勒索病毒入侵会对您的业务数据进行加密勒索，导致业务中断、数据泄露、数据丢失等，从而带来严重的业务风险。云安全中心针对勒索病毒提供服务器防勒索和数据库防勒索两大功能，帮您解决服务器、数据库被勒索病毒入侵的后顾之忧。
勒索病毒防御体系
实时防御已知勒索病毒
借助云上威胁情报，云安全中心实现了对大量已知勒索病毒的实时防御。在服务器被病毒感染前拦截勒索病毒，避免发生文件被病毒加密而进行勒索的情况。开启恶意主机行为防御功能后，可以拦截已知勒索病毒。具体操作，请参见主机防护设置。
重要仅防病毒版及以上版本支持开启恶意主机防御功能。
已安装云安全中心Agent的服务器重新启动后，云安全中心的防御进程需要一定时间才能生效，在该时间内云安全中心将无法拦截勒索病毒、DDoS木马等威胁。
诱捕、拦截新型未知勒索病毒
防勒索（数据备份）
通过购买勒索防护容量，使用防勒索功能创建防护策略对核心数据文件进行备份，在被勒索病毒入侵后及时恢复。
防勒索原理（数据备份）
防勒索是云安全中心联合云备份服务针对勒索病毒入侵提供的数据备份和恢复服务，在服务器或数据库被勒索病毒入侵后，可以快速恢复数据。以下是防勒索功能生效的流程：
在云安全中心控制台开通防勒索服务时，如果您没有开通云备份服务，会为您自动开通云备份服务。
说明开通云备份服务不会产生任何费用。防勒索功能备份数据使用的云备份存储容量费用已包含在勒索防护容量的费用中，不会产生额外费用。
创建防护策略后，会在相应服务器中安装防勒索客户端（即云备份客户端）。
防勒索客户端根据防护策略中配置的时间，读取防护数据并将数据传输到云备份服务端备份。
备份时会消耗一定的服务器资源。
被勒索病毒加密后，可以使用已备份的数据快速恢复。
恢复数据时，数据会从云备份服务端传输到您服务器的指定目录下。
功能使用向导
如何选择服务器防勒索或数据库防勒索
服务器防勒索和数据库防勒索是防勒索服务针对不同类型数据提供的两种防护方式。需要防护数据库文件时，您需要使用数据库防勒索。需要防护服务器指定路径下的文件（非数据库文件）时，您需要使用服务器防勒索。如果需要同时防护数据库文件和服务器指定路径下的文件，您可以同时使用服务器防勒索和数据库防勒索分别防护这两种文件。配置方法如下：
需备份非本地路径时（即挂载路径，例如OSS、NAS挂载到ECS上的地址），请避免在防勒索的防护目录中设置此类路径，以防访问对应服务中的数据时产生额外费用。针对此类情况，建议您直接使用云备份服务。具体操作，请参见快速入门-OSS备份、快速入门-本地NAS备份。
存储在服务器中的数据库文件，必须使用数据库防勒索来防护。
如果您企业的安全运营人员不足，需要有防勒索专家为您提供勒索病毒防范及配置，您可以购买并使用防勒索托管服务。更多信息，请参见防勒索托管服务。
使用流程
使用防勒索功能可以备份您服务器或数据库上的数据。在勒索病毒入侵后，可以通过已备份的数据恢复被加密勒索的文件，降低您的业务风险。
防护限制
容器内数据库防护说明
数据库防勒索备份功能不支持备份位于容器内的数据库。
防勒索支持防护服务器或数据库中的目录，如果您需要防护的目录处于容器中，您可以将容器中的目录映射至服务器中。
要在Docker中实现容器目录与主机（宿主机）目录的映射，只需在启动容器时利用-v参数指定对应的目录路径。具体操作命令格式如下：
docker run -v <宿主机目录>:<容器内目录> <镜像名称>例如，如果您想将容器内的/app/data 目录映射到主机的/home/user/data目录，命令如下：
docker run -v /home/user/data:/app/data your-image-name备份对服务器CPU和内存的要求
根据您需备份的数据量，对服务器最小CPU和内存有以下要求。
备份数据量 | CPU | 内存 |
10万个文件 | 双核 | 4 GB |
100万个文件，8 TB总量 | 双核 | 8 GB |
1,000万个文件 | 四核 | 16 GB |
防勒索功能在备份数据时，数据库防勒索占用的资源可以忽略不计；服务器防勒索时运行的备份进程会占用一定的服务器资源，所占用的资源会根据文件大小和数量浮动，大部分情况下不会影响业务。如果您需要控制备份占用的服务器资源，您可以通过备份速度评估以及限制占用的服务器内存大小来实现。具体操作，请参见备份及恢复速率和如何解决备份客户端OOM问题。
支持的地域
为服务器配置勒索防护策略时，如果待防护的服务器是非阿里云服务器，您需要选择该服务器所在的地域。如果阿里云ECS服务器不在服务器防勒索支持的地域，则该服务器不会出现在可选择的资产列表当中。
从2024年12月20日起，云安全中心支持为位于华北6（乌兰察布）和华南2（河源）等地域的阿里云服务器ECS提供防勒索备份服务。为了确保这些地域内的服务器能够获得有效的防护，您需要在云安全中心控制台防勒索页面，对服务关联角色
AliyunServerRoleForHbrMagpieBridge进行授权。关于该服务关联角色的更多信息，请参见服务关联角色。如果未完成该角色的授权，云安全中心将无法为上述指定地域的服务器提供防勒索备份服务。数据库防勒索不支持经典网络的ECS。
