Revisado em por Roberto Lima
Neste artigo
Por que Backup Tradicional Não Basta
Ransomware moderno evoluiu. Não basta mais criptografar arquivos - atacantes agora especificamente buscam e destroem backups antes de acionar a criptografia. Se seus backups estão online e acessíveis, eles serão comprometidos junto com os dados de produção.
Cyber Resilience e a capacidade de antecipar, resistir, recuperar e adaptar a ataques cibernéticos. Backup e um componente central, mas precisa ser projetado especificamente para resistir a ataques sofisticados.
Como ransomware ataca backups
- Credenciais de backup: Compromete contas de admin de backup
- Delecao direta: Apaga snapshots e cópias antes de criptografar
- Criptografia de repositórios: Criptografa o próprio storage de backup
- Corrupcao silenciosa: Corrompe backups gradualmente por semanas
- Exfiltração: Rouba dados antes de criptografar (double extortion)
A Regra 3-2-1-1-0
A clássica regra 3-2-1 evoluiu para 3-2-1-1-0 para enfrentar ameaças modernas:
Regra 3-2-1-1-0
O "1" offline/imutável e o diferencial crítico contra ransomware. Sem isso, todas as suas cópias podem ser comprometidas simultaneamente.
Backup Imutável
Backup imutável e uma copia que não pode ser alterada ou deletada durante o período de retenção, mesmo por administradores com credenciais privilegiadas.
Implementacoes de imutabilidade
- Object Lock (S3): AWS S3 Object Lock em modo Compliance impede delecao
- WORM storage: Write Once Read Many - hardware ou software
- Immutable snapshots: Funcionalidade nativa de soluções de backup
- Linux hardened repository: Repositório sem acesso direto de admins
Considerações importantes
- Imutabilidade deve ser enforced por mecanismo que o atacante não controla
- Período de retenção imutável deve cobrir tempo de detecção de ransomware
- Custo de storage aumenta (não pode deletar versões antigas)
- Teste se a restauração de backups imutaveis funciona
Imutabilidade falsa
Cuidado com "imutabilidade" que pode ser desabilitada por admin. Se o atacante compromete as credenciais certas e consegue desabilitar a imutabilidade, ela não protege. Prefira soluções onde a imutabilidade e enforced externamente (cloud provider, hardware dedicado).
Air-Gapped Backup
Air-gap e a separação física entre backup e rede de produção. Se não ha conexão, atacantes não conseguem alcançar.
Formas de air-gap
- Tape offline: Fitas armazenadas fora do library robotico
- Disco removivel: HDDs/SSDs fisicamente desconectados após backup
- Air-gapped vault: Storage conectado apenas durante janela de backup
- Cloud com credenciais separadas: Conta cloud sem conexão com AD corporativo
Desafios operacionais
- Processo manual aumenta RTO (tempo de recuperação)
- Janelas de backup limitadas pelo tempo de conexão
- Risco de erro humano no processo
- Custos operacionais maiores
Hibrido: imutável + air-gap
A melhor estratégia combina ambos: backups frequentes imutaveis online para RPO baixo, mais cópias air-gapped periódicas (semanal/mensal) como última linha de defesa.
Testes de Restore
Backup que não foi testado não e backup - e esperanca. O "0" da regra 3-2-1-1-0 significa zero erros, verificado por testes regulares.
Tipos de teste
- Verificação de integridade: Checksum automático de cada backup
- Restore de arquivos: Recuperar arquivos específicos
- Restore de sistema: Recuperar servidor completo em ambiente isolado
- DR drill: Simulação completa de desastre com failover
Frequência recomendada
RPO, RTO e Métricas
RPO - Recovery Point Objective
RPO e a quantidade máxima de dados que você aceita perder, medida em tempo. RPO de 1 hora significa que você pode perder até 1 hora de dados.
- RPO crítico (minutos): Replicação sincrona, CDP (Continuous Data Protection)
- RPO baixo (1-4 horas): Snapshots frequentes, replicação assincrona
- RPO padrão (24 horas): Backup diário tradicional
RTO - Recovery Time Objective
RTO e o tempo máximo aceitável para restaurar operações após desastre.
- RTO crítico (minutos): Hot site, failover automático
- RTO baixo (1-4 horas): Warm site, VMs pré-provisionadas
- RTO padrão (24-72 horas): Cold site, restore de backup
Outras métricas
- Backup success rate: % de backups concluidos com sucesso (meta: >99%)
- Restore success rate: % de restores que funcionam (meta: 100%)
- Time to last known good: Quanto tempo para achar backup limpo após ataque
- Backup window: Tempo para completar backup (deve caber na janela)
Disaster Recovery vs Backup
Backup e a copia dos dados. DR (Disaster Recovery) e a capacidade de restaurar operações completas. São coisas diferentes:
- Backup: Dados salvos, mas servidores/aplicações precisam ser reconstruidos
- DR: Ambiente alternativo pronto para assumir, com dados e infraestrutura
Componentes de DR
- Site alternativo: Local para rodar operações (físico, cloud, hibrido)
- Replicação: Dados sincronizados com site alternativo
- Runbooks: Procedimentos documentados de failover
- Testes: Drills regulares para validar capacidade
- Comunicação: Plano de comunicação durante crise
DR como serviço (DRaaS)
Provedores cloud oferecem DR como serviço: Azure Site Recovery, AWS Elastic Disaster Recovery, Zerto, etc. Simplificam implementação mas requerem planejamento adequado.
Perguntas Frequentes
Depende da configuração. Backup cloud com mesmas credenciais AD corporativo pode ser comprometido junto. Configure: conta cloud separada, MFA dedicado, imutabilidade habilitada (Object Lock), e sem conexão direta com rede de produção além do agente de backup.
Tempo médio de detecção de ransomware e ~21 dias (IBM). Retenção imutável deve cobrir pelo menos 30-60 dias para garantir que você tem um ponto de restauração limpo. Para ataques mais sofisticados com corrupcao gradual, considere 90+ dias.
Decisão difícil sem resposta universal. Pagar não garante recuperação (muitos não recebem chave ou chave não funciona). Pagar financia criminosos e pode tornar-lo alvo novamente. Mas se dados são vitais e não ha alternativa, pode ser a única opção. Melhor: investir em prevenção e backup resiliente para nunca chegar nessa situação.
Conclusão
Em um mundo onde ransomware ataca especificamente backups, a estratégia tradicional de "faça backup e estará seguro" não funciona mais. Cyber resilience exige backups projetados para resistir a atacantes sofisticados que tem tempo e recursos.
A regra 3-2-1-1-0 e o novo padrão mínimo: três cópias, duas midias, uma offsite, uma imutável/offline, zero erros verificados. Cada componente adiciona uma camada de proteção contra diferentes cenários de ataque.
Mas backup e apenas metade da equação. Testes regulares de restore são igualmente importantes - descobrir que o backup não funciona durante uma crise e o pior cenário possível. Invista em drills, automatize verificações, e trate backup como componente crítico de segurança, não apenas operacional.
Precisa de Ajuda com Cyber Resilience?
Oferecemos assessment de backup, planejamento de DR e implementação de estratégias resilientes contra ransomware.
Falar com Especialista
