系统漏洞文件怎么禁止备份

某次等保测评，系统客户机房里一台Windows Server 2008被扫出十几个高危漏洞。漏洞我们准备打补丁，文件结果补丁装到一半直接报错——系统提示“存储空间不足”。禁止查了半天，备份罪魁祸首是系统系统自带的备份功能把C:\Windows\System32\config下的注册表文件连同补丁缓存一起复制到了备份分区，备份分区满了，漏洞补丁文件写不进去。文件

这事不罕见。禁止Windows的备份卷影复制（VSS）和文件历史记录会默默把所有文件纳入备份范围，包括系统漏洞库、系统补丁安装日志、漏洞甚至是文件存放恶意软件样本的隔离目录。你辛辛苦苦下载的禁止补丁包，还没来得及执行，备份先被备份进程啃掉一块磁盘空间——更麻烦的是，某些安全工具（比如EDR）的病毒库更新文件会被备份组件锁定，导致实时监控失效。

所以“禁止备份系统漏洞相关文件”不是洁癖，是刚需。但别急着去控制面板里关掉整个备份服务——那会误伤正常数据保护。正确做法是精准排除。

拿Windows Server来说，打开“备份计划”，在“排除文件”列表里手动添加关键路径。首当其冲是C:\Windows\SoftwareDistribution\Download——这是Windows Update的临时补丁存放地，备份它纯属浪费空间。其次是C:\ProgramData\Microsoft\Windows Defender\Scans\History，这里存着病毒扫描的历史记录和隔离区文件，备份它们可能把恶意代码复制到备份介质，等于给自己埋雷。

更隐蔽的是注册表。系统漏洞修复往往伴随注册表改动，而C:\Windows\System32\config\REGISTRY这个文件（注意不是整个config目录）在系统运行时被占用，普通备份工具根本读不了。有些管理员图省事，直接备份整个config文件夹，结果备份任务在凌晨三点失败，日志里全是“文件被占用”的报错。正确姿势是使用卷影复制（VSS）功能，但要在备份脚本里排除HKLM\SYSTEM和HKLM\SOFTWARE这两个关键键值的临时快照——具体操作是在备份前用reg save命令导出，而不是让备份工具直接抓取活动注册表。

Linux环境也有类似问题。比如Ubuntu的/var/cache/apt/archives存放着下载的deb包，如果系统被植入恶意源，这里可能混入带漏洞的旧版本软件包。用tar做全盘备份时，记得加--exclude参数跳过这个目录。还有/tmp下某些安全扫描器生成的临时规则文件，备份它们会拖慢整个流程——我见过最夸张的案例，一个企业的备份系统把/tmp下1.2万个临时文件全部打包，导致备份耗时从40分钟暴增到6小时。

最后说个容易忽略的坑：备份软件自身的缓存目录。比如Symantec Backup Exec的C:\Program Files\Veritas\Backup Exec\Data，这里存着备份索引和临时拼接文件。如果漏洞扫描工具扫描到这个目录，会误报为“可疑文件”——因为缓存里确实包含恶意软件的特征码片段。正确的排除方法不是删缓存，而是在备份策略里把该目录设置为“仅备份元数据”，或者干脆禁用该目录的卷影复制。

实际操作中，别指望一次配置就一劳永逸。Windows更新会重置某些排除项——比如每个月的补丁星期二之后，SoftwareDistribution文件夹的权限会被重置，你需要重新检查排除列表。我习惯在每次大版本更新后跑一个PowerShell脚本，自动对比当前备份排除项和预设清单，有出入就发告警邮件。这套做法帮我省了至少三次半夜的紧急磁盘清理。