O que é backup imutável e como ele ajuda contra ransomware?

Como a imutabilidade funciona na prática?

O princípio é conhecido pela sigla WORM, do inglês write once, read many: o dado é gravado uma vez e pode ser lido muitas vezes, mas não pode ser alterado até o fim da retenção. As implementações mais comuns são:

• Armazenamento de objetos com bloqueio: serviços em nuvem e muitos storages compatíveis com o protocolo S3 oferecem bloqueio de objetos (Object Lock), que trava cada objeto por um prazo. Ser compatível com S3 não significa ter esse recurso, por isso ele precisa ser confirmado com o fornecedor. No Azure, o recurso equivalente é o armazenamento imutável de blobs.
• Repositórios Linux reforçados: servidores configurados para marcar os arquivos de backup como imutáveis, com acesso administrativo restrito e credenciais usadas apenas na configuração inicial.
• Appliances de backup: equipamentos dedicados com snapshots protegidos e sistema operacional fechado.
• Fitas WORM: mídias que não permitem regravação.

Alguns serviços oferecem dois modos. Em um, contas com permissão especial ainda conseguem remover o bloqueio. No outro, chamado por vários fornecedores de modo de conformidade, ninguém reduz a retenção antes do prazo, nem o administrador principal da conta. O segundo modo protege mais, mas exige cuidado na configuração, porque um prazo definido por engano não pode ser desfeito.

Qual prazo de imutabilidade escolher?

Não existe um número único. O prazo deve cobrir o tempo que um invasor pode permanecer no ambiente sem ser detectado, somado ao tempo de investigação. Se a retenção imutável for curta, o atacante pode simplesmente esperar que as cópias limpas expirem.

Prazos longos também têm efeitos. Como os dados não podem ser apagados antes do fim do bloqueio, o consumo de armazenamento cresce e precisa ser planejado. Informações gravadas por engano, inclusive dados pessoais, permanecem até o prazo acabar. Uma configuração comum combina alguns dias ou semanas de cópias imutáveis frequentes com uma retenção mais longa em outro nível de armazenamento.

O que perguntar ao fornecedor antes de contratar?

1. A imutabilidade é aplicada pelo próprio armazenamento ou apenas pelo software de backup?
2. Quem consegue reduzir a retenção, excluir o repositório ou encerrar a conta onde as cópias estão?
3. O console de administração exige MFA, permite separar funções e pede aprovação de uma segunda pessoa para ações destrutivas?
4. Como o sistema se protege de alterações no relógio, já que a retenção depende da data?
5. Qual é o custo de armazenamento para o prazo de retenção pretendido?
6. Existe verificação de malware nas cópias antes da restauração?

Como o backup imutável se encaixa na proteção contra ransomware?

Ele é uma das camadas que permitem recuperar o ambiente sem negociar com criminosos, e funciona melhor em conjunto. A regra de backup 3-2-1 distribui as cópias em locais diferentes. Credenciais do backup separadas do domínio de produção, com MFA e gestão de acesso privilegiado (PAM), reduzem a chance de o atacante chegar ao console. Um EDR ajuda a detectar a intrusão antes da fase de criptografia.

Na recuperação, o recomendado é restaurar primeiro em um ambiente isolado, confirmar que o ponto escolhido está limpo e só então devolver os sistemas à produção. Sem essa etapa, a empresa corre o risco de restaurar o próprio malware junto com os dados.