功能名称 | 区域 | 支持的地域 |
服务器防勒索 | 中国内地 |
|
亚太 | 印度尼西亚（雅加达）、日本（东京）、马来西亚（吉隆坡）、中国香港、新加坡、菲律宾（马尼拉） | |
欧洲与美洲 | 美国（硅谷）、美国（弗吉尼亚）、德国（法兰克福）、英国（伦敦） | |
中东 | 沙特（利雅得） | |
数据库防勒索 | 中国内地 |
|
亚太 | 中国香港、新加坡 |
服务器防勒索支持的操作系统版本
数据库防勒索支持的数据库版本和操作系统版本
防勒索网络接入点
阿里云服务器
非阿里云服务器
地域 | 用途 | 接入点域名 |
华东1（杭州） | 管理面，用于防勒索客户端和云备份服务端传输控制信号。 | 100.103.8.175 |
post-cn-mp90rcien05-internal.mqtt.aliyuncs.com | ||
数据面，用于传输备份数据。 | *.oss-cn-hangzhou-internal.aliyuncs.com | |
华东2（上海） | 管理面，用于防勒索客户端和云备份服务端传输控制信号。 | 100.103.83.79 |
post-cn-4590rcihm02-internal.mqtt.aliyuncs.com | ||
数据面，用于传输备份数据。 | *.oss-cn-shanghai-internal.aliyuncs.com | |
华北1（青岛） | 管理面，用于防勒索客户端和云备份服务端传输控制信号。 | 100.100.0.111 |
post-cn-n6w1oj5j506-internal-vpc.mqtt.aliyuncs.com | ||
数据面，用于传输备份数据。 | *.oss-cn-qingdao-internal.aliyuncs.com | |
华北2（北京） | 管理面，用于防勒索客户端和云备份服务端传输控制信号。 | 100.103.83.105 |
post-cn-mp90rcibd04-internal.mqtt.aliyuncs.com | ||
数据面，用于传输备份数据。 | *.oss-cn-beijing-internal.aliyuncs.com | |
华北3（张家口） | 管理面，用于防勒索客户端和云备份服务端传输控制信号。 | 100.100.1.236 |
post-cn-45917akja09-internal.mqtt.aliyuncs.com | ||
数据面，用于传输备份数据。 | *.oss-cn-zhangjiakou-internal.aliyuncs.com | |
华北5（呼和浩特） | 管理面，用于防勒索客户端和云备份服务端传输控制信号。 | 100.100.0.123 |
post-cn-0pp1epkb50h-internal.mqtt.aliyuncs.com | ||
数据面，用于传输备份数据。 | *.oss-cn-huhehaote.aliyuncs.com | |
华南1（深圳） | 管理面，用于防勒索客户端和云备份服务端传输控制信号。 | 100.103.31.50 |
post-cn-v0h0rcijv04-internal.mqtt.aliyuncs.com | ||
数据面，用于传输备份数据。 | *.oss-cn-shenzhen-internal.aliyuncs.com | |
西南1（成都） | 管理面，用于防勒索客户端和云备份服务端传输控制信号。 | 100.100.0.12 |
post-cn-st21piid30e-internal-vpc.mqtt.aliyuncs.com | ||
数据面，用于传输备份数据。 | *.oss-cn-chengdu-internal.aliyuncs.com | |
中国（香港） | 管理面，用于防勒索客户端和云备份服务端传输控制信号。 | 100.103.30.213 |
mqtt-cn-v0h1cmss401-internal.mqtt.aliyuncs.com | ||
数据面，用于传输备份数据。 | *.oss-cn-hongkong-internal.aliyuncs.com | |
新加坡 | 管理面，用于防勒索客户端和云备份服务端传输控制信号。 | 100.103.10.114 |
post-cn-4590unarx01-internal.mqtt.aliyuncs.com | ||
数据面，用于传输备份数据。 | *.oss-ap-southeast-1-internal.aliyuncs.com | |
马来西亚（吉隆坡） | 管理面，用于防勒索客户端和云备份服务端传输控制信号。 | 100.100.0.225 |
mqtt-cn-v0h1k5d7707-internal.mqtt.aliyuncs.com | ||
数据面，用于传输备份数据。 | *.oss-ap-southeast-3-internal.aliyuncs.com |