不可变快照防的是什么
不可变快照指在设定的保留期内，快照不能被修改或删除，包括拥有管理员权限的账号在内。它针对的威胁很明确：传统快照的删除权等同于管理员权限，一旦账号被窃取，快照可以在几秒钟内被批量清除，受害者失去唯一退路。不可变的实现方式通常有两类，一类依赖介质的物理写保护特性，一类依赖存储侧的保留期属性——在保留期内任何删除请求都会被拒绝，解除锁定需要更高权限或额外审批流程。
基本信息
| 定义 | 保留期内无法被修改或删除，管理员亦不能 |
|---|---|
| 针对威胁 | 凭据失陷后的批量删除与加密 |
| 常见实现 | 介质写保护、存储侧锁定策略、时间锁 |
| 保留期管理 | 保留期届满后可正常删除，需要规划轮转 |
| 权限模型 | 解除锁定需要更高权限或审批流程 |
| 主要局限 | 容量按保留期锁定，无法提前释放 |
典型使用场景
- 备份副本防篡改：确保攻击者取得权限后仍有一份完整数据
- 合规要求：法规或行业规范要求数据在特定期限内不可改写
- 快照保留策略：把关键时间点的快照锁定固定天数
- 验证演练：用管理员权限尝试删除，确认锁定是否真正生效
- 容量规划：按锁定周期与变化量估算所需空间
- 事件响应：把锁定副本作为干净数据的候选来源
实现方式
| 方式 | 机制 | 特点 |
|---|---|---|
| 介质写保护 | 一次写入多次读取 | 物理层面不可改写，成本较高 |
| 存储侧锁定 | 快照或备份集设置保留期属性 | 依赖产品能力，管理员无法提前删除 |
| 时间锁 | 保留期内拒绝删除请求 | 较灵活，需确认产品实现细节 |
| 独立凭据域 | 解除锁定需要另一套凭据 | 提高解除门槛，增加运维成本 |
| 离线副本 | 介质平时不联机 | 最彻底，恢复需人工介入 |
不可变快照的容量不能提前释放，这既是它安全性的来源，也是它的成本。规划时必须按保留期与变化量估算所需空间，并把容量增长纳入年度预算。若因容量不足导致新快照无法生成，保护能力会在无人察觉的情况下静默降级。
锁定不等于可恢复。不可变只保证副本不会被改写，不保证副本内容是干净的，也不保证能够顺利挂载。如果攻击者在加密之前已经潜伏数天，被锁定的副本可能正好落在被污染的时间段内。保留期应覆盖足够长的时间跨度，并配合恢复演练确认真实可用。
不可变设计要点
不可变设计要点
# 1) 明确锁定对象：快照、备份集还是整个卷
# 2) 明确保留期：几天、几周还是按合规年限
# 3) 明确解除条件：谁能解除、需要什么审批
# 4) 计算容量：保留期内变化量总和决定所需空间
# 5) 演练验证：用管理员权限尝试删除，确认是否被拒绝
# 6) 恢复验证：确认锁定副本可挂载、可启动业务