备份软件中的勒索检测技术

撰写时间：2026年6月 

前置阅读：建议先阅读 AI技术在数据备份领域的应用

一、为什么备份软件需要勒索软件异常检测

1.1 攻击态势

现代勒索软件攻击已演变为高度定向、多阶段的"人类驱动"攻击（Human-Operated Ransomware）。攻击者在加密数据之前，通常已在目标网络中潜伏数天甚至数周，首先窃取管理员凭据，然后专门针对备份系统进行破坏——删除备份快照、篡改备份策略、或直接加密备份存储。

据 Veeam 2025 Risk to Resilience Report，近 69% 的组织在 2024–2025 年遭遇了勒索软件事件 [1]。Verizon DBIR 2025 Report 指出，勒索软件占所有数据加密漏洞的近三分之一 [1]。

1.2 为什么传统安全工具不够

备份系统处于最后一道防线的位置——如果所有其他安全层都被突破，备份是恢复数据的唯一希望。因此，备份软件自身必须具备异常检测能力，在数据被加密时第一时间发出告警。

1.3 备份软件做检测的独特优势

备份软件具有天然的信息优势：

• • 它能看到每次备份之间文件内容的实际变化
• • 它能感知压缩率变化（加密数据不可压缩）
• • 它拥有历史基线数据（知道"正常"的变更模式是什么样）
• • 它与恢复能力天然集成（检测到攻击后可直接恢复）

Cohesity在其技术博客中指出："如果使用独立的安全产品单独读取所有数据来检查异常，将产生高昂的资源开销。而备份产品本身就做数据缩减，无需额外资源即可感知熵值变化。" [2]

二、六大主流技术路线

三、各技术路线深度拆解

3.1 熵值分析（Entropy Detection）

原理

"熵"在信息论中表示数据的随机性程度。正常的文档、图片、数据库文件都有一定的结构和规律，压缩算法可以有效缩减它们的大小。而加密后的数据看起来完全随机（高熵），几乎不可压缩。

备份软件在执行数据去重和压缩时，天然就能计算每次备份的压缩比。如果某次备份的压缩比突然大幅下降（数据突然变得不可压缩），就很可能意味着数据已被加密。

厂商实践

Cohesity [2]：

"When new data is suddenly less compressible than past work, that's a potential hallmark of having been encrypted. This is sometimes known as entropy detection because encrypted data looks very random, which is why it doesn't compress."

Cohesity强调，将熵值检测嵌入备份流程的独特优势是——备份产品本身就做数据缩减，无需额外资源即可感知熵值变化。独立安全产品如果要做同样的检测，要么不检查熵值（降低检测质量），要么需要额外的大量计算资源。

Veeam [1]：

Veeam将"文件熵（File Entropy）"作为其RCF机器学习模型的三大核心信号之一，分析文件内容中的随机性程度——加密过程中熵值显著上升。

局限与对策

现代勒索软件已发展出间歇性加密（仅加密文件的部分内容）和选择性加密（跳过某些文件类型），使得整体的熵值变化可能不够显著。因此，熵值分析需要与变更率监控、ML模型组合使用。

3.2 无监督机器学习异常检测

这是当前技术含量最高、误报率最低的技术路线。与传统规则引擎不同，无监督ML模型不需要人工标注"什么是攻击"，而是通过学习历史数据自动建立"正常行为"的基线，然后检测偏离基线的异常。

为什么必须用"无监督"？

• • 勒索软件变种层出不穷，不可能为每种变种标注训练数据
• • 每个组织的数据访问模式不同，需要个性化基线
• • 攻击手法持续进化，模型需要自动适应

标杆案例一：Veeam — Random Cut Forest (RCF)

（来源：Veeam官方博客，2026年4月）[1]

Veeam的勒索软件检测服务基于Random Cut Forest (RCF) 算法，这是一种专利申请中的无监督机器学习技术：

隐私保护设计 [1]：

"All analysis occurs within Veeam's secure infrastructure boundaries. File contents never leave the backup system and never enter the ML models."

这意味着Veeam的ML模型从不分析原始文件内容，仅分析文件数量、大小、熵值等衍生统计指标，从根本上杜绝了数据泄露风险。

双重检测配置的工作原理：

┌─────────────────────────────────────────────────┐│              双重检测配置（并行运行）              │├─────────────────┬───────────────────────────────┤│  快速攻击配置     │  检测大规模、高速攻击中          ││ (Fast Attack)   │  的快速加密爆发                 │├─────────────────┼───────────────────────────────┤│  扩展攻击配置     │  监控跨多次备份的渐进式、        ││(Extended Attack)│  低量加密，识别隐蔽/慢速攻击      │└─────────────────┴───────────────────────────────┘         │         ▼  集成方法合并输出 → 提升准确率，降低误报

标杆案例二：Cohesity — 多变量ML模型

（来源：Cohesity官方博客，2022年7月）[2]

Cohesity在其技术博客中明确声明，其ML模型不是"AI洗白"（"are not AI-washing of things that could just as easily be done traditionally"），而是真正的多变量模型。

ML模型输入的全部指标：

基线要求：至少 15条有效历史记录才能触发检测。模型经历"激进学习阶段→稳态"的过程，持续优化精度和召回率。

检测效果 [2]：

"We achieved 100% detection on samples of the damage patterns created by Cerber, Cryptxxx, Cryptolocker, Locky, and Wannacry."

