勒索攻击链中，备份系统往往是优先被破坏的目标。影子副本、快照、备份目录被批量清除后，即便存在备份文件，也只剩被加密或篡改的残片。传统“只读权限”依赖账户体系，域管或 root 凭证失陷即告失效。真正有效的防线是 WORM（Write Once Read Many）——数据写入后进入锁定期，保留期内任何进程、任何账号（含 root）均无法覆盖、删除或二次加密。
WORM 的落地分三条技术路径：
对象存储层用 S3 Object Lock。桶在创建时开启对象锁（自动启用版本控制），备份写入即继承保留策略。对抗勒索优先选 COMPLIANCE 模式：保留期到点前，连存储桶管理员都无法缩短或删除；GOVERNANCE 模式允许特权账号绕过，适合内部误操作防护，不适合作为唯一防线。MinIO 示例：
mc mb –with-lock myminio/backup-immutable
mc retention set –default compliance 30d myminio/backup-immutable
对象锁不追溯已存在对象，旧桶需重建迁移。
文件系统层用内核级不可变位。Linux XFS 备份仓库可通过 chattr +i 锁定备份块，内核拒绝 unlink/write/rename 系统调用；进一步剥离 CAP_LINUX_IMMUTABLE 能力，使远程提权者即使拿到 root 也无法解锁。配合单用临时凭据、备份期后关闭 SSH，形成本地硬化仓库。
存储硬件层用 WORM 卷或离线磁带。支持 WORM 的磁盘阵列在控制器固件层拒绝写覆盖；LTO 磁带拨动物理写保护开关后脱离网络，兼具气隙隔离与不可变特性，适合长期归档与灾难级恢复。
保留周期不能拍脑袋。勒索载荷平均驻留时间可达数十天，短期备份锁 30 天是底线，数据库全量归档建议 90 天以上，核心审计类数据按行业合规保留 3–10 年。锁定期过长会推高存储成本，过短则留窗给攻击者。
WORM 不是“开了就完事”：备份身份与生产身份必须分离，备份桶策略禁止生产网段修改锁配置；定期做恢复演练与哈希校验，防止静默损坏；再叠加 3-2-1-1-0 架构（多副本、异构介质、异地、不可变副本、零恢复错误），把“有备份”升级为“删不掉、改不了、恢复得出来”。
总结：
WORM 的价值是把备份数据的篡改成本抬到“存储层物理拒绝”的高度。配置关键只有三件事：对象锁用 COMPLIANCE 而非 GOVERNANCE、保留期覆盖攻击驻留窗口、备份管理面与生产域完全解耦。再好的 WORM，若恢复流程没验证过，事件发生时依旧是废数据。