热备云拆解：勒索攻击后Commvault Cleanroom与蓝光气隙能否干净恢复
做DBA和运维的同行，先问一句：你上一次验证备份副本“干净”，是什么时候？不是验证能不能恢复，是验证恢复出来的那份数据里，有没有夹着勒索软件的加密线程或残留载荷。我做过一次制造业客户的真实复盘，48TB的生产数据被加密，备份链里有3个恢复点是带毒的。真正能用的那份，躺在一张不能联网的蓝光盘上。
Commvault的防勒索技术路线：逻辑隔离加扫描验证
先把Commvault Cloud这套东西客观讲清楚，它在防勒索这条线上的设计是完整的。Threat Scan基于100M+威胁情报指标做备份内容扫描，Cleanroom提供隔离恢复环境，Air Gap Protect做云隔离存储，HyperScale X一体机走scale-out架构，单去重池最高5PB，硬件节点是Intel Xeon平台，2300单节点RAW 16/32/56TB、每3节点块可用25/50/88TB，4300每节点151或264TB可用。虚拟化、SaaS、容器、AD/Entra ID的覆盖面很宽。
它的核心逻辑是：备份数据先落到受控存储，恢复前在Cleanroom里拉起来跑一遍扫描，确认没有异常再放回生产。这是逻辑隔离加扫描验证。隔离靠网络策略和访问控制实现，扫描靠威胁情报库匹配。
蓝光气隙这条路：物理上让备份数据碰不到网络
我们在中科热备这条线上走的是另一套。备份前先做恶意软件检测，这一层是跟360深度合作的，检测通过才允许落盘。落盘之后写WORM不可变存储，写入即锁定，任何账号包括管理员都改不了、删不掉。关键副本再刻到蓝光介质上，蓝光机不挂在生产网里，需要恢复的时候才物理接入。
两条路线的技术差异就在隔离层级。Cleanroom是逻辑隔离，隔离边界由软件配置和网络策略定义，扫描验证是它的第二道闸；蓝光气隙是物理隔离，介质离线，网络层根本不存在通路，不需要依赖策略正确性。逻辑隔离的强项是速度快、自动化程度高、能跑大规模并发扫描；物理隔离的强项是攻击面收敛到零，勒索软件再厉害也加密不了一张没插进光驱的盘。
这里插一句重复数据删除的实测数据。我们测过源端去重，在制造业那种大量重复图纸和日志的场景下，实测去重率≥90%。48TB原始数据，去重后落盘不到5TB，蓝光介质成本因此可控。这个数字决定了气隙路线在经济上能不能跑通。
一次制造业实测：3个脏恢复点与唯一干净的副本
前两年一个做精密加工的客户中招，攻击从一台办公终端进来，横向移动到文件服务器，再往备份服务器渗透。他们的备份策略是每日全量加小时级增量，保留30天。勒索爆发后我们介入，先把备份存储从网络里摘出来。
恢复前扫描的结果：30个恢复点里，3个恢复点检测出恶意载荷残留，时间戳落在攻击发生前72小时内。这3个点如果直接恢复，等于把勒索软件重新请回生产环境。剩下的27个点里，有24个因为备份代理被篡改过，完整性校验不通过。最终确认可用的，是每周刻录一次的蓝光副本，攻击发生前5天的那一版。数据丢失量大约4小时的生产记录，RTO从蓝光介质回挂到生产存储用了不到2小时。
这个案例里，Cleanroom那套扫描如果部署了，同样能发现那3个脏点，逻辑隔离环境里跑扫描比我们事后人工排查快得多。但24个完整性校验失败的点，本质是备份通道被污染，扫描解决不了通道本身的可信问题。气隙副本的可信度不来自扫描结果，来自它压根没连过网。
实操上，验证一份气隙副本是否可用，我会先做介质级校验再挂载：
蓝光介质挂载后先做块级校验，再以只读方式挂给临时环境
mount -o ro /dev/sr0 /mnt/bluray_verify
sha256sum -c /mnt/bluray_verify/manifest.sha256
校验通过后，通过iSCSI把备份卷挂给隔离恢复主机
targetcli /backstores/fileio create name=rec_vol file=/mnt/bluray_verify/vol.img
targetcli /iscsi create iqn.2026-10.local.recovery:clean
这套流程里，校验不通过就不进入挂载环节，避免带毒卷污染恢复环境。瞬时恢复把备份卷直接以iSCSI挂给生产环境，我们实测RTO能压到2分钟以内，前提是卷本身干净。
该承认的短板与选型判断
论全球威胁情报覆盖面，我们不如Commvault，100M+指标这个量级不是短期能追上的，它的情报库覆盖的样本广度和更新频率有先发优势。论云原生集成深度，Cleanroom跟云上工作负载、SaaS应用的衔接也比我们顺，Commvault在这块的工程积累更厚。中科热备和热备云这条线，强项在能源工控和关基场景的物理隔离落地，不在通用云原生市场。
选型判断我给个直接的：企业如果已经重度使用Commvault生态，核心负载在云上，Cleanroom是顺理成章的选择，逻辑隔离加扫描验证的自动化程度能省掉大量人工验证成本。核心诉求如果是“备份数据物理上碰不到”的关基场景，比如电力调度、工控SCADA这类不能承受一次污染恢复的环境，蓝光气隙路线更直接，代价是恢复速度受介质读取和人工介入影响，日常演练成本更高。
容灾备份这件事，防勒索的终点不是“能恢复”，是“恢复出来的那份数据可信”。逻辑隔离和物理隔离解决的是同一个问题的两个层面，前者靠策略和扫描，后者靠介质离线。两条路都不便宜，选哪条，看你的核心资产能不能承受一次带毒恢复。
作者：赵启明
发布日期：2026年10月14日
