Módulo 6 · 6.2
Cópias de segurança que sobrevivem a um ataque de ransomware
Módulo 6: Cópias de segurança · Tempo de leitura: 10 minutos
Objetivo de aprendizagem: Após esta lição, saberá configurar uma cópia de segurança que um atacante não consegue encriptar nem apagar, optando por uma cópia offline, armazenamento inalterável, versões com um prazo de retenção adequado e um início de sessão separado para a cópia de segurança.
Conceitos-chave: cópia de segurança offline, air gap, inalterável (immutable), object lock, controlo de versões, início de sessão separado para a cópia de segurança, prazo de retenção
Porque é que uma cópia de segurança comum muitas vezes não é suficiente
Na lição 1.3 viu como funciona o ransomware: alguém entra, olha em redor e depois encripta de uma só vez tudo o que consegue alcançar. "Tudo o que consegue alcançar" é o problema central. Se a sua cópia de segurança estiver numa unidade de rede que está sempre associada ao seu computador como uma letra de unidade, então essa cópia de segurança é, para o ransomware, simplesmente uma pasta com ficheiros. É encriptada com a mesma facilidade que o original.
A agência norte-americana de cibersegurança CISA escreve no seu guia sobre ransomware que muitos tipos de ransomware procuram ativamente cópias de segurança acessíveis para as eliminar ou encriptar. Um atacante que tenha acesso à sua conta de administrador pode ainda iniciar sessão no seu programa de cópias de segurança ou serviço de cloud e eliminar ali as cópias de segurança. Por isso, uma cópia de segurança resistente a ransomware exige mais do que "existe uma cópia". Tem de estar fora do alcance de alguém que tenha tomado controlo do seu computador ou da sua conta.
Existem três formas de o conseguir, e o ideal é combiná-las:
- a cópia de segurança não está ligada (offline);
- a cópia de segurança não pode ser alterada nem apagada, nem sequer por um administrador (inalterável);
- a cópia de segurança está protegida por um início de sessão diferente do que usa no trabalho diário.
Offline: o disco na gaveta
Uma cópia de segurança offline é uma cópia que é desligada depois de ser feita. Um disco externo que retira do portátil após a cópia de segurança e guarda numa gaveta ou num cofre é o exemplo mais simples. O ransomware só consegue encriptar o que está acessível, e um disco numa gaveta não está acessível. O termo inglês é air gap: existe literalmente ar entre a cópia de segurança e a sua rede.
O NCSC neerlandês aconselha o mesmo: não mantenha a cópia de segurança ligada ao computador, porque, caso contrário, o ransomware pode encriptá-la também.
Armadilhas nas cópias de segurança offline:
- Esquecimento. Uma cópia de segurança feita manualmente acaba por ser ignorada ao fim de algumas semanas atarefadas. Marque um dia fixo na sua agenda e alterne dois discos, para que haja sempre um fora das instalações.
- Deixar sempre ligado. Um disco que fica ligado "por comodidade" deixa de ser uma cópia de segurança offline.
- Não encriptado. Um disco avulso com toda a sua contabilidade constitui uma fuga de dados se for roubado. Ative a encriptação (ver lição 5.2) e guarde a chave num local diferente do disco.
Inalterável: immutable e object lock
Uma cópia de segurança inalterável (em inglês: immutable) não pode ser alterada nem eliminada por ninguém durante um período definido. Nem sequer por alguém que tenha a sua palavra-passe. Nem sequer pelo administrador.
No armazenamento em cloud, esta técnica é muitas vezes designada object lock. A documentação de um grande fornecedor descreve-a como write once, read many: escreve um ficheiro uma única vez e, a partir daí, só pode lê-lo até terminar o prazo de retenção. Normalmente há dois modos:
| Modo | O que significa | Quando o escolher |
|---|---|---|
| Modo estrito (nesse fornecedor, compliance mode) | Ninguém pode apagar a cópia antes do fim do prazo nem encurtar o prazo, nem sequer a conta principal | Quer ter a certeza de que mesmo uma conta de administrador comprometida não consegue apagar nada |
| Modo flexível (governance mode) | Apenas contas com uma permissão especial podem anular a proteção | Para testar, ou se quiser manter a possibilidade de eliminar algo |
Muitos programas e serviços de cópias de segurança oferecem armazenamento inalterável, sob designações como "cópia de segurança imutável", "cópia de segurança bloqueada" ou "WORM". Ao escolher, tenha em atenção três aspetos:
- Qual é a duração do bloqueio? Um bloqueio de 7 dias não o protege se o ataque só for descoberto três semanas depois.
- Quem pode anular o bloqueio? Se conseguir fazê-lo com a mesma conta que usa diariamente para iniciar sessão, um atacante também o consegue.
- Qual é o custo? Inalterável também significa que não pode fazer limpeza. A CISA alerta que uma configuração incorreta pode gerar custos elevados. Comece de forma modesta e teste.
Versões e prazo de retenção: até quando consegue recuar?
