一、3-2-1：备份的基本盘

业内流传最广的一条备份原则叫 3-2-1，三个数字各管一件事：

• 3——三份数据副本。原始数据一份，另外两份备份。 任何一次单点故障都不至于让你无从恢复。
• 2——两种不同的存储介质。比如本地磁盘加云对象存储。 同一批介质有一起坏的可能，两种介质就不会同时失效。
• 1——一份放在异地。防的是火灾、水淹这类把整栋楼端掉的事故。

这条原则是给硬件故障和局部灾害设计的。在只有硬盘会坏、 只有机房会淹的年代，它足够用。

但它的前提假设是【故障是意外的】，而勒索软件是【对抗性的】—— 它会主动去找你的备份。

二、为什么 3-2-1 不够了

勒索软件的常规套路和硬件故障完全不一样：

• 先找备份——它会在网络里扫描连着的备份库和备份服务器。
• 删影子副本——把系统自带的快照、卷影复制先删掉，断你后路。
• 最后加密业务数据——这时候你才发现，连备份也一起没了。

所以标准升级成了 3-2-1-1-0，多出来的两位各管一件事：

• 多一个 1——一份离线或不可变（immutable）副本。 离线指的是物理断开，比如把磁带搬到别处； 不可变指的是写进去之后就任何人都改不了、删不掉， 连管理员账号被攻破也没用——这是对抗勒索的关键一条。
• 多一个 0——恢复验证零错误。 没验过的备份等于没有备份。要定期真的把备份恢复一遍， 确认它读得出、起得来。

这两个数字里，第二个 1 是防守，0 是纪律。 很多企业的备份不是被攻击毁掉的，是在自己需要它的那天才发现读不出来。

三、RTO 和 RPO 落到备份上就是两条线

9-9 说过这两个指标，落到备份上就是具体的频率设定：

• RPO 决定备份多久做一次——每 0.5 到 1 小时一次增量， 每天夜间一次全量，一般企业的默认目标是 RPO 不超过 1 小时。
• RTO 决定用哪种恢复方式——一般企业的默认目标是 RTO 不超过 4 小时。
• 保留周期通常 7 到 30 天，按业务需要定。

为什么【快照】在防勒索上特别有用？因为它能在几秒内创建， 中了招可以直接回滚到中毒前的状态。但快照不是备份—— 它和主机在同一个存储里，存储被端掉它就一起没了。 所以做法通常是快照加异地备份两条腿走路。

还有一个常被忽略的范围问题：Microsoft 365、Google Workspace 这类 SaaS 也要备份。 厂商保护的是平台的可用性，不是你的数据。 误删、被同步客户端加密、被第三方应用覆盖——这些厂商都不赔。

四、买服务还是自建

备份这件事最后通常落到【自己搭还是买服务】。多数中小团队会选买服务， 因为自建意味着要有专人盯着，而没人盯的备份迟早会静默失败。

云备份的价码大致是这样：

• 阿里云云备份约 0.15 元/GB/月，也可以买资源包； 同城冗余会把数据分散在同一个地域的三个可用区。
• 腾讯云云备份约 0.12 元/GB/月，支持跨地域备份。
• 增量备份能省 70% 到 85% 的存储——只存变化的部分。

把账算一下就很清楚：500 GB 数据一个月 60 元，一年 720 元。 这个数字对比 9-1 里的一次泄露平均 499 万美元，基本可以忽略不计。

最后一条也是最要紧的一条：备份的成败不在买什么，而在有没有演练过。 把【每季度做一次恢复演练】写进流程， 而不是等到出事那天才发现备份是坏的。 一个没被恢复过的备份，只是一份占用空间的希望。

五、动手 Demo：把备份策略与费用算一遍

备份的份数、成本和演练频次，都可以算成具体数字：

print("  3-2-1：至少 %d 份副本、%d 种介质、%d 份异地" % (3, 2, 1))
print("  3-2-1-1-0：再加 %d 份不可变、%d 次恢复验证" % (1, 0))
gb, price = 500, 0.12
print("  500 GB 按腾讯云价 = %.0f 元/月，%.0f 元/年" % (gb * price, gb * price * 12))
print("  走增量备份只存变化部分，能再省 70%%~85%%")
print("  每季度演练 %d 次，一年 %d 次" % (1, 4))

