雲端已成為企業普遍使用的IT環境，各式各樣的企業IT應用也陸續與雲端環境結合，轉型為基於雲端的服務，資料備份應用也不例外，Druva公司發展的Data Resiliency Cloud便是「備份即服務（Backup-as-a-Service ，BaaS）」的代表性產品，底層建構在AWS公有雲平台基礎環境之上，可支援從個人端點、資料中心伺服器、公有雲SaaS服務，以及公有雲基礎設施服務的資料保護，提供雲端備份、災難復原、電子文件探索、法規遵循、勒索軟體復原，以及長期資料歸檔保留等應用。

源自印度的雲端服務平台

Druva一詞在梵文是「北極星」的意思，這家公司2008年成立於印度浦納（Pune），2012年遷移到美國矽谷。

在發展歷史動輒20、30年的備份產品領域，Druva仍然算是新生代廠商，不過成長速度相當驚人，初期員工雖然只有7人，但現今已擴張到千人以上，成為備份與雲端資料保護服務領域的要角。例如，在Forrest於2021年底發布的SaaS App資料保護市調報告，Druva便名列領導者領域，排名還超過許多更資深的資料保護軟體廠商。在2022年中，Gartner也將Druva列入企業備份與還原軟體解決方案魔力象限排名。

Druva最初起家的產品，是針對端點（Endpoint）環境的備份軟體inSync，2008年推出首個版本，適用於個人端平台與行動裝置的集中資料備份與共享，由於獲得美國NASA採用而聲名大噪，一開始inSync仍採用傳統的用户端備份伺服器部署，當該公司搬到矽谷後，認識到雲端的潛力，從2012年開始將服務轉移到雲端，為inSync增加了基於AWS的雲端部署型態，也讓Druva轉型成為基於雲端的備份BaaS服務商。

在2014年，Druva又踏出了一大步，推出基於AWS環境的雲端原生的備份與歸檔解決方案Phoenix，又被稱為Druva for Hybrid Workload，適用於伺服器端平台的資料保護，包括虛擬化平台VM與資料庫等，可與inSync互補，更完整涵蓋用户環境的資料保護。

後續Druva又將技術發展的觸角延伸到雲端原生平台的資料保護應用需求，先推出為SaaS應用程式提供備份服務的inSync for CouldApp，起初支援Office 365，接著延伸至Salesforce等SaaS平台。2018年他們併購了愛爾蘭新創廠商CloudRanger，取得AWS備份與災難還原產品。

於是inSync、inSync for CouldApp、Phoenix與CloudRanger，便成為Druva產品線的4大支柱，現都屬於Druva Data Resiliency Cloud雲端服務平台。

原本Druva還保留inSync的本地端部署版本inSync On-Premises，不過，這個版本已於2021年3月31日終止服務，使得Druva成為100%的純雲端SaaS服務商，不再有本地端部署產品。

對於台灣市場而言，早在Druva仍聚焦端點裝置備份，便有廠商引進Druva的inSync。而當Druva轉型到雲端服務，目前有銀興與敦新等兩家經銷商。

除了Druva原廠本身的經營與發展，企業級儲存廠商Dell幾年前也採用Druva的inSync與Phoenix，推出掛上自有品牌的Apex Backup Services雲端備份服務。

單一介面全局管理資料保護
無論用户端環境包含哪些類型的工作負載，Druva都可利用單一的控制台介面，總覽監控與管理用户端環境的備份，以及資料保護作業狀況。 圖片來源_Druva

提供4種工作負載的資料保護

Druva Data Resiliency Cloud目前將支援的工作負載分為4大類型：

● 資料中心（Data Center）：屬於以前Druva Phoenix的涵蓋範圍，依照每月每TB容量計費，可以支援用户本地端的伺服器、NAS、資料庫，VM虛擬化環境，以及AWS VMware Cloud環境的資料保護。

