Estratégias de Backup: Regra 3-2-1 e Backups Imutáveis

Os backups não são apenas uma preocupação operacional de TI — são um controle de segurança crítico que possibilita diretamente a recuperação após ransomware, exclusão acidental, falha de hardware e sabotagem interna. Sem backups testados e confiáveis, os operadores de ransomware detêm todo o poder: pagar ou perder os dados. Com backups robustos e protegidos, as organizações podem se recuperar sem pagar resgate. O exame Security+ inclui explicitamente a estratégia de backup como parte dos requisitos de continuidade de negócios e proteção de dados.

A regra de backup 3-2-1 é a base padrão do setor para a resiliência de backup. Devem existir 3 cópias dos dados (original + 2 backups). Devem ser usados 2 tipos diferentes de mídia de armazenamento (por exemplo, disco Local e fita, ou NAS Local e Cloud). 1 cópia deve ser armazenada fora do site ou em uma Localização geograficamente separada. Essa configuração garante que nenhuma falha isolada — falha de disco, desastre no site ou roubo — elimine todas as cópias dos dados. A regra 3-2-1 é o padrão-ouro de backup há duas décadas.

O ransomware expôs fragilidades na regra 3-2-1 clássica: se todas as três cópias forem acessíveis pela rede, o ransomware criptografará todas elas. A regra aprimorada 3-2-1-1-0 acrescenta: uma cópia deve estar OFFLINE ou isolada fisicamente da rede (desconectada da rede e fisicamente isolada), e deve haver zero erros de backup (todos os backups devem ser testados, sem nenhuma falha nos testes de restauração). A cópia OFFLINE garante que o ransomware — mesmo com acesso de administrador do domínio — não consiga alcançar e criptografar todas as cópias de backup.

Backups imutáveis são armazenados de modo a impossibilitar sua modificação ou exclusão durante um período de retenção especificado — até mesmo por administradores com acesso total. Os provedores de Cloud implementam a imutabilidade por meio de políticas de bloqueio de objetos (WORM — Write Once, Read Many). O AWS S3 Object Lock, o Azure Blob immutable storage e recursos semelhantes impedem qualquer chamada de API de excluir ou substituir objetos antes que o período de bloqueio expire. Grupos de ransomware que obtêm acesso de administrador do domínio não conseguem excluir backups imutáveis, mesmo com o mais alto nível de credenciais de Cloud.

Três tipos de backup equilibram abrangência, custo de armazenamento e duração da janela de backup. Um backup Full copia todos os dados a cada execução — proporciona a restauração mais rápida, mas consome mais armazenamento. Um backup Incremental copia apenas os dados alterados desde o último backup de qualquer tipo — é o mais rápido de criar e ocupa menos armazenamento, mas a restauração exige o último Full e todos os Incrementals. Um backup Differential copia todos os dados alterados desde o último Full — apresenta crescimento médio do armazenamento, e a restauração exige apenas o último Full e o Differential mais recente.

Os arquivos de backup devem ser criptografados — fitas de backup enviadas para armazenamento externo ou backups na Cloud são alvos de invasores que procuram dados confidenciais. Use criptografia AES-256 para os dados de backup em repouso. É fundamental que as chaves de criptografia do backup sejam armazenadas separadamente dos próprios backups: criptografar os backups com uma chave que também tenha backup na mesma Localização anula o objetivo. Armazene as chaves de criptografia em um Hardware Security Module (HSM) ou em um serviço de gerenciamento de chaves independente do sistema de backup.

Os sistemas de backup devem ser isolados da rede de Production. Se os servidores de backup estiverem associados ao domínio do mesmo Active Directory dos servidores de Production, um ransomware com credenciais de administrador do domínio poderá alcançar e criptografar o armazenamento de backup. Práticas recomendadas: mantenha os servidores de backup em um segmento de rede separado, sem acesso a partir dos servidores de Production; use credenciais de backup dedicadas que não sejam contas de administrador do domínio; implemente MFA no servidor de backup para acesso administrativo; e considere um domínio de backup separado, sem relação de confiança com o domínio de Production.

Os serviços de backup na Cloud fornecem armazenamento externo com opções de imutabilidade e simplificam a implementação da regra 3-2-1. O AWS Backup, o Azure Backup e o Google Cloud Backup and DR integram-se aos serviços de Cloud e fornecem gerenciamento centralizado de políticas. Serviços de terceiros, como Veeam, Rubrik e Cohesity, oferecem backup nativo da Cloud com repositórios imutáveis, cópias em cofres isolados fisicamente da rede e detecção de ransomware que analisa os dados de backup em busca de anomalias de entropia de criptografia — emitindo um alerta antes que um evento completo de ransomware seja concluído.

Muitas organizações descobrem durante um incidente de ransomware que seus backups estão corrompidos ou não podem ser restaurados — uma descoberta catastrófica no pior momento possível. Os testes de backup devem ser uma atividade programada e regular. As abordagens de teste incluem: verificação automatizada da restauração (restaurar diariamente uma amostra de arquivos e verificar as somas de verificação), restaurações completas periódicas em um ambiente de teste isolado (restauração trimestral do banco de dados e teste de inicialização do aplicativo) e exercícios de DR, nos quais a equipe segue o DRP, desde o backup até a execução da Production na infraestrutura alternativa. Documente todos os resultados dos testes.

O esquema de retenção Grandfather-Father-Son (GFS) organiza a retenção de backup em diferentes horizontes de tempo. Os backups Son são Daily (mantidos por 1 semana e depois substituídos). Os backups Father são backups Full semanais (mantidos por 1 mês). Os backups Grandfather são backups Full mensais (mantidos por 1 ano ou mais). O GFS permite restaurar os dados de ontem, da semana passada ou do mês passado, equilibrando a flexibilidade de recuperação com o custo de armazenamento. Muitas estruturas de conformidade exigem retenção no estilo GFS para fins de trilha de auditoria.

Falhas de backup são desastres silenciosos — um Jobs de backup que falha silenciosamente durante semanas significa que não há proteção quando ela é mais necessária. O monitoramento de backup deve acompanhar: se cada Jobs de backup programado foi concluído successfully; se o tamanho do backup está dentro do intervalo esperado (um backup suspeitosamente pequeno pode indicar uma falha parcial); se o acesso à chave de criptografia do backup foi bem-sucedido; e se o backup foi transferido para todos os destinos necessários (Local + externo). Os alertas devem ser acionados imediatamente para qualquer Jobs failed, com escalonamento se as falhas persistirem além de uma única tentativa. Trate um backup failed como um incidente de Prioridade 2.

Nesta lição, você aprendeu que: a regra 3-2-1 exige 3 cópias em 2 tipos de mídia, com 1 cópia externa; a regra 3-2-1-1-0 aprimorada acrescenta uma cópia OFFLINE/imutável e exige zero falhas de restauração; e o armazenamento imutável/WORM impede que o ransomware destrua os backups, mesmo com credenciais administrativas completas. A seguir, exploraremos os testes de failover por meio de exercícios Tabletop e exercícios de DR, para validar se os planos de recuperação funcionam na prática.