輕鬆六步打造鐵壁備份伺服器：防駭客攻擊實戰清單

備份伺服器權力極大：能讀取/覆寫企業任何檔案或資料庫。結合備份軟體常要求管理員擁有根/管理員權限，一旦被攻破後果災難性。以下六招守護備份伺服器。

1. 封閉未使用連接埠

查閱廠商文件確定備份系統必需連接埠，封鎖所有其他連接埠。例：若非 NFS/CIFS 伺服器，關閉相關服務；Web、列印、Telnet 等非必要服務同理封閉。

2. 強制加密管理存取

明文協議（Telnet、FTP、HTTP）讓入侵者嗅探封包竊取密碼。建立策略禁用明文，強制加密協議： SSH、HTTPS、FTPS、SCP。先卸載/關閉明文協議，再全面執行加密存取。

3. 極小化全權限人員

備份伺服器需根/管理員權限時，嚴格限制擁有者人數。設定專用管理密碼，僅提供給必須存取者。一般管理員可能不滿（習慣全權限），但要解釋這是為保護他們。密碼妥善保管，實施「需要知情」原則。

4. 記錄備份活動並異地保存日誌

使用 Unix syslog 或第三方資料保護管理產品記錄所有備份活動，日誌必須轉存至其他伺服器，防止惡意管理員覆蓋日誌掩蓋痕跡。

5. 媒體管理與備份管理分離（雙人控制）

將裝載磁帶（媒體管理）與設定備份作業（備份管理）分給兩人：

• 惡意員工有管理權但無媒體存取權 → 無法破壞。
• 惡意員工有媒體存取權但無寫入權限 → 無法破壞。

單人兼任雖常見，但分離能避免內部威脅造成災難。

6. 深度挖掘備份產品內建安全功能

近年備份軟體新增多項安全功能：

• 加密： 備份過程、磁帶、管理過程全鏈路加密。
• 基於角色的存取控制（RBAC）： 避免要求根權限，支援職責分離與權力分散。
• 增強身分識別： 拋棄 IP/主機名舊模式，採用更強認證機制。

立即調研產品具備哪些功能並啟用。雖部分做法難落地，但應用這些竅門比毫無防備好得多。確保備份伺服器安全，刻不容緩！