Backups imutáveis: porque é que o 3-2-1 já não basta

O seu backup existe – mas sobrevive a um atacante com direitos de Domain Admin? Essa é a pergunta pela qual o backup moderno é medido. Pois os grupos de ransomware há muito que não encriptam apenas os sistemas produtivos: procuram primeiro os backups, apagam-nos ou encriptam-nos – e negociam então com uma empresa que já não tem opção de recuo.

Os números são inequívocos. Segundo o Veeam Ransomware Trends Report 2025, os atacantes atacaram de forma direcionada os repositórios de backup em 89% das empresas afetadas. Ao mesmo tempo, apenas 32% dos inquiridos usavam repositórios imutáveis (immutable). A lacuna entre esses dois números é o verdadeiro risco.

O que acontece quando o backup cai

O mesmo relatório traça um quadro sóbrio da recuperação: 69% das organizações inquiridas foram atacadas no ano anterior. Das afetadas, apenas 10% conseguiram recuperar mais de 90% dos seus dados – 57% recuperaram menos de metade.

O relatório da Sophos «State of Ransomware 2025» complementa a consequência incómoda: 49% das empresas cujos dados foram encriptados pagaram o resgate, e a recuperação a partir de backups ficou no nível mais baixo em seis anos. Quem paga raramente o faz por convicção – mas porque o backup, no momento decisivo, já não estava lá ou não funcionava.

De 3-2-1 para 3-2-1-1-0

A clássica regra 3-2-1 – três cópias, dois tipos de suporte, uma cópia fora de casa – provém de uma época em que o cenário de ameaça se chamava falha de hardware ou incêndio. Contra um atacante que está na rede com direitos de administrador roubados, só ajuda de forma limitada: o atacante alcança todas as três cópias se estiverem online e administráveis com os mesmos direitos.

A Veeam formula, por isso, a regra ampliada 3-2-1-1-0:

3 cópias dos dados,
em 2 suportes diferentes,
1 cópia fora de casa (offsite),
1 cópia imutável ou separada por air gap,
0 erros após verificação automatizada de recuperação.

Os dois últimos dígitos fazem a diferença. O «1» adicional significa: pelo menos uma cópia não pode ser apagada nem alterada, mesmo com direitos plenos de administrador. O «0» significa: não se confia em que o backup funcione – verifica-se de forma automatizada.

Imutabilidade na prática: dois caminhos consagrados

Para a implementação com o Veeam Backup & Replication há dois mecanismos estabelecidos:

Hardened Repository

Um servidor Linux como repositório endurecido, no qual o Veeam armazena os ficheiros de backup protegidos contra escrita por um período definido, por meio do atributo de imutabilidade do sistema de ficheiros – recomendado em XFS, que adicionalmente possibilita backups completos sintéticos rápidos. Mesmo uma conta Veeam ou Domain Admin comprometida não consegue apagar os backups dentro do prazo de proteção. Importante é o endurecimento limpo do próprio sistema: o repositório não deve ser membro do domínio a cujo comprometimento deve sobreviver.

S3 Object Lock

Alternativa ou complemento: armazenamento de objetos com S3 Object Lock, on-premises ou na nuvem. O Veeam grava então os backups com um bloqueio de retenção que nem mesmo o administrador do fornecedor de armazenamento pode suspender antecipadamente. Um obstáculo prático: na maioria dos fornecedores, o Object Lock deve ser ativado já ao criar o bucket – a AWS só permite ativá-lo posteriormente em buckets existentes desde o fim de 2023.

Ambos os caminhos coincidem com o que o BSI recomenda no catálogo de medidas contra ransomware: manter pelo menos uma cópia de backup offline, verificar regularmente que uma conta de administrador a partir da rede não consegue aceder a essa cópia, e efetivamente treinar as recuperações.

O «0»: testes de restore como rotina, não como evento

Um backup que nunca foi restaurado é uma promessa sem comprovação. O zero em 3-2-1-1-0 exige verificação automatizada de recuperação: os backups são regularmente iniciados ou montados de forma experimental e verificados quanto à consistência – não uma vez por ano manualmente, mas como parte fixa da operação de backup.

Isso está entretanto também ancorado na regulação. A diretiva NIS-2 conta, no art. 21, n.º 2, alínea c, a gestão de backup, a business continuity e a gestão de crises expressamente entre as medidas mínimas. Para empresas financeiras, o DORA exige no art. 12 políticas de backup documentadas e testes de recuperação periódicos – expressamente em sistemas separados do sistema produtivo. Quem monta os testes de restore de forma limpa resolve técnica e comprovação de compliance num só passo.

O plano de emergência compacto: quem liga a quem quando o e-mail desaparece?

O melhor backup pouco adianta se, numa emergência, ninguém souber o que fazer. Um incidente de ransomware atinge tipicamente também os canais de comunicação: e-mail, central telefónica e repositório de documentos podem falhar simultaneamente. Um plano de emergência útil para as médias empresas não precisa, por isso, de ser um manual de cem páginas – mas deve estar disponível offline e responder, no mínimo:

Quem decide? Comité de crise com nomes e substitutos, incluindo a decisão sobre o desligamento de sistemas.
Quem liga a quem – e por que meio? Lista de contactos em papel ou num dispositivo independente: direção, TI, prestador de serviços, seguradora, se for o caso, órgãos de notificação.
O que é restaurado primeiro? Lista priorizada dos processos de negócio e dos sistemas por trás deles.
Onde estão as credenciais para a emergência? Separadas do serviço de diretório passível de comprometimento.

Quem quiser construir isso de forma metodicamente fundamentada encontra, com a norma BSI 200-4, um quadro para gestão de continuidade de negócios expressamente escalável também para organizações menores; substitui a antiga norma 100-4 e é compatível com a ISO 22301:2019, a norma certificável de BCMS. Para a maioria das médias empresas, a ordem pragmática é: primeiro a cópia imutável e o restore treinado, depois a construção estruturada de BCM sobre isso.

Como a sector7 apoia

Concebemos e operamos ambientes de backup em prática Veeam efetivamente vivida – do Hardened Repository, passando por destinos de armazenamento com Object Lock, até à verificação automatizada de recuperação, monitorizados pelo nosso NOC a toda a hora. Como empresa gerida pelo proprietário, com prática de engenharia certificada por fabricantes (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks), combinamos isso com planeamento de emergência e consultoria de compliance sobre ISO 27001, NIS-2 e DORA. Operação e acompanhamento são-lhe disponibilizados a preços mensais fixos e planeáveis.