資料備份可以幫助在主要生產複本受損或刪除時恢復資料。然而，由於高風險的網絡攻擊和其他威脅，備份也會面臨風險。
保護備份資料免受任何修改或刪除的最佳方法之一是使用支持不可變性的存儲。了解資料不可變性，不可變存儲的工作原理，以及為什麼不可變資料存儲能夠提高資料保護和恢復的機會。
什麼是資料不可變性？
資料不可變性是計算機科學和數據管理中的一個概念，指的是在創建後無法更改的資料。在不可變資料模型中，一旦資料被創建，就無法修改或更新；而是任何變更都將導致新資料的創建，原始資料保持不變（如果變更可以應用的話）。這種方法有重要的影響和好處。
不可變資料並不總是最佳選擇，因為有些情況下，可變資料更有效或更合適。但是，在許多情況下，特別是在備份系統、並行或分佈式系統中，不可變性可以簡化開發並提高可靠性。
什麼是不可變存儲？
不可变存储是一种数据存储类型，一旦数据被写入或存储，就在指定的时间内无法修改、更改或删除，甚至完全不可。这个概念通常用于数据保留、数据保护、数据合规和数据安全的背景下。不可变存储系统旨在确保数据的完整性和不可变性，通常是为了法律或监管原因或保护关键信息免受未经授权的更改或删除。
不可变存储增加了额外的数据安全层。一旦数据被写入不可变存储系统，它就变得抵抗未经授权的修改，保护它免受网络攻击和内部威胁。不可变存储可用于需要保持安全且不间断的监管链的场景，例如法律案件中的证据存储或存储财务交易记录。一个例子是视频监控录像，它被写入一次，不能被篡改或删除，以作为调查法律活动时的证据。
不可变存储系统被部署来保留数据一段特定的时间，确保它保持不变且可访问，以供审计、合规或归档目的。这在金融、医疗保健和法律等行业至关重要，这些领域有严格的数据保留要求。无论是为了数据保护、监管合规（例如GDPR）还是增强安全性，不可变存储都是确保数据完整性和抵御篡改或未经授权更改的关键组成部分。
不可变存储的工作原理是什么？
不可变存储通过实施机制和政策来防止数据在写入或存储后被修改、更改或删除。实现不可变性的具体方法可以根据存储系统的技术和架构而变化。不可变存储中使用的技术和原则包括：
- 一次写入多次读取（WORM）。WORM存储旨在允许数据仅被写入一次，一旦写入，便无法更改或覆盖。这通常通过在数据被写入后锁定数据的物理或逻辑机制来实现，防止进一步修改。
- 数据版本控制。一些不可变存储系统支持数据版本控制，其中对数据的每个修改都会产生一个新版本。保留了数据的旧版本，使您能够访问历史版本，同时确保原始数据保持不变。
- 锁定和访问控制。不可变存储系统通常包含访问控制和权限，以防止未经授权的用户尝试修改或删除数据。只有授权的个人或流程可以写入存储，而其他人只能读取数据。
- 保留策略。不可变存储系统通常包括保留策略，指定数据必须保持不变状态的时间。这使您可以为特定时间设置不可变性。一旦保留期到期，数据可能有资格被删除。
- 加密雜湊。許多不可變存儲系統使用加密雜湊技術來確保數據完整性。當數據被寫入時，會計算並存儲一個哈希值（從數據內容派生的固定長度字符串），該值與數據一起存儲。任何修改數據的嘗試都將導致不同的哈希值，表明篡改。
- 內容可寻址存储。這是一種將唯一標識符（通常是加密哈希）分配給每個數據片段的存儲架構。此標識符用於檢索數據，而不是傳統的文件路徑。一旦數據被寫入，就無法在不更改其標識符的情況下進行修改。
- 審計軌跡。為了確保合規性並跟踪任何訪問或修改嘗試，不可變存儲系統通常會維護詳細的審計日誌，記錄所有與存儲數據的交互作用。
- 硬件和軟件防護。不可變存儲可能利用硬件或軟件防護措施來保護數據免受物理和邏輯威脅，例如防篡改封印、安全硬件模塊或分散式共識算法。
不可變存儲通常與其他技術結合使用，如區塊鏈、數字簽名和安全時間戳，以進一步增強數據的真實性和安全性。不可變存儲的具體實現可以根據組織或行業的需求和要求而大不相同。
隔離空間與不可變存儲
氣隙是計算和數據管理中使用的安全措施，用於從不安全或潛在受到破壞的環境中在物理和邏輯上隔離系統或網絡。術語“氣隙”意味著受保護的系統/數據與外部網絡之間存在著字面上的隔離或物理斷開，使得未經授權的用戶或网络攻击者難以訪問、更改或破壞數據。
氣隙存儲是一種物理上與計算機或網絡斷開連接的存儲介質。氣隙常用於高度敏感或關鍵系統，例如處理機密信息、關鍵基礎設施控制系統以及安全的政府或軍事網絡。
氣隙通過將系統或數據與外部網絡隔離來提供強大的安全層，但它並不能本質上使存儲不可變。氣隙主要專注於將系統或網絡與外部威脅隔離開來，但單靠這一點不能保證數據的不可變性。組織可以將氣隙環境與其他安全措施和數據不可變性實踐和政策相結合，在該隔離上下文中實現對數據的保護，以防止未經授權的更改。
