Backup contra ransomware: o que uma empresa precisa verificar

Quando um ransomware criptografa os arquivos de uma empresa, a pergunta que define o tamanho do prejuízo é simples: existe uma cópia recente, íntegra e fora do alcance do ataque? Muitas PMEs acreditam ter backup e só descobrem no pior momento que ele estava incompleto, desatualizado ou conectado à mesma rede que foi comprometida. Este artigo reúne o que um gestor precisa verificar para que o backup cumpra seu papel.

Por que o backup comum nem sempre resiste a um ransomware

O ransomware moderno não se limita a criptografar a pasta do usuário que clicou no anexo. Com frequência, ele procura unidades de rede mapeadas, compartilhamentos, discos externos conectados e até consoles de backup acessíveis com as mesmas credenciais. Se a cópia de segurança está num HD externo que fica plugado no servidor o tempo todo, ou numa pasta compartilhada que qualquer computador consegue gravar, ela tende a ser criptografada junto com o resto.

Outro ponto pouco lembrado: sincronização não é backup. Serviços que espelham arquivos em nuvem replicam também a versão criptografada. Alguns oferecem histórico de versões e lixeira com retenção, o que ajuda, mas isso precisa ser conferido e configurado, e não presumido.

A regra 3-2-1 como ponto de partida

Uma referência consagrada para backup de pequenas empresas é a regra 3-2-1:

• 3 cópias dos dados importantes: a original e mais duas;
• 2 tipos de mídia ou armazenamento diferentes, por exemplo um NAS local e um serviço em nuvem;
• 1 cópia fora do local, fisicamente separada do escritório.

Para proteção contra ransomware, vale acrescentar uma exigência: pelo menos uma das cópias deve ser offline ou imutável. Offline significa desconectada da rede depois de gravada, como um disco que é levado para outro local. Imutável significa armazenada de modo que não possa ser alterada nem apagada durante um período definido, recurso oferecido por diversos serviços de nuvem e equipamentos de armazenamento. Algumas referências chamam essa variação de 3-2-1-1.

O que o gestor deve verificar

Não é preciso ser técnico para fazer as perguntas certas ao responsável pela TI ou ao fornecedor. Estas são as principais:

Escopo

Quais dados estão no backup? É comum encontrar o servidor de arquivos coberto, mas não o banco de dados do sistema de gestão, os e-mails, as configurações de equipamentos ou os arquivos que ficam só no notebook do diretor. Faça uma lista desses dados, sem os quais a empresa não opera, e confira item por item.

Frequência e retenção

Com que frequência o backup é feito e por quanto tempo as versões antigas são guardadas? Se ele é diário, a empresa aceita perder até um dia de trabalho. Se a retenção é de poucos dias e o ataque ficou silencioso por uma semana antes de ser notado, todas as cópias disponíveis podem já estar contaminadas.

Separação e credenciais

A cópia fica acessível a partir dos computadores comuns da rede? O sistema de backup usa uma conta própria, com senha forte e, se possível, autenticação em dois fatores? Se a mesma conta de administrador que gerencia a rede também apaga os backups, um invasor que obtiver essa conta terá acesso a tudo. Esse cuidado conversa diretamente com o controle de acesso aos sistemas.

Monitoramento

Alguém recebe e lê o relatório de execução? Falhas silenciosas são frequentes: um disco cheio, uma senha que mudou, um agente que parou de rodar depois de uma atualização.

Teste de restauração: o passo que quase ninguém faz

Testar a restauração significa recuperar dados a partir do backup, num ambiente separado, e conferir se estão completos e utilizáveis. Uma rotina simples para PMEs:

1. Mensalmente: restaurar alguns arquivos e pastas escolhidos ao acaso e abrir para conferir.
2. A cada trimestre ou semestre: restaurar um sistema inteiro, como o banco de dados do ERP, e verificar se ele sobe e funciona.
3. Registrar o resultado: data, o que foi testado, quanto tempo levou e quais problemas surgiram.

O tempo medido no teste é uma informação de negócio. Se restaurar tudo leva três dias, a diretoria precisa saber disso antes de um incidente, para decidir se esse prazo é aceitável ou se é preciso investir em outra solução.

Backup é a última linha, não a única

Um bom backup reduz muito o impacto de um ransomware, mas não impede o ataque. Também não resolve o vazamento: muitos grupos copiam os dados antes de criptografá-los e ameaçam divulgá-los, o que pode gerar obrigações perante a LGPD mesmo que a empresa recupere tudo. Por isso, o backup funciona melhor combinado com atualizações em dia, proteção contra malware, controle de acesso e firewall bem configurado. E, quando um incidente acontecer, ter um roteiro ajuda a não destruir provas nem as próprias cópias. O artigo sobre os primeiros 30 minutos de um incidente trata disso.

Checklist de backup

• Existe uma lista dos dados e sistemas críticos, e todos estão no backup.
• A rotina segue a regra 3-2-1, com uma cópia fora do escritório.
• Pelo menos uma cópia é offline ou imutável.
• O backup usa credenciais próprias, protegidas e separadas das contas do dia a dia.
• A retenção cobre um período suficiente para voltar a uma versão anterior ao ataque.
• Alguém confere os relatórios de execução com regularidade.
• Restaurações são testadas periodicamente, com resultado registrado.