–使用在Windows以外的其他操作系統(tǒng)上運行的備份服務器或服務可能會有很大的幫助。大多數勒索軟件攻擊都是針對Windows操作系統(tǒng)的。

?不同的帳戶–盡可能在備份和災難恢復系統(tǒng)中使用完全不同的憑據。這樣一來，即使帳戶遭到入侵，則憑據也無法用于攻擊企業(yè)的備份。

?不可變的存儲–一些云計算供應商提供不可變的存儲，在此處指定的時間之前，無法更改或刪除在那里發(fā)送的備份數據，即使是企業(yè)自己也無法刪除它們。

3-2-1規(guī)則是一個很好的規(guī)則，長期以來一直很好地服務于數據保護領域。企業(yè)需要了解其遵守規(guī)則的程度，這可能會節(jié)省其大量的時間和成本。