先上结论：被勒索加密后秒级恢复，靠的就是快照。
上周不少群晖用户一觉醒来，文件全换了后缀。急救帖里有人靠快照翻了身——但那纯粹是赌对了：黑客的脚本写得糙，加密完就撤，忘了顺手删你的快照。这份运气，第二次就不一定好使了，普通快照的致命弱点在于：拥有管理员密码或root权限的人，随时能把攒了半年的快照一键清空。真正靠得住的退路，是把DSM里一个开关打开：不可变快照。知乎
它到底是什么：存档加时间锁
快照本身像单机游戏存档：Btrfs文件系统不复制文件，只花1秒给"目录账本"拍照，几乎不占空间，真出事本地直接回滚，几个TB的资料两三分钟就能满血复活。知乎知乎
但注意界面上两种图标：黄色挂锁只是一张"自动清理时跳过"的便签，黑客拿到root后一点就解。蓝色盾牌的不可变快照才是真正的定时锁——在设定的保护期内（1到30天），全世界没人能删它，root也不行，你自己恢复出厂设置也不行。群晖白皮书还写明：拔盘换机、RESET重装，锁原封不动。知乎
也别想改系统时间糊弄它。不可变快照自带一块独立的"防篡改时钟"，按硬盘实际通电小时数倒数。你把日期改成2099年也没用；关机期间倒计时自动暂停，"拔掉电源熬过保护期"这条路同样堵死。知乎
谁能开、怎么开
三个门槛：DSM 7.2及以上 + Btrfs存储池 + 20系及以后机型（DS920+、DS923+、DS224+这类）。知乎
满足的话，在Snapshot Replication里配一次就省心：每天定时快照，勾选"启用不可变快照"，保护期填7到14天最稳——不建议拉满30天，因为锁定期内被快照抓住的旧文件释放不了空间。知乎
老机型最容易踩坑：DS918+、DS218+这些尾号18/19的机器，升级到DSM 7.2后界面里也看不到这个开关。知乎哔哩哔哩
网上有教程教你SSH改配置文件强行刷出按钮——别照做。社区知名维护者007revad在GitHub专门发出过警告。一旦强行改配置开启，保护期永远走不完，快照变成"钉子户"，最后只能拆盘格式化。老机型的正解是普通定时快照＋关admin账号＋开两步验证＋别把5000/5001管理端口放到公网。知乎知乎
两个手滑就会后悔的配置
第一，别给PT/BT下载目录、监控录像目录、虚拟机目录开不可变快照。每天下300G、删300G，释放的空间全被锁住的快照占着，硬盘塞满时系统会冷酷提示"保护期未到，禁止删除"。开启的同时，去共享文件夹设置里加一道配额，给空间消耗装个安全阀。知乎
第二，别把快照当备份。快照和源数据在同一块盘上，雷击、存储池崩溃会一起带走。标准组合是：本地不可变快照防勒索防手滑，外接硬盘或异地NAS定期离线备份防硬故障。给文件夹同时开了"加密+不可变"的，加密密钥务必在NAS之外多存一份。知乎
真出事怎么捞？三档：勾选"让快照可见"，从`#snapshot`目录里按日期取单个旧文件；整个文件夹变乱码，先断外网、改密码把黑客踢出去，再在Snapshot Replication里整目录回滚；拿不准就"以新名称克隆"，秒级变出一份和现状并排对比，慢慢核对。
很多人的全家福在群晖里躺了好几年，那个蓝色盾牌却从来没被勾上。今晚花5分钟打开后台，给照片和文档目录设上每日快照、锁7天。
下次勒索病毒来的时候，等着收赎金的黑客会发现：你点的是"恢复快照"。
