Backup imutável com proteção contra ransomware é a diferença entre uma empresa que retoma a operação em horas e uma que paga resgate ou perde dados definitivamente. Por isso, quando o LockBit 5.0 ou qualquer grupo de ransomware moderno ataca, a primeira ação do malware não é criptografar os dados de produção — é localizar e criptografar ou deletar os backups. Contudo, backups com imutabilidade real — configurados com Object Lock em modo Compliance — ninguém consegue deletar, modificar ou criptografar, nem pelo administrador da conta de storage. Além disso, o backup imutável resolve o ponto fraco central da estratégia 3-2-1 convencional, que os grupos de ransomware exploram sistematicamente.

O que é backup imutável e como funciona tecnicamente

Object Lock: a base técnica da imutabilidade

O Object Lock é uma funcionalidade de storage que marca cada objeto (arquivo de backup) com um período de retenção durante o qual ninguém pode alterar, deletar ou sobrescrever esse arquivo. Portanto, um arquivo de backup marcado com Object Lock em modo Compliance o root da conta de storage não consegue remover, nem por credenciais comprometidas pelo ransomware, nem por qualquer API ou protocolo de storage.

Além disso, o Object Lock opera em dois modos. O modo Governance permite que administradores com permissão específica removam a proteção. Contudo, o modo Compliance não permite exceções — nem o fornecedor de cloud consegue remover a retenção antes do prazo definido. Por isso, para proteção real contra ransomware, apenas o modo Compliance garante a imutabilidade necessária.

WORM: Write Once, Read Many

Antes do Object Lock nas nuvens modernas, o conceito de imutabilidade era implementado via WORM — Write Once, Read Many. Portanto, discos WORM físicos e fitas LTO em modo WORM são formas de imutabilidade offline. Contudo, a gestão de fitas e discos WORM tem custo operacional alto e verificação de integridade mais complexa do que Object Lock em cloud.

Por isso, a tendência do mercado é combinar WORM offline (para desconexão total da rede) com Object Lock em cloud (para gestão automatizada e verificação de integridade por checksum). Nesse sentido, a estratégia 3-2-1-1 emerge como o padrão recomendado: três cópias, dois meios diferentes, uma cópia offsite e uma cópia imutável.

Por que o backup convencional não protege contra ransomware moderno

O ransomware ataca os backups antes da produção

Os grupos de ransomware mais sofisticados — LockBit 5.0, Akira, Vect 2.0 — realizam reconhecimento da rede antes do ataque. Por isso, identificam e mapeiam todos os servidores de backup, shares de rede com backups e agentes de backup com credenciais salvas antes de executar a criptografia.

Além disso, quando os backups ficam em compartilhamentos de rede acessíveis pelas mesmas credenciais do ambiente de produção, o ransomware os criptografa primeiro — garantindo que a empresa não tenha cópia limpa para restaurar. Portanto, backups em rede convencional não oferecem proteção real contra ransomware moderno.

Sincronização em tempo real não é backup

Soluções como OneDrive, Google Drive e SharePoint em modo de sincronização automática são frequentemente confundidas com backup. Contudo, quando o ransomware criptografa os arquivos locais, a sincronização replica os arquivos criptografados para a nuvem — sobrescrevendo as versões limpas. Por isso, a sincronização automática sem versioning e sem Object Lock não protege contra ransomware.

Além disso, mesmo soluções de backup em nuvem sem Object Lock o atacante consegue deletar via API com as credenciais comprometidas pelo atacante. Por isso, o Object Lock em modo Compliance é o único mecanismo que garante proteção real.

Como implementar backup imutável na prática

Separação de credenciais: o princípio mais importante

O servidor de backup e as credenciais de acesso ao storage de backup imutável devem ser completamente separados das credenciais do ambiente de produção. Por isso, um atacante que compromete o domínio Active Directory não deve ter nenhum caminho para as credenciais de backup. Além disso, o agente de backup deve usar credenciais com permissão apenas de escrita no storage de backup — sem permissão de leitura ou deleção da conta usada para produção.

Frequência e período de retenção

O período de retenção do Object Lock deve cobrir pelo menos o tempo médio que um ransomware fica dormente na rede antes de executar o ataque — que pode ser de semanas. Por isso, períodos de retenção de 30 a 90 dias atendem bem os backups diários. Além disso, manter versões múltiplas de backups garante que existe uma versão limpa mesmo que o ransomware tenha estado presente por dias antes da detecção.

Verificação de integridade regular

Backup que nunca passou por restauração real não é um backup — é uma hipótese. Por isso, a Crowdertech recomenda testes de restauração mensais em ambiente isolado, com verificação de integridade dos dados restaurados. Além disso, ferramentas de backup modernas como Veeam e Acronis têm funcionalidades de SureBackup que automatizam a verificação de integridade após cada job. Para recuperação quando mesmo o backup imutável não resolve o problema, veja recuperação de dados sem backup.

Perguntas frequentes

Meu backup está no Veeam — já tenho backup imutável? Não necessariamente. O Veeam suporta backup imutável quando configurado com repositório que tem Object Lock habilitado — como AWS S3, MinIO ou Wasabi com Object Lock ativado. Contudo, o repositório Veeam padrão em disco local ou NAS não tem imutabilidade por padrão. Por isso, verifique se o repositório destino tem Object Lock habilitado em modo Compliance.

Backup em fita LTO protege contra ransomware? Sim, quando a fita é fisicamente desconectada do ambiente de produção após o backup. A fita offline é a forma mais robusta de imutabilidade — o ransomware não consegue acessar o que não está conectado à rede. Contudo, fitas conectadas ao autoloader durante o backup ficam vulneráveis — o ransomware com acesso suficiente as deleta ao sistema.

Qual o custo de implementar backup imutável com Object Lock em cloud? O custo depende do volume de dados e do provedor. AWS S3 com Object Lock, Wasabi e MinIO on-premises são as opções mais usadas no Brasil. Além disso, o custo do backup imutável é uma fração do custo de um incidente de ransomware — que inclui tempo de inatividade, recuperação forense, multas regulatórias e dano reputacional.

Conclusão

Backup imutável com Object Lock em modo Compliance é a única proteção que garante que uma cópia limpa dos dados existirá após um ataque de ransomware — mesmo quando o atacante compromete credenciais administrativas. Além disso, a estratégia 3-2-1-1 com uma cópia imutável transforma o ransomware de catástrofe em incidente gerenciável. Em resumo, implemente Object Lock, separe as credenciais de backup das de produção e teste a restauração mensalmente. Se o ransomware chegou antes do backup imutável, a Crowdertech recupera dados sem pagar resgate — (11) 99630-0675 · (11) 4863-3636.

Fontes: Veeam Data Protection Report · NIST SP 800-34r1 · CISA — StopRansomware · CERT.br.