● SaaS應用（SaaS Applications）：屬於早先 Druva inSync for CloudApp的涵蓋範圍，依用户人數以每月每人計費，支援Microsoft 365、Google Workspace、Salesforce，針對3種SaaS平台應用服務提供資料保護。

● 端點（Endpoints）：屬於早先 Druva inSync的涵蓋範圍，亦是依照用户人數以每月每人計費，提供個人電腦與行動裝置的資料保護，包括Windows、MacOS、Linux與Android、iOS等平台，並能與MobileIron、AirWatch等行動裝置管理軟體整合。

● AWS負載（AWS Workloads）：屬於原本 CloudRanger的涵蓋範圍，專門對應AWS公有雲環境的資料保護，依照受保護雲端資源的數量計費，可支援AWS主要的基礎設施服務（EC2、EBS等）、資料庫與容器服務（RDS、Redshift、DynamoDB、Kubernetes），又分為免費版（Freemium）、Enterprise與Elite等3種等級，以免費版而言，只能保護最多20個AWS雲端資源與2個AWS帳户，Enterprise與Elite版則能保護更多AWS資源與帳户。

無論用户環境採用哪些工作負載類型的服務，Druva都是透過單一管理介面，讓用户管理帳户下的所有資料保護環境。

提供異常偵測及早發現問題
Druva平台整合了基於機器學習的異常偵測功能，可偵測用户端不尋常的存取行為，包括異常的刪除、加密、建立與修改動作，然後向用户發出警示。 圖片來源_Druva

基於AWS環境的備份還原服務

Druva Data Resiliency Cloud是建構在AWS公有雲平台上的服務，用户可從全球14個AWS服務區域中，選擇自身資料的儲存位置。

Druva以S3物件儲存服務，作為儲存用户備份資料的空間，再結合自家全域重複資料刪除與自動化分層儲存技術，提供用户儲存資料的空間效率，以及成本效益。

對於多種類型的用户端工作負載，Druva分別採取不同的備份技術。例如，用於端點與資料中心備份的inSync與Phoenix，是透過用户端代理程式（Agent）驅動；對於用於公有雲平台備份的inSync SaaS與CloudRanger，則是透過API來運作。

關於用户端環境的設定，Druva宣稱只需15分鐘就能完成，包括代理程式的安裝、與Druva網站的登錄與註冊等，隨後就能設定備份政策，將用户端資料備份到Druva的雲端環境。

Druva目前所執行的備份處理作業，是基於「永遠增量備份」（Incremental-forever backup）的模式，除了首次備份是完整備份，後續全都採用節省資料量的增量備份。預設以每日為備份作業週期，用户也能設定更短暫的備份間隔，例如inSync允許設定最短20分鐘的備份週期，以建立更密集的還原點。

在抑制資料儲存空間成長的部分，Druva的備份服務也結合來源端全域重複資料刪除功能（Global Source-side inline deduplication），在用户資料實際送上雲端之前，會先在用户端進行全域重複資料刪除（包括首次備份在內），藉此將傳送的資料量降到最低，同時，也能減少備份傳輸作業帶來的衝擊。

針對Phoenix服務，Druva還整合了自動分層儲存與傳輸加速功能，可自動將備份資料從標準的S3儲存區，轉存到成本更低的S3 Glacier，或是S3 Glacier Deep Archive儲存區，還可以在用户端部署稱作CloudCache的Proxy伺服器，作為用户本地與雲端間的快取，以便加快傳輸速度。

還原方面，Druva所有備份服務都能提供個別檔案或物件等級的精細還原，在Phoenix與CloudRanger服務當中，還有基於VM或執行個體的雲端災難復原功能Cloud DR，可利用雲端上的備援VM，迅速接手用户端失效的工作負載。而針對inSync與inSync SaaS服務，Druva另外提供基於metadata的電子文件探索的選項，可因應稽核或法規遵循的需求。