氣隙存儲的示例
從服務器或存儲數組斷開的SAS、SATA或USB硬盤驅動器是氣隙存儲的一個常見示例。存儲在這種硬盤驅動器（HDD）上的文件無法修改，因為該設備已物理斷開並關機。這對軟件是不可訪問的。存儲在這個斷開的硬盤驅動器上的數據受到勒索軟件攻擊和其他不需要的更改的保護。
然而，這種保護並不是通過使用像現代不可變存儲中的不可變技術來實現的。沒有硬件寫保護開關，也沒有軟件可以確保標準硬盤處於關機狀態時的寫保護。這就是為什麼離線存儲和不可變存儲是不同的，儘管它們用於類似的目的。
磁帶盒也被認為是離線存儲。在將備份寫入磁帶後，彈出的磁帶盒無法被勒索軟件訪問，並且備份數據無法修改。
與可以在服務器、本地或公共雲中實施的不可變存儲相比，離線存儲需要更多的管理工作和時間。
不可變雲存儲解決方案
不可變雲存儲解決方案是指提供不可變性作為核心功能的基於雲的數據存儲服務或系統。這些解決方案確保一旦數據存儲在雲中，就不能根據特定期限或特定政策以及不可變存儲的原則進行修改、更改或刪除。對於希望保護數據完整性、滿足合規要求、增強數據安全性並在雲環境中實施數據保留策略的組織來說，不可變雲存儲尤其有價值。
不可變雲存儲的示例
各種雲服務提供商提供不可變的雲存儲解決方案，旨在提供數據的不可變性，防止未經授權的修改或刪除。幾家雲服務提供商作為其產品組合的一部分提供了不可變的雲存儲解決方案。例如，Amazon S3（簡單存儲服務）提供了Object Lock功能，該功能允許對S3對象（不可變對象存儲）實現數據的不可變性。Microsoft Azure提供Azure Immutable Blob Storage，允許組織在Azure Blob Storage中創建和管理不可變數據。讓我們概述一些主要雲服務提供商的不可變雲存儲解決方案的示例：
- Amazon S3 Object Lock。Amazon S3提供了一個名為Object Lock的功能，允許用戶在其S3存儲桶中創建不可變對象，以提供公共雲中的不可變對象存儲。用戶可以選擇兩種模式：治理模式，其中管理員可以設置保留策略，以及合規模式，其中一旦對象被鎖定，則在保留期過期之前無法刪除或修改。
Microsoft Azure Immutable Blob Storage 。Microsoft Azure作為其Azure Blob Storage服務的一部分提供了Immutable Blob Storage。Immutable Blob Storage允許用戶對其blob容器設置保留策略，防止任何修改或刪除blob，直到保留期過去。 - Microsoft Azure 不可變 Blob 儲存。Microsoft Azure 提供作為其Azure Blob 儲存服務一部分的不可變 Blob 儲存。不可變 Blob 儲存允許用戶對其 blob 容器設置保留策略，防止在保留期到期之前對 blob 進行任何修改或刪除。
- Google Cloud Storage 對象版本控制。Google Cloud Storage 提供對象版本控制作為實現不可變性的方式。啟用版本控制後，對對象的每次修改都會創建該對象的新版本，保留原始版本。用戶可以配置對象生命週期策略來管理隨時間變化的版本，這可以包括為不可變性設置保留期限。
- IBM Cloud Object Lock。IBM Cloud Object Storage 提供 Object Lock，這是一項允許用戶對其存儲桶中的特定對象執行不可變性的功能。與其他雲提供商類似，Object Lock 提供治理和合規模式，以實現對數據保留和不可變性的不同級別的控制。
- Oracle Cloud Storage Service 對象鎖定。Oracle Cloud Storage Service 提供對象鎖定，允許用戶創建具有可定制保留期限的不可變對象。對於受數據保留法規約束或需要嚴格數據保留的組織來說，此功能非常有用。
這些例子突顯了各種雲端服務提供商如何提供解決方案以確保數據的不可變性，主要透過創建不可變的對象或使用版本控制和保留政策。
本地不可變儲存
本地不可變儲存指的是在物理上位於設備或系統上的數據儲存，並且被設計用來確保儲存數據的不可變性。與依賴遠程服務器和服務的雲端不可變儲存解決方案不同，本地不可變儲存在單一設備、服務器或本地基礎設施的範圍內運作。這種類型的儲存特別適用於需要保護數據免受本地層面未經授權的修改或刪除的情況。
本地不可變儲存的主要特徵包括：
- 基於硬件的寫入保護。本地不可變儲存可以透過硬件機制實現，這些機制物理上防止數據被覆寫或修改。例如，寫入保護的儲存設備或媒體，如光學光碟，允許數據被寫入一次，然後保護它免受後續的變更。
