☰

阻止对 Windows 驱动器的写访问？

tag-icon • tag-icon windows hard-drive windows-10 backup
阻止对 Windows 驱动器的写访问？

我的电脑里有一个备份驱动器，我仅用它来保存其他驱动器的差异备份。我目前没有钱购买外部解决方案，并且想确保我的备份驱动器尽可能安全，免受勒索软件等攻击。

有没有办法通过 Windows 阻止对驱动器的写访问，而无需先进行某种形式的额外身份验证？这甚至可以减轻勒索软件对驱动器的加密吗？

答案1

假设任何勒索软件在您自己的用户帐户下运行，因为您意外下载并执行了它，或者它利用了您正在运行的任何软件中的缺陷，那么您可以执行以下操作：

  • 确保您的普通用户帐户不是管理员组的成员
  • 不要仅仅依赖 UAC 提示，不要使用管理员帐户进行日常工作。
  • 始终保持你的 Windows 操作系统更新到最新补丁。
  • 确保您的普通用户帐户不是管理员组的成员

如果您遵循此操作，勒索软件将只能加密您有权访问的文件。

在备份驱动器上，您可以授予自己对任何文件的读取权限，但完全没有写入权限。因此，如果需要，您可以轻松获取文件的备份副本，但您无法更改文件，勒索软件也无法加密它。

像这样设置备份驱动器上的 NTFS 权限：

 NT AUTHORITY\SYSTEM:(OI)(CI)(F)
 BUILTIN\Administrators:(OI)(CI)(F)
 BUILTIN\Backup Operators:(OI)(CI)(M)
 BUILTIN\Users:(OI)(CI)(RX)
  • 创建一个专门用于备份文件的新用户，并将该帐户添加到Backup Operators组中。
  • 设置负责备份的软件以在该新帐户下运行。这样软件/脚本/任务就可以将文件写入备份驱动器。
  • 确保备份过程不会过于频繁地覆盖备份中的文件。如果某些勒索软件启动并加密文件，您不希望备份过程过快地将这些加密文件复制到备份驱动器。白天将差异备份放在单独的文件夹中可能会有效。
  • 理想情况下，您的备份过程应该有一个选项来防止复制加密文件。
  • 确保您的备份过程不会复制文件的 NTFS 权限，否则会让您和勒索软件再次获得对文件的写访问权限。
  • 确保触发备份过程的任何因素都不能被您的普通用户帐户触发。

我已经使用这个完全相同的设置很长一段时间了，我仍然会将数据备份到外部驱动器和云端，但最频繁的备份是备份到内部驱动器。

这也可以防止您意外删除备份文件。

相关内容