Cohesity还采用了启发式规则模型（人工编写）来去除误报。例如，如果数据是可压缩的且替换文件同样可压缩，则不太可能是加密攻击。这种"ML + 人工规则"的混合方式兼顾了检测能力和误报控制。

3.3 行为启发式分析

原理

与基于备份数据本身的分析不同，行为启发式分析在操作系统层面监控进程行为，实时检测恶意加密活动。它不依赖签名数据库，而是分析进程的"行为意图"。

标杆案例：Acronis Active Protection

（来源：Acronis合作伙伴技术页，2026年6月）[3]

Acronis的方案是目前唯一在端点侧进行实时行为拦截并与备份恢复形成完整闭环的方案：

行为基线建立 → 实时监控150+指标 → 检测偏差 → 挂起恶意进程 → 自动回滚文件

关键性能指标 [3]：

近零RTO的实现 [3]：

"Even if a brand-new ransomware variant manages to encrypt a few files, the system restores them from a pristine local cache or backup, resulting in near-zero recovery time objective (RTO) without any data loss."

另一个方向：Veritas 自我防御数据保护

（来源：Help Net Security，2024年4月）[4]

Veritas的行为分析聚焦于管理员凭据泄露这一特定攻击向量：

"Cybercriminals are increasingly trying to corrupt backup data using the stolen credentials of administrators."

• • 持续监控管理员用户行为的异常
• • 自动标记异常管理员行为
• • 自主调整安全参数（多因素认证、多人授权）以锁定数据访问

3.4 文件变更率监控

原理

这是最直观的检测维度：监控文件增、删、改的数量和速率。正常的业务操作有其节奏——每天新增和修改的文件数量通常在某个范围内波动。勒索软件加密行为会导致文件修改数量异常激增。

厂商实践

Veeam的RCF模型和Cohesity的多变量ML模型都将文件变更率作为核心信号之一：

• • Veeam [1]：监控文件修改数量或频率的异常激增或持续偏移，作为RCF模型的三大核心信号之一
• • Cohesity [2]：每次备份追踪新增文件数、删除文件数、更新文件数、未变更文件数，并跨多次备份做聚合统计

局限性

单纯的变更率监控无法区分以下场景：

• • 合法的大规模文件操作（批量数据迁移、补丁部署、大文件导入）
• • 恶意加密行为

因此，文件变更率监控必须与熵值分析组合使用——合法的批量操作不会导致熵值变化，而加密会。这也是为什么Cohesity在其技术博客中强调，使用人工编写的启发式规则来去除这类误报 [2]。

3.5 恶意扩展名匹配

原理

许多勒索软件在加密文件后会修改文件扩展名，如 .encrypted、.locky、.wannacry、.crypt 等。检测这些特征性扩展名的出现是一种简单但有效的辅助手段。

厂商实践

Veeam将"已知恶意扩展名（Known Malicious Extensions）"作为RCF模型的三大核心信号之一 [1]。Cohesity也将其作为辅助检测维度。

