Validando a Integridade de Backups para Recuperação

Quando Usar

Use esta funcionalidade quando:

• Verificar a integridade dos backups antes de confiar neles para recuperação de ransomware.
• Construir pipelines automatizados de validação de backup que rodam após cada job de backup.
• Auditar a infraestrutura de backup para confirmar a recuperabilidade para conformidade (SOC 2, ISO 27001, NIST CSF RC.RP-03).
• Detectar corrupção silenciosa de dados (bit rot) no armazenamento de backup antes que um desastre ocorra.
• Validar que backups imutáveis ou isolados (air-gapped) não foram adulterados.

Não use para configuração inicial ou agendamento de backups. Esta funcionalidade foca na validação pós-backup.

Pré-requisitos

• Acesso ao armazenamento de backup (local, NAS, S3, Azure Blob, GCS).
• Python 3.9+ com hashlib (biblioteca padrão).
• Manifestos de backup ou arquivos de hash de linha de base para comparação.
• Ambiente de restauração isolado para testes de restauração.
• Acesso à CLI da ferramenta de backup (restic, borgbackup, rclone ou específica do fornecedor).

Fluxo de Trabalho

Passo 1: Gerar Manifesto de Hash de Linha de Base

Crie uma "impressão digital" criptográfica de cada arquivo no momento do backup:

# Generate SHA-256 manifest for a directory
find /data/production -type f -exec sha256sum {} \; > /manifests/prod_baseline_$(date +%Y%m%d).sha256

# Verify manifest format
head -5 /manifests/prod_baseline_20260319.sha256
# e3b0c44298fc1c149afbf4c8996fb924...  /data/production/config.yaml
# a7ffc6f8bf1ed76651c14756a061d662...  /data/production/database.sql

Passo 2: Verificar a Integridade do Arquivo de Backup

Verifique se o próprio arquivo de backup não está corrompido:

# Restic: verify backup repository integrity
restic -r s3:s3.amazonaws.com/backup-bucket check --read-data

# Borg: verify backup archive
borg check --verify-data /backup/repo::archive-2026-03-19

# Tar with gzip: verify archive integrity
gzip -t backup_20260319.tar.gz && echo "Archive OK" || echo "Archive CORRUPTED"

# AWS S3: verify object checksums
aws s3api head-object --bucket backup-bucket --key daily/2026-03-19.tar.gz \
  --checksum-mode ENABLED

Passo 3: Realizar Teste de Restauração em Ambiente Isolado

# Restore to isolated test directory
restic -r s3:s3.amazonaws.com/backup-bucket restore latest --target /restore-test/

# Generate hash manifest of restored data
find /restore-test -type f -exec sha256sum {} \; > /manifests/restored_$(date +%Y%m%d).sha256

# Compare baseline and restored manifests
diff <(sort /manifests/prod_baseline_20260319.sha256) \
     <(sort /manifests/restored_20260319.sha256)

Passo 4: Validar a Completude dos Dados

# Count files in original vs restored
echo "Original: $(find /data/production -type f | wc -l) files"
echo "Restored: $(find /restore-test -type f | wc -l) files"

# Check total size
echo "Original: $(du -sh /data/production | cut -f1)"
echo "Restored: $(du -sh /restore-test | cut -f1)"

# Database consistency check after restore
pg_restore --list backup.dump | wc -l  # Count objects in dump
psql -c "SELECT schemaname, tablename FROM pg_tables WHERE schemaname='public';" restored_db

Passo 5: Detectar Artefatos de Ransomware em Backups

Antes de confiar em um backup para recuperação, escaneie por indicadores de ransomware:

# Check for common ransomware file extensions
find /restore-test -type f \( \
  -name "*.encrypted" -o -name "*.locked" -o -name "*.crypt" \
  -o -name "*.ransom" -o -name "*.pay" -o -name "*.wncry" \
  -o -name "*.cerber" -o -name "*.locky" -o -name "*.zepto" \
\) -print

# Check for ransom notes
find /restore-test -type f \( \
  -name "README_TO_DECRYPT*" -o -name "HOW_TO_RECOVER*" \
  -o -name "DECRYPT_INSTRUCTIONS*" -o -name "HELP_DECRYPT*" \
\) -print

# Check file entropy (high entropy = possible encryption)
# Files with entropy > 7.9 out of 8.0 are likely encrypted
python agent.py --entropy-scan /restore-test

Passo 6: Automatizar e Agendar a Validação

# cron-based validation schedule
# Run nightly after backup window
0 4 * * * /opt/backup-validator/agent.py --validate-latest --notify-on-failure
# Weekly full restore test
0 6 * * 0 /opt/backup-validator/agent.py --full-restore-test --config /etc/backup-validator/config.json

Conceitos Chave

…