透過Data Lock功能防止資料刪改
透過啟用Data Lock功能，我們可以在設定的保護期限內，確保用户存放在Druva平台的備份資料不會遭到刪除或修改，作為預防誤刪或勒索軟體威脅的最終手段。 圖片來源_Druva

簡易的應用與訂閲模式

相較於市面上眾多資料備份還原的解決方案，Druva的主要訴求是使用簡易與較低的整體成本。

比起傳統的用户本地端備份產品，Druva這類雲端BaaS備份服務，主要的優勢，是能夠省下建置與管理備份基礎設施的負擔，只要對外網路連線正常，用户就能透過按需訂閲的形式，從Druva平台取得備份與其他相關服務。

而比起公有雲服務商自身提供的備份BaaS服務，如AWS的AWS Backup、Azure的Azure Backup等，Druva這種第三方的BaaS備份服務，能涵蓋更廣泛的用户端應用環境。事實上，目前的AWS Backup與Azure Backup，分別只支援AWS與Azure環境的備份，Druva則涵蓋多種環境，從端點、用户端資料中心，到雲端SaaS服務的備份，均能包辦。

Druva另一大賣點是提供兩大公雲業者備份服務沒有的重複資料刪除功能，擁有更好的儲存空間運用效率，有助減少傳輸負擔與儲存成本。

也就是説，Druva兼具傳統備份與雲端BaaS的優點，既擁有傳統備份解決方案的廣泛應用環境支援能力，以及可顯著節省儲存空間的重複資料刪除功能，也具備雲端BaaS的按需訂購靈活性與輕量管理負擔。

Druva的計價模式也比一般BaaS服務更為簡易，例如AWS Backup依照用户的備份來源端服務類型、備份資料量、還原資料量，以及跨區域傳輸備份資料量，以每月每GB為基準來計費。Druva雖然是建立在AWS環境，但用户只需訂閲Druva的服務即可使用，且單純以備份空間使用量或用户人數來計費，資料的備份上傳與還原下載，或是在不同S3儲存層之間的移動傳輸，都無須計費。

但Druva平台目前較大侷限，是對公有雲基礎設施的支援僅限AWS，只有搭配AWS部署的選項，對公有雲基礎設施的備份支援，也僅限AWS。

Druva雲端平台的安全性功能

透過多層次安全機制，結合專門的勒索軟體防護功能，為Druva備份儲存環境提供足以抵禦資安威脅的韌性

備份是企業確保資料安全的基本手段，藉由保存資料複本的方式，來保護原始資料，當災原始資料受損時，利用資料複本來還原原始資料。但備份系統現在也已成為資安威脅攻擊的目標，一旦備份複遭到感染或受損，也就失去保護原始資料的能力。

因而提供能否足以抵禦資安威脅的韌性，也就成為當前備份產品不可或缺的重點能力之一，Druva自然也不例外，為其Druva Data Resiliency Cloud平台提供了一系列安全性功能，以確保用户保存的備份複本可用性。

利用精選快照合成最佳還原點
藉由Druva精選快照（Curated Snapshot）功能，我們可在指定時間範圍內，橫跨多個還原時間點的快照複本，掃描出個別檔案的最新完好複本，然後合成最佳的還原複本。 圖片來源_Druva

我們可以將Druva平台提供的安全性功能，區分為3個層次：

基礎設施的可用性與耐久性 憑藉底層AWS平台本身使用的基礎設施，賦予Druva服務平台99.5%的可用性，以及99.999999999%的資料耐久性（11個9），同時，還擁有橫跨全球十多個區域的服務能力。

資料傳輸的安全性 像Druva這類建構在雲端上的BaaS備份服務，完全依靠跨WAN的資料傳輸來進行備份與還原作業，因而資料傳輸的安全性，也就成為確保整體安全性的頭號課題。Druva目前提供限定的存取通道與傳輸加密等2種機制，來確保資料傳輸的安全性：

