Backup imutável: a última linha de defesa contra ransomware

O que é backup imutável e por que ele existe

Backup imutável é uma cópia de segurança dos dados que, uma vez gravada, não pode ser alterada, sobrescrita ou apagada — nem mesmo por um administrador com acesso total ao sistema. Essa característica é implementada por meio de políticas de retenção com proteção contra exclusão (object lock), garantindo que os dados permaneçam intactos durante um período definido, independentemente de qualquer ação humana ou automatizada.

O conceito surgiu como resposta direta à evolução dos ataques de ransomware. Os grupos criminosos perceberam que, se criptografassem apenas os dados de produção, as empresas simplesmente restauravam o backup e seguiam em frente. Por isso, o ransomware moderno passou a atacar deliberadamente os repositórios de backup — apagando, criptografando ou corrompendo as cópias de segurança antes de executar o ataque principal. Com o backup comprometido, a vítima fica sem alternativa e é forçada a considerar o pagamento do resgate.

Por que o backup tradicional não é mais suficiente

Muitas empresas ainda operam com estratégias de backup que eram adequadas há dez anos, mas que hoje representam um risco enorme. Um backup tradicional — gravado em um compartilhamento de rede (NAS/SAN) acessível pela mesma rede dos servidores de produção — é alvo fácil para ransomware. Se o atacante compromete credenciais de administrador, ele tem acesso direto ao repositório de backup e pode destruí-lo em minutos.

Cenários comuns que tornam o backup tradicional vulnerável:

• Backup em disco local ou NAS na mesma rede: O ransomware acessa o compartilhamento com as mesmas credenciais do administrador comprometido e criptografa tudo — produção e backup.
• Backup sem criptografia: Dados de backup não criptografados podem ser lidos e exfiltrados pelo atacante antes da criptografia, criando dupla extorsão (ameaça de vazar os dados).
• Backup sem teste de restauração: A empresa descobre que o backup está corrompido ou incompleto apenas no momento em que mais precisa dele — durante a recuperação de um desastre.
• Retenção única: Manter apenas o backup mais recente significa que, se o ransomware estiver latente no ambiente por dias ou semanas antes de ser ativado, o backup recente já contém dados comprometidos.

"Backup que pode ser apagado não é proteção — é ilusão. A imutabilidade transforma o backup de um alvo vulnerável em uma fortaleza inacessível para o ransomware."

Como o backup imutável funciona com Veeam

O Veeam Backup & Replication é uma das soluções líderes de mercado em proteção de dados corporativos, e oferece suporte nativo a repositórios imutáveis. A implementação pode ser feita de diferentes formas, dependendo da infraestrutura do cliente:

Repositório Linux com imutabilidade nativa

O Veeam permite configurar repositórios em servidores Linux utilizando o recurso de imutabilidade nativa do sistema de arquivos. Os backups são gravados com um flag de imutabilidade que impede qualquer modificação ou exclusão durante o período de retenção definido. Nem mesmo o usuário root do servidor consegue alterar os dados protegidos. Essa abordagem é altamente segura e não depende de hardware especializado.

Object Storage com Object Lock

Para backups em nuvem, o Veeam integra-se com serviços de armazenamento de objetos que suportam Object Lock — como Amazon S3, Azure Blob Storage e provedores compatíveis. Quando o Object Lock está habilitado no modo Compliance, nem o próprio provedor de nuvem pode apagar os dados antes do fim do período de retenção. Essa é a implementação mais robusta de imutabilidade disponível hoje.

Hardened Repository

O Veeam Hardened Repository combina imutabilidade com um servidor Linux minimamente configurado, sem acesso SSH permanente e com credenciais de uso único. Isso cria um repositório de backup que é praticamente impenetrável — mesmo que o atacante comprometa toda a infraestrutura Veeam, ele não consegue acessar ou destruir os dados no repositório endurecido.

A regra 3-2-1: o fundamento de qualquer estratégia de backup

A regra 3-2-1 é um princípio consagrado na proteção de dados que deve ser a base de qualquer estratégia de backup empresarial. Ela é simples de entender, mas muitas empresas ainda não a seguem:

• 3 cópias dos dados: A cópia original (produção) mais pelo menos duas cópias de backup. Isso protege contra falhas isoladas — se uma cópia falha, ainda existem outras.
• 2 tipos de mídia diferentes: Armazenar as cópias em mídias distintas — por exemplo, disco local e nuvem, ou disco e fita. Isso protege contra falhas de um tipo específico de mídia.
• 1 cópia off-site: Pelo menos uma cópia deve estar fisicamente separada do ambiente principal — em outro datacenter, na nuvem ou em um cofre. Isso protege contra desastres físicos como incêndio, inundação ou roubo.

Muitos especialistas já recomendam a evolução para a regra 3-2-1-1-0: três cópias, dois tipos de mídia, uma off-site, uma imutável e zero erros de verificação. A adição da cópia imutável e da verificação automática reflete a necessidade de proteção contra ransomware e a importância de garantir que os backups realmente funcionem quando necessário.

Backup em nuvem com criptografia: proteção completa

O backup em nuvem complementa a estratégia local ao fornecer a cópia off-site exigida pela regra 3-2-1. Mas não basta enviar dados para a nuvem — a criptografia é obrigatória. Um backup em nuvem adequado deve utilizar criptografia AES-256 tanto em trânsito (durante a transferência) quanto em repouso (nos servidores de armazenamento). A chave de criptografia deve ser controlada exclusivamente pela empresa, não pelo provedor.

Além da criptografia, o datacenter do provedor deve oferecer certificações de segurança relevantes — como SOC 2, ISO 27001 e conformidade com a LGPD para dados armazenados em território brasileiro. A MakWeb utiliza datacenter Tier III com redundância de energia, climatização e conectividade, garantindo alta disponibilidade para os backups dos nossos clientes.

Testes de restauração: o backup que você não testa é o backup que vai falhar

Um dos erros mais comuns na gestão de backup é nunca testar a restauração. Empresas investem em soluções sofisticadas de backup, configuram rotinas diárias e semanais, mas jamais verificam se a restauração realmente funciona. Quando o desastre acontece, descobrem que o backup está incompleto, corrompido ou que o processo de restauração leva muito mais tempo do que o esperado.

A recomendação é realizar testes de restauração completos pelo menos trimestralmente, e testes parciais mensalmente. O Veeam oferece recursos de verificação automática (SureBackup) que validam a integridade e a inicialização das máquinas virtuais restauradas, sem impactar o ambiente de produção. Documentar os resultados dos testes é essencial tanto para a melhoria contínua do processo quanto para auditorias de compliance.

Soluções de backup da MakWeb

Na MakWeb, projetamos a estratégia de backup de cada cliente considerando o porte da empresa, a criticidade dos dados, os requisitos de compliance e o orçamento disponível. Nossa solução inclui backup local com Veeam Backup & Replication, backup imutável em repositório hardened, réplica em nuvem com criptografia AES-256 em datacenter Tier III, monitoramento contínuo de todas as rotinas de backup e testes de restauração periódicos com relatórios documentados.

Além do backup operacional, oferecemos soluções de Disaster Recovery (DRaaS) para empresas que precisam de RTO e RPO agressivos, com failover automatizado para a nuvem em caso de perda total do ambiente principal. Com mais de 50TB de dados protegidos, temos a experiência e a infraestrutura necessárias para garantir que seus dados estejam sempre seguros e recuperáveis.