实跑输出：

--------------------------------------------------------------------
备份这件事，怎么想才不出错
--------------------------------------------------------------------
  备份不是容错，是最后一道防线。业内最常引的一条原则叫 3-2-1：

  数字     含义                   防的是什么
  -------------------------------------------------
  3        三份数据副本           单份损坏还能找回
  2        两种不同的存储介质     同批介质一起坏
  1        一份放在异地           火灾、水淹整栋楼
  -------------------------------------------------

  但 3-2-1 是给硬件故障和局部灾害设计的，勒索软件换了打法：
  它先找连着网的备份库，把影子副本删掉，再加密你的业务数据。
  于是标准升级成了 3-2-1-1-0：

  新增     含义                     为什么必须有
  -----------------------------------------------------------
  1        一份离线或不可变副本     连管理员也删不掉、改不了
  0        恢复验证零错误           没验过的备份等于没有备份
  -----------------------------------------------------------

  数字上要定两条线：丢多少数据能接受（RPO），多久必须恢复（RTO）。
  一般企业的默认目标是 RTO 不超过 4 小时，RPO 不超过 1 小时。

  口径             常见设定
  --------------------------------------
  增量备份频率     每 0.5 到 1 小时一次
  全量备份频率     每天夜间一次
  保留周期         7 到 30 天
  恢复演练频率     每季度至少一次
  --------------------------------------

  最后一步通常干脆买服务，因为自建要有人盯着。云备份的价码大致是这样：

  服务             价格                   说明
  ---------------------------------------------------------------------
  阿里云云备份     约 0.15 元/GB/月       可买资源包，405 元/年/数据源
  腾讯云云备份     约 0.12 元/GB/月       支持跨地域备份
  增量备份         省 70% 到 85% 存储     只存变化的部分
  ---------------------------------------------------------------------

  小算例：500 GB 数据，按腾讯云的价，一个月 500 × 0.12 = 60 元，
  一年 720 元；走增量备份只存变化的部分，实际花费还会再低一截。
  这笔钱和一次 499 万美元的平均泄露成本比，基本可以忽略。

  一句话收尾：备份的成败不在买什么，而在有没有演练过。
  超过半数的企业从没真正做过主备切换演练，真出事时才发现脚本跑不通。

最后一行是这一节的落点：一年四次演练，比多买一块硬盘重要得多。 第二行的三个数（3、2、1）好记，但真正防住勒索的是那个额外的 1 和那个 0。 第三行的 720 元一年，和一次泄露 499 万美元放在一起看， 这是全书里性价比最高的一笔支出。

30 秒实验

1. 查一下你的手机相册有没有开云端备份——这是最贴近生活的一个 3-2-1。
2. 数一数你手上重要文件有几份副本，分别在哪，有没有一份在别的地方。
3. 做一次真实的恢复演练：随便找一个备份文件，试着把它还原出来看看。

常见误区

1. 错误：做了容错（集群、热备）就不用做备份了。——纠正：集群里的机器是实时同步的，一个删库命令会同时作用到两边；容错防的是硬件坏，备份防的是数据丢。
2. 错误：备份越多份越安全。——纠正：如果所有副本都连着网，勒索软件会一起加密掉；关键是那份离线或不可变的副本。
3. 错误：云服务（Microsoft 365 这类）不需要自己备份。——纠正：厂商保护的是平台的可用性，不是你的数据；误删和被第三方应用覆盖，厂商都不赔。

• ☐ 全书 9 章已完结 🎉（等波仔报下一门课）

相关笔记

• 应对故障的机制 —— 上一节讲容错，这一节讲备份，两件事不能互相替代
• 应对威胁的安全措施 —— 回看第一节的成本表，备份是所有措施里最便宜的一项
• 系统的备份方法 —— 云上备份在导入阶段怎么规划
• 备份的位置 —— 备份放在哪里才安全
• 确保可用性 —— 可用性在安全体系里的位置
• 🕸️ Web技术原理 · 索引