首先，備份與還原的資料傳輸作業，都必須透過部署在用户端裝置的Druva專屬代理程式來啟動與執行（如inSync與Phoenix），或是在平台存取控制下進行連接（如CloudRanger），不允許透過其他方式來連接Druva平台。

其次，從用户端到Druva雲端平台的資料傳輸過程中，會先透過重複資料刪除，將資料分解成chunk區塊，然後透過TLS 1.2加密每個區塊，再傳送上網路。

資料儲存的安全性 Druva透過隔離、資料分解與加密，以及異常檢測與刪除預防等3種機制，來保護存放在Druva雲端平台的用户資料。

首先，用户端環境與Druva雲端平台之間是Air-gap隔離的，備份資料存放在Druva的S3儲存區，只有Druva的S3帳號才有存取這些儲存區的權限，用户端必須經由Druva的中介來存取備份資料。

其次，Druva可利用重複資料刪除提供進一步的保護，從用户端傳送到Druva的備份資料，是以分解成重複刪除後的chunk區塊形式，寫入Druva的S3儲存區，再以AES 256進行靜態加密。而這些chunk區塊本體，與組合、還原這些chunk區塊所需的metadata，彼此是相互隔離、獨立存放，即便chunk區塊外洩，也無法被組合、回復到原始狀態。

最後，Druva提供了一系列預防錯誤或惡意刪除的機制，包括：基於機器學習的異常行為檢測功能，以及延遲刪除功能。

至於最徹底的防止刪除手段，是在備份政策中啟用Data Lock鎖定功能，可藉此建立不可變的備份，在設定的保留期限內，徹底防止備份遭到刪除或修改。

專門的勒索軟體防護機制

若用户受保護的工作負載類型，屬於檔案伺服器、NAS，或是個人電腦、手機等端點裝置（即inSync與Phoenix涵蓋的範圍），就能額外選購勒索軟體還原模組（Ransomware Recovery），提供5項因應勒索軟體的功能：

（1）存取洞察（Access Insights） 監控與彙整顯示用户端備份環境的所有存取行為。

（2）異常偵測 偵測與警示用户端資料存取行為模式中的異常。

（3）隔離 隔離與刪除受感染的快照複本，降低感染擴散的風險。

（4）還原掃描 當用户要從雲端還原資料時，Druva會先行掃描要還原的快照複本，然後將確認乾淨的複本傳送回用户端。

（5）精選快照 資料遭到感染時，可跨不同還原點找出個別檔案最新完好複本，藉此減少資料的損失量。

前幾項功能在其他產品也可見到，不過，精選快照（Curated Snapshot）是Druva獨有的，我們會在下面提出進一步説明。

提供獨特的精選快照還原功能

一般在進行資料還原時，是將整個儲存區的資料還原到某一個指定時間點狀態。然而面對勒索軟體攻擊時，由於勒索軟體有一定的潛伏期，加密與感染不同檔案的時間也有異，若採用一般資料還原方式，往往仍會導致相當大量的資料損失。

以上圖為例，勒索軟體在第125天開始發作，依序感染4個檔案，然後到了第128天被資安系統察覺而進行應變處置。依照傳統還原作法，是把整個儲存區還原到第124天的快照複本，但如此一來，用户也會損失4天份的資料。

當然用户也可透過檔案層級的還原功能，逐一尋找不同還原時間點的複本，找出個別檔案最新的完好複本來還原，以減少資料的損失，但如果感染規模較大，這種作法便過於耗時，不再可行。對於Druva的用户而言，則能透過精選快照（Curated Snapshot）功能，將這個程序予以自動化，可跨多個還原時間點的快照複本，自動掃描與尋找個別檔案的完好複本，然後將不同檔案最新的完好複本，合成一個最佳的還原點複本。

例如在上面的圖解中，Druva可選出檔案1、2、3、4最新的完好版本，也就是v5、v2、v3與v1，組成最佳的還原複本，將資料量損失降到只有1天。 圖片來源_Druva