4. 存储介质与备份架构选型

备份系统的安全能力，首先取决于承载备份数据的介质与架构。磁盘、磁带、光盘、云存储、对象存储并不是简单的“新旧替代”关系，它们在访问延迟、单位成本、离线能力、不可变能力、扩展方式和运维复杂度上各有取舍。选型的核心不是追求单一“最好”的介质，而是把恢复目标、数据规模、保留周期、威胁模型和预算约束映射到合适的介质组合上。

一、五类介质的特性对比

磁盘（块存储/文件存储）：以磁盘阵列、NAS 或服务器本地盘为载体，随机读写性能好，恢复时可直接挂载或快速回拷，适合作为一级备份落地层。其安全短板是通常在线可写，一旦备份服务器被攻陷或勒索软件获得写权限，备份数据可能被加密或删除。因此磁盘层必须配合快照、只读挂载、访问控制与不可变快照使用。

磁带：单位容量成本低、离线保存能力强，适合长期保留与异地归档。磁带在写入后可从驱动器取出并离线存放，形成物理隔离，对勒索软件和远程攻击天然免疫。代价是顺序访问、恢复定位慢，且需要定期校验与介质轮换，否则存在介质老化导致恢复失败的风险。

光盘（BD-R 等一次写入介质）：写入后不可更改，适合小批量、法规留存类数据的长期归档。容量和写入速度有限，自动化程度低，通常作为补充性离线副本，而非主力备份介质。

云存储（云主机磁盘/云文件存储）：由云服务商托管，弹性扩展、按需付费，适合作为异地副本或云上业务的备份目标。风险在于凭据泄露、误删和账号被接管，需要启用版本控制、对象锁、最小权限和独立账号隔离。

对象存储：以桶和对象为组织方式，通过 HTTP API 访问，天然支持海量扩展、版本控制和 WORM（一次写入多次读取）保留策略。配合 S3 Object Lock 的合规模式，可在保留期内阻止任何删除和覆盖，是构建防勒索备份的重要底座。其代价是访问延迟高于块存储，且对小文件高频改写不友好。

二、安全选型方法：从恢复目标反推介质

选型应从三个约束出发：RTO（恢复时间目标）决定介质访问速度，RPO（恢复点目标）决定备份频率与增量能力，保留周期与合规要求决定是否需要 WORM 与离线副本。一个可操作的判断顺序是：

1. 先确定必须“分钟级恢复”的业务，其备份必须落在磁盘或高性能云盘上，保证可快速挂载回拷。
2. 再确定必须“防篡改、防删除”的数据，其副本必须写入支持对象锁的对象存储或离线磁带，且备份账号与生产账号隔离。
3. 最后确定“长期留存、极少恢复”的归档数据，用磁带或光盘降低单位成本，并保留校验记录。

需要强调的是，3-2-1-1-0 原则是选型的底线：至少 3 份副本、2 种不同介质、1 份异地、1 份离线或不可变、0 错误（可验证恢复）。介质组合应能同时满足这五项，而不是只堆容量。

三、示例：某企业备份介质选型参数表

以下为教学示例，参数为合理假设，用于说明选型过程，不代表实测结果。假设企业核心数据库 2 TB，要求 RTO ≤ 30 分钟、RPO ≤ 15 分钟，法规要求保留 7 年，且需抵御勒索软件。

四、配置要点与验证方法

以对象存储为例，启用不可变保留的关键配置如下（示例为 S3 兼容接口）：

# 创建启用对象锁的桶（示例）
aws s3api create-bucket --bucket backup-immutable \
  --object-lock-enabled-for-bucket

# 设置默认保留策略：合规模式，保留 90 天
aws s3api put-object-lock-configuration \
  --bucket backup-immutable \
  --object-lock-configuration '{
    "ObjectLockEnabled": "Enabled",
    "Rule": {
      "DefaultRetention": {
        "Mode": "COMPLIANCE",
        "Days": 90
      }
    }
  }'

配置完成后必须验证：尝试删除保留期内的对象，应返回拒绝；尝试覆盖同名对象，应生成新版本而非替换。若删除成功，说明保留策略未生效，需检查桶级配置与账号权限。磁带侧则应定期抽取样本执行恢复演练，记录读取错误率，超过阈值即触发介质更换。

五、选型决策要点小结

• 恢复速度优先选磁盘；防篡改优先选对象存储或离线磁带；长期低成本归档选磁带或光盘。
• 任何单一介质都不足以同时满足速度、成本与安全，应采用分层组合。
• 备份账号、网络与生产环境隔离，是介质安全能力生效的前提。
• 选型后必须通过恢复演练验证，未经验证的备份不视为有效备份。

综上，介质选型的本质是把业务恢复目标与威胁模型翻译成可执行的存储策略。磁盘保证恢复速度，对象存储提供不可变能力，磁带与光盘提供离线与长期保留，云存储提供弹性与异地能力。只有把这些特性组合成相互独立、可验证的副本体系，备份架构才真正具备安全工程意义上的可靠性。