世界风云变幻，一切供给和消费都在“即服务”化(as a Service)，甚至勒索软件也不例外。事实证明，“勒索软件即服务”(Ransomware as a Service, RaaS)正在成为另一种意义上的 “病毒”，它迫使企业彻底改变其安全应对态势。
企业的云计算之旅本就进度各异，而不良行为者和威胁载体又带来更大挑战。有市场分析师指出，云计算中的错误配置是不良行为者会最先利用的关键漏洞之一，这为企业带来又一值得担忧的难题。
Commvault备份副本为企业提供“保险单”
Commvault在数据保护和管理领域有25年的领先经验，并始终坚持与时俱进，通过多层次的安全保护方法帮助客户恢复数据，在网络和灾难恢复危机中反击，证明了网络就绪(cyber-ready)和恢复就绪(recovery-ready)备份副本的重要性。
当前有关网络恢复能力的最新标准是，能否将所有为减少攻击表面积而孤立的工作负载纳入统一框架(且这一框架应易于适应客户当前既有企业内部又有SaaS的混合生态系统)，并能确保在每一层互动中都持续提供最高级别的保护和恢复。Commvault将遵守业务服务级别协议(SLAs)视为最优先的参数，在其智能数据服务平台上，客户拥有支持工作负载和实现部署灵活性的多样选择。
Commvault先进的数据保护和管理产品与服务让跨越企业内部、云端和SaaS平台保护和管理数据的无缝体验得以实现：Commvault HyperScale X：基于Commvault分布式存储的Commvault超融合基础设施(HCI)产品。帮助客户从统一且高标准的安全保护、分段和简易部署中获益，并提供无缝云整合选项。
安全和备份数据不可更改性的最佳实践
而随着备份副本成为企业恢复的“保险单”，数据的不可更改性也变得至关重要。
不可更改性(Immutability)即任何数据在特定的一段持续时间内保持不可变状态的能力。Commvault软件支持客户内置一系列功能，补充异常检测和通知机制，使其成为安全且网络就绪的数据保护解决方案。正如美国国家标准与技术研究院(NIST)的网络安全框架所描述的那样，企业正迅速向“纵深防御”战略看齐。当这一战略扩展到数据保护和管理环境时，同样的框架能帮助企业在无需牺牲恢复、性能和成本的情况下达到理想的数据不可更改性和安全水平。
具体而言，安全和备份数据不可更改性可通过多种方法相互配合来实现，以下是Commvault推荐的关键最佳实践：
严控基于角色的访问控制(RBAC)：确保只有组织内资源有权访问备份库，并配合多因素认证(MFA)和多人认证以阻止流氓管理员或被泄露的管理员凭证的访问。回答“谁可以访问什么”“为什么这么安排”等基本问题有助于实施RBAC原则，这与最小特权访问(Least Privilege Access)准则具有一致性。
启用Commvault Retention Lock(旧称WORM Copy)：防止流氓管理员或被泄露的管理员凭证对Commvault环境造成破坏。这种软件级别的锁定配置一旦在策略上启用，有助于防止任何人(包括管理员)意外或故意的删除行为或对策略保留、已删除工作和未装载/删除的库的更改。
使用Commvault默认加密设置：保证服务端和传输中数据均被加密，并保证即使备份数据泄露，坏人也无法在没有解密密钥的情况下利用它们。又由于Commvault写入的数据是重复数据块，因此在发生双重勒索赎金软件威胁时，这些数据块对勒索者来说毫无用处。
Commvault整合并支持第三方密钥管理服务器，提供额外安全保障层。
使用Commvault Ransomware Lock：保护企业内部任何相关的数据移动设备挂载路径，确保数据只能由Commvault和Commvault批准的进程写入目标磁盘存储，使挂载路径不能被任何非Commvault进程读取、写入和更新，从而满足不可更改性要求。
部署Commvault HyperScale X：用严格的操作系统级数据保护防止用户和/或勒索软件攻击绕过其他安全层。在系统内部，HyperScale X采用SELinux，能够通过限制文件修改或磁盘级活动(如重新格式化驱动器)的访问策略增强不可更改性。最重要的是，由Commvault的一体化横向扩展文件系统支持的HyperScale X在存储层提供了额外的不可更改性，这项默认启用的功能确保了备份库中的数据不能在文件系统层面被修改或加密。
先验证再触发：在备份工作触发前验证云存储服务访问权限，这基于“零信任”架构对所有通信渠道都要经过“挑战”然后再“验证”的规定，否定了持久性概念。
使用基于时间的保留锁(WORM不可变锁)：使用于云对象存储和支持它的企业内部对象存储，确保任何程序或人员(包括IaaS供应商)在不满足保留条件时不能删除或更新云存储中的副本。
采用“拉式”(Pull)而非“推式”(Push)的网络拓扑结构：“推式”架构依赖连接持久性，恶意软件有可能通过这种永远在线的连接进行渗透;而在“拉式”架构中，与客户的连接是周期性的，需要访问请求、访问认证才能导致数据和事件的“拉动”，符合零信任架构原则。
实现不可更改性应考虑的关键架构因素
一个经常被问到的问题是，我们如何为一个具有上述所有功能的特定环境设计出合适的架构?或者说，在设计一个平衡安全、成本和性能参数的混合环境时，有哪些关键的架构考虑?
Commvault认为，一个能实现数据不可更改性的架构应包括以下要素：
将副本存储与勒索软件隔离的访问锁
通过能减少风险、平衡消费影响的生命周期锁实现的不可更改性
空气间隙隔离网络与控制
防止故意或意外改动的配置管理
在充分考虑速度和成本的情况下减少延迟的恢复并发性能
用于保持对数据保护基础设施的现有、简化管理与维护的自动修补
3-2-1异地存储副本
