深挖洞，广积粮，添置铁威马F2-220 NAS定期备份数据，抵御勒索病毒

5月份一波 WannaCry“永恒之蓝”勒索病毒闹得全世界鸡飞狗跳，余波未了，作为一条运维IT狗上个月有整整一个星期时间在忙于给单位的各种电脑打补丁，结果没消停一个月，本月微软新的高危漏洞又继续曝光：LNK文件远程代码执行漏洞(CVE-2017-8464)和Windows搜索远程命令执行漏洞(CVE-2017-8543)。

根据微软最新公告，LNK文件远程代码执行漏洞(CVE-2017-8464)已经发现了在野利用且具有国家背景，黑客可以通过U盘、光盘、网络共享等途径触发漏洞，完全控制用户系统，对基础设施等隔离网极具杀伤力，危害堪比前两代震网攻击。

看到新闻我就嘀咕微软这明摆着又要搞事情了，果不其然，周一一到单位上班来接到通知：

吓得我赶紧下载一大堆离线补丁给内网服务器打上压压惊。

没过一个礼拜从NSA武器库泄露出来的代码又制成了Petya勒索病毒在欧洲爆发起来。

但是无论如何，做好数据备份是最重要的。作为个人数据备份，我在618期间选择了特价促销的铁威马F2-220 NAS存储，并且通过TOS系统集成的备份功能，进行内部数据双重备份。保证用户数据每日自动备份，每个星期还有一次额外的备份。这样一旦发现数据文件被病毒木马加密勒索，也能通过上一天和上一星期的备份找回宝贵的资料。

铁威马（TerraMaster）F2-220 intel双核2.4G 2G内存 双盘位NAS千兆网络存储 云存储服务器1569元勒索病毒来袭，预防是关键！铁威马保护您的数据安全（intel双核2.4GHz CPU！2G DDR3内存！TOS3操作系统！支持RAID！）京东去购买

跟同价位的群晖DS216j NAS相比，它拥有做工和硬件配置的优势。铝合金外壳，Intel ATOM J1800 x64处理器，2G DDR3内存；群晖DS216j 则是全塑料外壳，Marvell Armada 385 88F6820 ARM 32-bit 处理器，512 MB DDR3。

x64处理器和ARM处理器对比，配置在NAS中处于千兆优先网络环境下，比较文件拷贝速度上有性能优势。一般x64处理器拷贝速度可以到达满速112MiB/s，而ARM处理器的NAS在拷贝到70~80MiB/s的时候就会碰上CPU占用率过高的性能瓶颈。

除了硬件优势以外，一般大家都知道群晖DSM软件非常方便使用，其实TOS软件系统通过设置和第三方软件灵活运用，完全可以实现自动化的用户数据多重备份。具体如何实现，看我写个教程。

初始化安装TOS

通过在官网下载TNAS软件可以自动发现并找到设定局域网内的铁威马NAS。

对硬盘进行检查并且下载安装TOS系统。

安装完成后稍等片刻，等待NAS自动重启。

铁威马NAS对于预防勒索病毒有“天然优势”：基于Linux开发的TOS系统（windows系统的病毒无法运行）。

内置开源杀毒软件ClamAV，

特别是新版系统中内置防火墙，默认关闭445等特殊容易被入侵的端口。另外支持阵列功能，可以将资料进行镜像备份，相当于上一个双保险！

相对于机械的RAID1镜像，我更喜欢利用铁威马F2-220支持SMB、NFS、FTP文件传输协议，备份功能方面支持Rsync和苹果时间胶囊备份，打造个性化的订制自动备份功能。

设置共享文件夹权限

首先创建文档共享文件夹documents和备份用文件夹backup，

分别分配好文件夹存储空间和读写权限。

Backup文件夹只在NAS TOS内部计划任务中自动备份中使用，所以不对网上邻居和其他Windows主机暴露写入权限。

设置完成后共享文件夹如下图所示：

对用户数据批量备份

Mac端使用时间胶囊，Windows端使用FreeFileSync进行对用户数据批量备份。

下载FreeFileSync地址

也可以直接使用Rsync for Windows进行同步

下载Rsync for Windwos地址

安装FreeSync之后，选择数据文件目录，同时指定NAS上同步目录。

按“+”按钮可以添加数据文件目录，一般选择“我的文档”、“我的图片”、“我的音乐”、“我的视频”、“我的收藏夹”、“桌面”这些文件夹，已经涵盖了包括QQ聊天记录在内的绝大部分用户生成文件。点击“比较”按钮可以扫描整理出需要备份的文件清单。

同步按钮旁边的箭头可以同步方式，我选择单向同步，即从PC端同步到NAS端。

这样就能把用户数据从PC端备份到了NAS存储上面，确认拷贝文件数据量，选择忽略不存在的目录之后，就是漫长的备份过程。

当然第一次是完整备份所以耗时较长，等第二次第三次同步就都是差量备份，就不会花费很长时间了。

为了加快备份速度，我们可以用排除功能剔除 *.msu，*.exe和*.iso等软件安装镜像。

为了每次开机自动用户数据文件备份，我们还需要将备份脚本保存为.batch批处理文件。

将文件名保存为【我的文档FreeFileSync同步我的全部文档.ffs_batch】

创建开机自动启动备份批处理脚本

在运行，Windows 10搜索栏输入

%USERPROFILE%AppDataRoamingMicrosoftWindowsStartMenuProgramsStartup

创建【cifs_backup.cms】脚本内容为：

@echo off

REM 等待六秒钟系统进行网络协商/DHCP分配地址

echo 等待六秒钟系统进行网络协商/DHCP分配地址……

ping 127.0.0.1 -n 6 > nul

REM 连接 NAS 服务器 CIFS 网络驱动器映射，加载网络磁盘盘符

echo 正在连接 NAS 服务器 CIFS 网络驱动器映射，加载网络磁盘盘符……

net use E: TNAS-F220documents

net use F: TNAS-F220downloads

net use G: TNAS-F220gaming

net use I: TNAS-F220software

net use V: TNAS-F220video

REM 备份用户文件到 NAS 服务器

echo 备份用户文件到 NAS 服务器……

"C:ProgramFilesFreeFileSyncFreeFileSync.exe""%USERPROFILE%DocumentsFreeFileSync同步我的全部文档.ffs_batch"

echo 用户文件备份和同步任务全部完成，3秒钟后自动关闭此窗口。

ping 127.0.0.1 -n 3 > nul

这样Windows每次开机用户登录就能自动备份用户数据了。

设置NAS内部定期自动备份

设置TOS，给开启Rsync Server同步。

然后设置2个Rsync客户端的计划任务：【每日备份】【每周备份】均对 documents文件夹进行每天增量备份。

完成上述设置，我的个人资料数据一共在铁威马F2-220上面保存了3个备份：documents，Backup每天/每周备份。这样一来方能保证在这一段复杂的加密病毒爆发时期，保证个人数据安全，高枕无忧呀。

总结

目前来说，勒索病毒都是基于Windows SAMBA 1.0协议的漏洞进行入侵和传播。选择基于Linux开发的NAS存储系统，基于Windows系统漏洞的勒索病毒无法运行。

记得打开NAS内置杀毒软件，启用NAS内部备份文件的功能和机制，同时备份目录应该进行合理权限设置，不要通过SAMBA协议或者NFS协议暴露在局域网中。

当然如果NAS系统支持磁盘RAID1阵列功能，也相当于可以将资料进行镜像备份，如果能添置第二台NAS进行异地备份那就更完美了 ！不过这都是需要白花花的银子支撑的。