离线备份与 air-gap 是什么
air-gap 指让至少一份备份在物理或逻辑上脱离生产网络：离线硬盘、磁带离柜、单向传输网关都属于这一类。它的意义在于切断攻击路径——勒索软件与内部误操作都无法通过网络接触到离线副本。代价是需要人工轮换与登记，管理成本高于在线副本。
基本信息
| 实现方式 | 离线硬盘、磁带轮换离柜、单向传输、网络隔离 |
|---|---|
| 轮换节奏 | 按周或按月轮换并登记介质清单 |
| 保管要求 | 防磁、防潮、防震，异地或保险柜存放 |
| 验证要求 | 按固定周期抽检读取，确认介质仍可识别 |
离线实现方式对比
| 方式 | 隔离强度 | 管理成本 |
|---|---|---|
| 磁带离柜 | 高，介质离开现场 | 中，需要轮换与保管台账 |
| 离线硬盘 | 高，平时不接电 | 中，容量与接口需匹配 |
| 单向传输网关 | 中，数据单向流入 | 低，但需要专用设备 |
| 网络隔离备份区 | 低，仍可能被横向渗透 | 低，部署简单 |
落地要点
- 离线副本不是拷贝完就不管：需要固定的上线校验周期与保管环境要求
- 轮换要有排班与台账，记录介质编号、内容、位置与最近一次校验时间
- 恢复流程要写清楚：谁有保险柜钥匙、介质如何接回、恢复在哪台机器上做
- 网络隔离不等于离线：单向网关与隔离区仍可能被利用，需评估实际隔离强度
- 离线周期要与恢复目标匹配：需要当天恢复的业务不能只靠一周轮换一次的介质
离线介质台账示例
离线介质台账示例
编号 内容 写入日期 离线位置 最近校验
T-041 db full 2026-09-30 2026-10-01 保险柜A 2026-10-08 通过
T-042 db full 2026-10-07 2026-10-08 保险柜B 2026-10-08 通过
D-007 站点归档 2026-Q3 2026-10-02 异地库房 待校验长期离线的介质可能出现退化或与新版本归档工具不兼容，抽检频率应写入运维手册，而不是等到灾难当天才第一次读取。
只要数据能被写入离线介质，介质容量与写入速度就会成为新的瓶颈；磁带在容量成本上仍有优势，硬盘在随机恢复上更方便。