要点
- 不可变性由存储本身强制实施，而不是管理员可以随手取消的一项设置。
- 它可保护副本不被勒索软件或被盗账户删除，但不能取代加密、杀毒软件或恢复测试。
- 为防范勒索软件，通常设定 30 至 90 天；为履行法定义务，则按法规规定的期限，且仅适用于相关文件。
- 法国国家信息系统安全局（ANSSI）建议至少保留一份离线副本：对于保持在线的副本，不可变性就是其在逻辑层面的等效措施。
为什么需要不可变性
常规备份仍然是备份软件可以删除的文件。这有助于避免存储空间被占满，但这也正是勒索软件控制控制台后会做的事：在加密生产数据之前先删除副本，让受害者别无选择，只能付款。不可变性改变了由谁做决定：在 N 天内，删除请求由存储本身拒绝，而不是靠一个管理员可以取消勾选的复选框。
它还可以作为证据。必须原样出示的会计凭证或档案，不能存放在任何操作人员都能改写历史记录的存储卷上。
不可变、离线、常规：三种保护级别
ANSSI 重申所谓的“3-2-1”规则：数据保留三份副本，存放在两种不同介质上，其中一份离线。离线副本仍是防范勒索软件最可靠的手段，因为任何联网账户都无法触及它。对于必须保持在线、从而能够快速恢复的备份，不可变副本发挥着同样的作用。
| 常规备份 | 不可变备份 | 离线副本 | |
|---|---|---|---|
| 被管理员删除 | 可能 | 到期前拒绝删除 | 无物理接触则无法删除 |
| 抵御被盗账户的能力 | 弱 | 强 | 强 |
| 恢复速度 | 快 | 快 | 较慢（需重新挂载介质） |
| 所需管理纪律 | 低 | 低 | 定期轮换存储介质 |
不可变性不是什么
- 它不是加密。加密使没有密钥的人无法读取数据，却不能防止删除。
- 它不是保留策略。保留策略表示“保留 30 天”。如果管理员可以缩短期限或清除数据，就不是不可变的。
- 它不是杀毒软件。生产数据仍然可能被加密。不可变性的作用是找回之前的版本。
- 它不是实时的。不可变副本的时间点就是最近一次成功备份的时间。如果最近的完好副本是前一天的，就会损失一天的工作。
如何实施
最常见的机制称为 WORM：write once, read many（一次写入，多次读取）。数据只写入一次，可以任意读取，但不能改写。云平台的对象存储和部分 NAS 提供对象锁定功能。但前提是，锁定不能由生产环境所用的同一账户解除，且期限必须长于发现攻击所需的时间。
选择方案前需核实三点：
- 谁可以解除锁定？在“合规”模式下，到期前任何人都不行。在“治理”模式下，特权账户可以解除：此时必须像保护其他备份基础设施一样保护该账户。
- 操作是否留痕？被拒绝的删除请求是一个宝贵的告警信号。
- 备份控制台是否与生产环境隔离？ANSSI 建议使用专用且实名的管理账户，并且备份服务器不加入生产环境的目录服务。
从驱动器中取出并存放在异地的磁带，是一种物理形式的不可变性，前提是确实有人在执行轮换。
有效期限
防范勒索软件：通常为 30 至 90 天；如果发现较慢，有时更长，因为入侵可能在加密前潜伏数周。履行法定保存义务：按法规规定的期限，例如在法国会计文件须保存十年（《法国商法典》第 L123-22 条），且仅适用于相关文件，而不是每晚保存整台服务器的镜像。详情请参阅不可变备份：数据应保留多长时间？。
常见问题
不可变备份会被勒索软件加密吗？
只要锁定期尚未结束，就不会：存储会拒绝任何改写。但如果勒索软件在最近一次备份之前就已加密了生产数据，那么这份副本中的文件已经是加密的。因此，保留多个版本并能够回退到攻击发生前的日期非常重要。
管理员能否缩短不可变期限？
在真正的 WORM“合规”模式下不能：到期之前，管理员和服务商都无法解除锁定。有些产品提供“治理”模式，允许特权账户解除锁定；这种模式可以防范误操作，却无法防范盗用该账户的攻击者。
是否应该让所有备份都不可变？
很少需要。不可变性通常只用于一旦丢失后果严重、或必须原样保存的数据。其余设备可以继续使用带历史版本的常规备份，成本更低，也更灵活。
延伸阅读
参考来源
以下文件查阅于 2026 年 10 月。
- 信息系统备份：基本原则（ANSSI-BP-100，v1.1，2025 年 11 月 27 日） — ANSSI
- 勒索软件：如果您的机构遭受攻击，应该怎么做？ — Cybermalveillance.gouv.fr（法国政府网络安全援助平台）
- 《法国商法典》第 L123-22 条（会计文件的保存） — Légifrance（法国官方法律数据库）
- 不可变方案：WORM 存储与价格 — WeDoBack