Implementando Estratégia de Backup Contra Ransomware

Quando Usar

• Projetando arquitetura de backup que resista a tentativas de criptografia e exclusão por ransomware
• Migrando de backup tradicional para backup resiliente a ransomware com armazenamento imutável
• Estabelecendo metas de RPO/RTO para sistemas críticos e validando-as através de testes de restauração
• Isolando credenciais e infraestrutura de backup do domínio de produção do Active Directory
• Atendendo aos requisitos de seguro cibernético para resiliência de backup e capacidades de recuperação testadas

Não use como substituto para proteção de endpoints, segmentação de rede ou planejamento de resposta a incidentes. Backups são a última linha de defesa, não um controle de prevenção primário.

Pré-requisitos

• Inventário de sistemas, aplicações e dados críticos classificados por impacto nos negócios (Nível 1/2/3)
• RPO (Recovery Point Objective) e RTO (Recovery Time Objective) definidos por nível
• Software de backup que suporte repositórios imutáveis (Veeam 12+, Commvault, Rubrik, Cohesity)
• Segmento de rede de backup isolado ou infraestrutura de armazenamento air-gapped
• Credenciais de administrador de backup separadas, não associadas ao domínio AD de produção

Fluxo de Trabalho

Etapa 1: Classificar Ativos e Definir Objetivos de Recuperação

Mapeie todos os sistemas em níveis de recuperação com base no impacto nos negócios:

Documente as dependências entre os sistemas. Controladores de domínio e DNS devem ser recuperados antes dos servidores de aplicação. Servidores de banco de dados antes dos níveis de aplicação.

Etapa 2: Implementar Arquitetura 3-2-1-1-0

Configure o armazenamento de backup seguindo a regra estendida 3-2-1-1-0:

Cópia 1 - Backup primário em armazenamento local:

# Veeam backup job targeting local repository
# Fast restore for operational recovery
Backup Repository: Local NAS (CIFS/NFS) or SAN
Retention: 14 days of restore points
Encryption: AES-256 with password not stored in AD

Cópia 2 - Backup secundário em mídia diferente:

# Replicate to secondary site or cloud
# Veeam Backup Copy Job or Scale-Out Backup Repository
Target: AWS S3 / Azure Blob / Wasabi / tape library
Retention: 30 days
Transfer: Encrypted TLS 1.2+ in transit

Cópia 3 - Cópia offsite:

# Geographically separated from primary and secondary
# Cloud object storage in different region or physical tape rotation
Target: Cross-region cloud storage or Iron Mountain tape vaulting
Retention: 90 days

+1 - Cópia imutável ou air-gapped:

# Cannot be modified or deleted for defined retention period
# Veeam Hardened Repository on Linux with immutable flag
# Or AWS S3 Object Lock in Compliance mode
# Or physical air-gapped tape

+0 - Zero erros na verificação de restauração:

# Automated restore testing using Veeam SureBackup or equivalent
# Scheduled weekly for Tier 1, monthly for Tier 2/3
# Verify boot, network connectivity, and application health

Etapa 3: Isolar Credenciais de Backup

Operadores de ransomware visam a infraestrutura de backup comprometendo credenciais de administrador de backup através do Active Directory:

1. Contas de administrador de backup separadas do domínio AD de produção. Use contas locais nos servidores de backup ou um domínio de gerenciamento de backup dedicado.
2. Segmento de rede de backup dedicado com regras de firewall permitindo apenas tráfego de backup (portas específicas, IPs de origem/destino específicos).
3. MFA no acesso ao console de backup usando tokens de hardware ou aplicativos autenticadores, não SMS.
4. Desabilite o RDP nos servidores de backup. Use gerenciamento out-of-band (iLO/iDRAC/IPMI) para acesso de emergência.
5. Remova servidores de backup do domínio ou coloque-os em uma OU dedicada com herança de GPO restrita.

# Linux Hardened Repository - disable SSH password auth
sudo sed -i 's/PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo systemctl restart sshd

# Set immutable flag on backup files (XFS filesystem)
sudo chattr +i /mnt/backup/repository/*

# Veeam Hardened Repository uses single-use credentials
# that are not stored on the Veeam server after initial setup

Etapa 4: Configurar Armazenamento Imutável

Repositório Linux Endurecido Veeam:

…