企業該如何建置完整資料保護基礎架構？

多層次防禦系統當道，從端點防護到備份能力缺一不可
仔細拆解這個惡意攻擊的過程，會發現駭客並非正面突破，而是透過合作供應商的資安破口，竊取超過上萬份機密檔案。更可怕的是，該勒索病毒還採用「邊勒索、邊毀檔」的雙重攻擊模式，即使企業付錢也無法保證資料能復原。

因此，企業若要有效抵禦攻擊，不可只依賴防火牆或單一防毒工具，而是必須建構整套從內到外的多層次防禦系統。更重要的是，企業現在不能「獨善其身」，更得嚴格要求與管理供應鏈，確保所有合作夥伴都符合相同資安標準，定期評估與稽核供應商資安情形，並建立明確的資安合規條款，才能避免碰上類似的窘境。

而要達到完整的多層次防禦，就必須具備以下幾個關鍵構面：

• 端點防護：部署 EDR（Endpoint Detection & Response）或進階防毒軟體，可以主動偵測並阻擋勒索軟體與可疑行為。許多攻擊都是從單一端點滲透企業內網，因此端點若失守，整個系統就可能淪陷。
• 網路防護：實施網路區隔、設置內網防火牆等，有效分隔關鍵業務系統與一般用戶，並透過 IDS/IPS 或 NDR 等工具，進行流量分析與異常偵測，即時攔截異常連線。
• 資料安全：保護企業最關鍵的資料內容，包括個資、機密商業資料，加密資料以降低外洩風險。同時搭配 DLP（Data Loss Prevention）機制，防止資料遭異常複製、匯出或上傳到不明位置。
• 存取控管：落實零信任、最小權限原則，且導入多因子驗證（MFA），防止帳號盜用後被攻擊者濫用。組織亦可整合 SSO 與 IAM 平台，統一控管企業內外部的身分與授權行為。
• 系統監控：部署 SIEM（Security Information and Event Management）平台，可集中收集並關聯分析來自系統、網路、應用的安全事件，還能提早察覺資料異常存取、大量寫入等攻擊前兆。
• 備份與還原：定期備份重要資料，保存多個版本與異地副本，企業才能在遭受攻擊時無需支付贖金，即可利用備份資料還原系統狀態，減少停機所造成的損失。

ActiveProtect 內建不可竄改與離線備份，有效守護備份資料安全性
整套企業資安防禦體系中，備份與還原經常被視為最後一道防線：當所有防禦措施失效、資料遭加密或刪除時，備份能幫助組織恢復營運、避免支付高額贖金。然而，當前駭客不再滿足加密原始資料，還會進一步攻擊備份系統。對此 Synology 推出備份專用一體機 ActiveProtect，就著重備份伺服器本身安全性，打造備份資料隔離機制，確保備份堅不可摧。

首先，ActiveProtect 提供不可竄改備份（Immutable backup）功能，結合了版本鎖定（Retention lock）機制，能為每個備份標的、各個版本都套用不可變鎖定，相較於傳統備份軟體僅能在儲存空間的快照層級進行鎖定，ActiveProtect 的保護層級更為全面。

這種機制也大幅減輕了管理負擔，無需為不同保留時間的標的，切割不同儲存空間，等於能降低人為疏失造成的安全漏洞。當備份資料一旦上鎖，面對勒索病毒攻擊或內部惡意操作，就無法被修改或刪除，從而使資料安全性達到零信任標準。

再來 Synology 要從另一個面向，防堵惡意攻擊進入備份伺服器的可能。ActiveProtect 內建自動化的實體/網路隔離技術（Air-gap）。當備份資料從備份伺服器，複製到異地的 ActiveProtect 裝置時，系統會自動識別資料傳輸階段，僅允許指定來源伺服器傳送資料，有效阻絕非必要連線。備份任務完成後，異地的備份伺服器，還會自動關閉網卡或裝置電源，防止任何非授權連線或滲透風險。

過往類似的離線備份，多是靠人工移除網路線或手動移除硬碟的方式，相當不便利。而 ActiveProtect 提供更智慧、即時且自動化的解決方案。此外，由於 ActiveProtect 能自動偵測來源端的資料傳輸狀態，若備份提前結束，系統也會相應提前自動關閉網路，將備份伺服器的暴露風險降至最低，確保企業擁有一份乾淨且可靠的可還原資料。

面對日益複雜且持續演進的資安威脅，企業需建立起多層次的防禦架構，免於自身成為資安事件的受害者。從端點防護、網路安全、資料保護到存取控管，各個環節都得做到滴水不漏，尤其作為最後防線的備份系統，更需要具備不可竄改及網路隔離等進階功能，才能在危急時刻發揮功用，確保企業在遭受攻擊時迅速復原、達成營運不中斷的目標。

>> 欲打造高度韌性的資料保護架構，歡迎與專家免費諮詢：https://sy.to/nlfbc

SOURCE Synology 群暉科技