局限性

• • 新型勒索软件常使用随机扩展名或不修改扩展名
• • 单独使用误报率较高（某些合法软件也会使用类似扩展名）
• • 需要持续维护恶意扩展名列表

3.6 内联存储级检测

原理

将异常检测前置到存储硬件层，在数据写入存储块的瞬间就进行分析，检测延迟最低。这种方案不依赖备份软件，而是在存储系统内部完成。

标杆案例：IBM FlashSystem + Storage Defender

（来源：IBM Storage Defender数据手册，2024年12月 [5]；TechChannel，2026年2月 [6]）

独特优势：

• • 检测发生在存储硬件层，不依赖任何上层软件
• • 延迟最低——数据写入的同时完成检测
• • 覆盖主存储和备份存储

四、各厂商技术组合实践

单独使用某一技术路线效果有限，主流厂商均采用多技术组合策略：

┌──────────────────────────────────────────────────────────────────┐│                    检测技术组合矩阵                                │├──────────┬──────────┬──────────┬──────────┬──────────┬──────────┤│          │ 熵值分析  │ 无监督ML │ 行为分析  │ 变更率   │ 存储级   │├──────────┼──────────┼──────────┼──────────┼──────────┼──────────┤│ Veeam    │    ✅    │  ✅ RCF  │    —     │    ✅    │    —     ││ Cohesity │    ✅    │ ✅多变量 │    —     │    ✅    │    —     ││ Acronis  │    —     │    ✅    │ ✅150指标│    ✅    │    —     ││ Dell     │    ✅    │    ✅    │    —     │    ✅    │    —     ││ IBM      │    ✅    │    ✅    │    —     │    ✅    │    ✅     ││ Veritas  │    —     │    ✅    │ ✅管理员 │    —     │    —     ││ Commvault│    ✅    │ ✅Metallic│   —     │    ✅    │    —     │└──────────┴──────────┴──────────┴──────────┴──────────┴──────────┘

厂商策略差异解读

五、技术演进趋势

六、技术选型建议

七、需要警惕的问题

7.1 AI洗白（AI-washing）

Cohesity在其技术博客中直接警告行业中的这一现象 [2]：

有些厂商声称的"ML检测"实际上只是传统规则引擎，并未使用真正的机器学习模型。有些厂商声称做"文件级熵值分析"，后来被发现"不可信"，新的解释中不再提及文件级熵值检查。

如何辨别：

• • 真正的ML模型需要历史基线数据（如Cohesity要求至少15条记录）
• • 真正的ML模型会随时间自动优化（在线学习）
• • 真正的ML模型是多变量的，而非单一阈值触发

7.2 基线建立周期

ML模型需要足够的历史数据建立"正常行为"基线：

• • Cohesity：至少 15条有效历史记录
• • Veeam：需要积累足够的备份历史

新部署的环境存在检测盲期，在此期间应依赖规则引擎和熵分析等无需基线的技术作为补充。

7.3 间歇性加密绕过

现代勒索软件采用间歇性或选择性加密（仅加密文件部分内容），传统的资源激增检测无法发现。需要熵分析 + 变更率监控组合才能有效检测 [1]。

7.4 误报管理

正常的大规模文件操作（数据迁移、补丁部署、批量导入）可能触发告警。Cohesity推荐与SOAR平台（如Palo Alto XSOAR、Cisco SecureX）集成，实现告警的闭环管理和快速处置 [2]。

7.5 AI模型本身的安全风险

AI检测系统自身也可能成为攻击目标：

• • 提示注入：攻击者可能通过构造特殊数据影响模型判断
• • 数据投毒：攻击者可能在基线建立期间注入恶意样本，使模型将攻击行为视为"正常"
• • 模型窃取：攻击者可能通过大量查询推断模型逻辑，进而设计绕过方案

八、总结

勒索软件异常检测已从"锦上添花"变为备份软件的必备能力。当前主流技术路线呈现出以下格局：

1. 1. 无监督ML + 熵分析 + 变更率监控是最成熟、最广泛采用的组合方案（Veeam、Cohesity、Dell）
2. 2. 行为启发式分析提供了端到端的"检测→阻断→恢复"闭环（Acronis）
3. 3. 存储级内联检测代表了将检测前置到硬件层的趋势（IBM）
4. 4. Agentic AI自主恢复是2025-2026年的新方向，将检测与恢复编排进一步自动化

在选择方案时，建议关注厂商是否真正使用了机器学习（而非传统规则引擎包装），以及是否提供了检测后的自动化恢复能力。

八、信息来源

⚠️ 声明：本文基于2026年6月的公开资料整理，所有技术描述均标注来源。部分厂商的技术细节基于其官方宣传材料，实际效果可能因部署环境和配置而异。

📌 延伸阅读：如需了解AI技术在备份软件中的更广泛应用（包括AI Copilot、Agentic AI恢复、ML数据分类等），请参阅AI技术在数据备份领域的应用。

引用链接

[1] AI技术在数据备份领域的应用[2] 为什么备份软件需要勒索软件异常检测: #一为什么备份软件需要勒索软件异常检测[3] 六大主流技术路线: #二六大主流技术路线[4] 各技术路线深度拆解: #三各技术路线深度拆解[5] 熵值分析: #31-熵值分析-entropy-detection[6] 无监督机器学习异常检测: #32-无监督机器学习异常检测[7] 行为启发式分析: #33-行为启发式分析[8] 文件变更率监控: #34-文件变更率监控[9] 恶意扩展名匹配: #35-恶意扩展名匹配[10] 内联存储级检测: #36-内联存储级检测[11] 各厂商技术组合实践: #四各厂商技术组合实践[12] 技术演进趋势: #五技术演进趋势[13] 技术选型建议: #六技术选型建议[14] 需要警惕的问题: #七需要警惕的问题[15] 信息来源: #八信息来源