O que é backup imutável: WORM, proteção contra ransomware e como implementar
Backup imutável é uma cópia de dados que não pode ser modificada, deletada ou criptografada por nenhum processo, nem mesmo por usuários com privilégios administrativos, por um período definido (ex: 30 dias). A imutabilidade é garantida por tecnologia WORM (Write Once Read Many) implementada em hardware (fita LTO com WORM) ou software (Object Lock em object storage compatível). É a única forma de garantir que um backup sobrevive a um ataque ransomware que compromete credenciais de admin.
Grupos de ransomware como LockBit e BlackCat ficam na rede por dias ou semanas antes de criptografar, tempo suficiente para identificar e destruir ou criptografar os backups acessíveis na rede, eliminando a capacidade de restauração.
Se o atacante obtém credenciais de administrador do sistema de backup, pode deletar políticas de retenção e os próprios backups. Sem imutabilidade, credenciais comprometidas = backups comprometidos.
NAS, servidor de backup e storage em rede na mesma LAN que os servidores produtivos estão todos dentro do raio de impacto de um ransomware que se propaga lateralmente pela rede.
Object storage com Object Lock em modo COMPLIANCE é a implementação mais acessível de backup imutável. Uma vez gravado com período de retenção definido, o objeto não pode ser deletado nem por root/admin. AWS S3, MinIO e vários providers suportam esse protocolo.
Fitas LTO WORM são fisicamente imutáveis após gravação, a mídia não permite sobrescrever dados. São ideais para retenção de longo prazo (anos) com custo baixo por GB e air-gap físico garantido quando removidas do tape library.
Veeam suporta 'Hardened Repository', servidor Linux com XFS e atributo de imutabilidade por arquivo, sem conexão a Active Directory. Mesmo que o servidor Veeam seja comprometido, os arquivos de backup não podem ser deletados pelo período configurado.
Complementar à imutabilidade, air-gap significa que a cópia de backup está em rede separada (ou fisicamente desconectada) do ambiente de produção. Ransomware não pode alcançar o que não está na mesma rede.
A Boreal Tecnologias oferece backup imutável com object storage com Object Lock em cloud privada no Brasil. Dados de backup protegidos contra ransomware com retenção configurável, sem câmbio, sem egress e com SLA 99,99%. Diagnóstico gratuito da sua estratégia de backup atual.
Não, backup imutável é a última linha de defesa (recuperação após ataque), não prevenção. Antivírus, EDR, MFA e princípio do mínimo privilégio previnem o ataque ou limitam sua propagação. Backup imutável garante que, se o ataque for bem-sucedido, você consegue restaurar.
O NIST recomenda mínimo de 30 dias de imutabilidade para cobrir o tempo médio de dwell time de ransomware (tempo entre infecção e ativação). Para dados sujeitos à LGPD ou auditoria, considere 90 dias de imutabilidade com retenção de longo prazo em fita.
S3 Object Lock em modo COMPLIANCE é robusto, nem a AWS consegue deletar antes do período de retenção. O risco residual é de comprometimento da conta AWS (credenciais root). Para máxima proteção, combine S3 com Object Lock com uma cópia adicional em fita WORM air-gapped.
Object storage com Object Lock: custo de storage por GB/mês (AWS S3 sa-east-1: ~USD 0,023/GB/mês). Fita LTO: hardware de USD 2.000 a 10.000 + mídia de ~USD 5/tape LTO-8. Veeam Hardened Repository: custo de servidor Linux + storage NVMe. Para PMEs, object storage é a opção mais acessível para começar.
Receba um diagnóstico estratégico gratuito e descubra o que está limitando performance, estabilidade e escala hoje.
Sem compromisso. Resposta em até 15 minutos em horário comercial.