暴露面收敛45 条

备份系统与数据出口的暴露面

备份系统是『数据出口』：备份服务器、备份控制台与 rsync/备份 API 的暴露等于数据暴露；治理动作包括网络隔离、访问控制、备份加密与恢复演练。

治理要点

1. 网络：备份网独立（专用 VLAN/网段），仅备份主控可达
2. 接口：备份控制台不对公网；API 使用强认证
3. 加密：传输加密 + 落盘加密（密钥与备份分离保管）
4. 权限：恢复操作需审批并全程审计
5. 验证：定期恢复演练，证明备份可用而非只『有文件』

ss -lntp | grep -E 'rsync|873'
# rsync 模块配置（/etc/rsyncd.conf）核对 hosts allow 与只读设置

勒索软件的常见目标是备份：备份系统被攻陷时，业务与恢复能力同时丢失。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