- 文件系統功能。某些文件系統支持可用於實現本地不可變性的功能。例如，在類似Linux的操作系統中，您可以使用
chattr命令設置屬性，如“i”（不可變）在文件上，防止它們被修改或刪除。 - 專業軟體。有專門設計用於建立本地不可變存儲環境的軟體解決方案。這些通常依賴於加密哈希、數字簽名和訪問控制來確保數據完整性和不可變性。
本地不可變存儲的例子
實際應用中使用的本地不可變存儲的例子包括：
- 光學光碟（CD-R、DVD-R、藍光光碟）：一次性寫入光碟是本地不可變存儲的經典例子。一旦數據被燒錄到這些光碟上，除非物理損壞媒介，否則無法更改或刪除。
- 寫保護存儲設備：SD閃存卡帶有寫保護開關，有些USB硬碟有機制，一旦啟用寫保護，就防止數據被修改。
- 不可變文件系統：一些專門的文件系統，如WORM（一次寫入多次讀取）文件系統，旨在通過文件系統級別強制執行數據不可變性（例如，Sun QFS）。它們防止對已寫入數據的更改。
- 區塊鏈數據庫：區塊鏈數據庫是本地不可變存儲的一種形式，用於分散式應用。在區塊鏈中，數據存儲在一系列塊中，每個塊包含前一個塊的加密哈希。這個塊的鏈條確保存儲數據的不可變性。
- 安全硬件模塊：一些硬件安全模塊（HSMs）和安全區域通過保護加密密鑰和敏感數據不受篡改或未經授權的訪問，提供本地不可變存儲功能。
使用不可變技術和不可變存儲可以在企業內基礎架構中的常規存儲設備上實現。光盤介質如CD-R、DVD-R和藍光光盤，以及SD閃存卡，可以幫助保護少量數據，對個人用戶在手動模式下很方便。至於組織和生產環境，可以實施具有WORM配置的文件系統以及其他可擴展存儲解決方案，以實現高效的自動化保護。基於雲的不可變存儲解決方案可以滿足更廣泛的用例，包括遠程訪問和協作。
磁帶是不可變存儲介質嗎？
磁帶存儲可以用來提供一種形式的不可變存儲。磁帶存儲是一種多功能媒介，允許數據像其他形式的存儲一樣進行寫入、覆蓋和刪除。然而，組織可以實施實踐和政策，使磁帶存儲表現出不可變的特性。
組織在將資料儲存於磁帶上時，可以採用一次性寫入策略，這對於磁帶備份非常有用。這意味著資料一旦被寫入磁帶，磁帶就會被視為唯讀狀態。在這種方式下，一旦資料被寫入磁帶，除非物理上破壞磁帶，否則無法更改或刪除。磁帶盒具有一個防寫開關。此外，還有特殊的VolSafe磁帶盒，只能用於一次性寫入資料。
然而，需要注意的是，維護和管理基於磁帶的不變性儲存可能比使用現代基於雲端或磁盤的不變性儲存解決方案更為複雜且不便，後者通常具有內建的資料不變性和存取控制功能。
不可變儲存在NAS上。
某些網路附加儲存（NAS）系統，例如 群暉NAS 和 QNAP NAS，支援不可變儲存，可以在供應商原生作業系統安裝在NAS上的網頁介面中進行配置。這是在本地配置不可變儲存的另一種選擇。在NAS上對於一次寫入的 共用資料夾 進行不變性配置是直觀的。
不可變備份
不可變備份是一種無法被更改或刪除的備份。不可變備份 是不可變數據儲存最流行的用例之一。如果設置了到期期限，不可變備份只能在這個期限結束後才能被刪除。各種行業的組織都使用不可變備份。
備份是勒索軟體攻擊者的主要目標之一，因為攻擊者知道擁有備份可以讓受害者在不支付贖金的情況下恢復數據。位於不可變儲存的備份可以保護用戶和組織免受備份中的數據加密、數據損壞和刪除的影響。
當使用3-2-1備份規則時，需要至少有3份數據副本，存儲在至少2種不同的媒體上，其中一份存儲在外部位置，更可靠的方法是在具有不可變性的存儲上保留一份數據副本。這可以是額外的（第四份）數據副本。如果主要數據副本受到威脅，可以從不可變備份中恢復數據。
使用NAKIVO進行到不可變儲存的備份
NAKIVO備份與複製是一款現代數據保護解決方案，支持將數據備份到支持不可變性的存儲庫。您可以通過在以下位置部署備份存儲庫來配置不可變性：
- A physical or virtual machine:
- A backup repository with immutability that is assigned to a Transporter installed on a Linux machine
- A public cloud with immutability supported:
- Amazon S3
- Azure Blob Storage
- Wasabi
- Backblaze B2
此外，您可以部署一個適用於VMware vSphere的虛擬設備，以及一個預先配置的Amazon機器映像（AMI），用於Amazon EC2，該映像具有一個強化的內建備份庫，並啟用了不可變性。