Uma cópia de segurança de ontem só ajuda se ontem ainda estivesse tudo bem. Por vezes, o ransomware espera algum tempo antes de atacar, e um erro (uma pasta eliminada, uma lista de preços substituída) por vezes só se nota semanas depois. Por isso precisa de versões: vários momentos de cópia de segurança lado a lado. O prazo de retenção (também chamado retenção) determina até quando consegue recuar. O NCSC neerlandês explica-o da seguinte forma: a retenção indica até onde consegue recuar no histórico de uma cópia de segurança.
Um padrão muito utilizado é o de afinar a frequência: uma cópia de segurança diária que guarda durante algumas semanas, uma semanal que guarda durante alguns meses, e uma mensal que guarda durante mais tempo. Assim consegue recuar muito sem ter de manter centenas de cópias completas.
Perguntas para escolher o seu prazo de retenção:
- Com que rapidez costuma notar que algo está errado? Pense em erros do passado.
- Existem obrigações legais de retenção, por exemplo para a sua contabilidade? Uma cópia de segurança é diferente de um arquivo: um arquivo guarda-se durante anos num local fixo, uma cópia de segurança roda.
- Quanto custa o armazenamento? Guardar durante mais tempo custa mais.
Um início de sessão separado para a cópia de segurança
A terceira medida é a mais barata e a que mais vezes se esquece. Se o seu serviço de cópias de segurança, o seu armazenamento em cloud e o seu e-mail funcionarem todos com a mesma conta, e essa conta for comprometida (lição 1.4), o atacante fica com tudo de uma só vez.
- Utilize para o serviço ou programa de cópias de segurança uma conta própria com uma palavra-passe única e exclusiva guardada no seu gestor de palavras-passe, e ative a autenticação de dois fatores (2FA).
- Não utilize essa conta para o trabalho diário e não inicie sessão com ela no computador onde consulta o e-mail e navega na internet.
- Sempre que possível, configure o programa de cópias de segurança para apenas escrever no local da cópia de segurança, sem permissão para apagar.
- Determine quem tem acesso, tanto a nível físico (quem tem a chave do armário onde está o disco) como a nível do software. O NCSC neerlandês também menciona isto explicitamente.
Na prática: como se apresenta
No fornecedor de exemplo WebOké, as cópias de segurança noturnas de um pacote de alojamento ficam em servidores de armazenamento separados, num centro de dados diferente, afastados do servidor onde o site funciona. Segundo a base de conhecimento, essas cópias de segurança noturnas não podem ser eliminadas pelo próprio cliente: permanecem disponíveis para que haja sempre um ponto de restauro e desaparecem automaticamente ao fim de 30 dias. Apenas uma cópia de segurança adicional feita pelo próprio pode ser eliminada, e nesse caso o painel pede a sua palavra-passe.
O que acrescenta por sua conta para cumprir a regra 3-2-1 e obter a cópia offline: descarregar de vez em quando uma cópia de segurança (que fica disponível durante 48 horas) e guardá-la num disco que depois desliga. Um snapshot de um VPS, segundo a mesma base de conhecimento, não constitui explicitamente uma cópia de segurança, porque está armazenado no mesmo suporte que o próprio VPS.
Noutros fornecedores, pode ser semelhante ou bastante diferente. Pergunte concretamente ao seu fornecedor: as cópias de segurança estão separadas da minha conta, posso eu, ou alguém com a minha palavra-passe, eliminá-las, e até onde conseguem recuar?
Resumo
- O ransomware encripta tudo o que alcança, incluindo cópias de segurança ligadas, e os atacantes procuram ativamente cópias de segurança.
- Offline: desligue o disco de cópia de segurança e alterne discos, com encriptação.
- Inalterável (immutable, object lock): ninguém consegue eliminar a cópia até terminar o prazo.
- As versões e um prazo de retenção adequado determinam até onde consegue recuar; escolha-os com base na rapidez com que normalmente deteta problemas.
- Utilize um início de sessão separado e bem protegido para a sua cópia de segurança, distinto da sua conta diária.
Questionário
Exercício
Exercício D6.2: Torne uma cópia de segurança resistente a ransomware. Escolha os seus dados mais importantes (por exemplo, a sua contabilidade ou o seu site) e configure uma cópia que fique fora de alcance: um disco externo que desliga e guarda noutro local após a cópia de segurança, ou um serviço de cópias de segurança com armazenamento inalterável. Atribua à cópia de segurança um início de sessão próprio com autenticação de dois fatores, verifique até onde consegue recuar e anote quem tem acesso. Por fim, responda às perguntas de reflexão.
Exercício D6.2: Torne uma cópia de segurança resistente a ransomware
Como fazer: (1) Escolha os dados que não pode perder de forma alguma (por exemplo a sua contabilidade ou a sua loja online). (2) Escolha uma de duas vias: (3) Dê à cópia de segurança o seu próprio início de sessão: uma conta separada com uma palavra-passe única guardada no seu gestor de palavras-passe e autenticação de dois fatores, que não utiliza para o e-mail nem para o trabalho diário. (4) Verifique até quando consegue recuar (prazo de retenção) e anote-o. (5) Anote quem tem acesso físico (disco, cofre) e quem tem acesso na aplicação à cópia de segurança. (6) Pergunte ao seu fornecedor de alojamento ou parceiro de TI: as cópias de segurança estão separadas da minha conta, alguém com a minha palavra-passe consegue apagá-las, e até quando recuam? Anote a resposta.
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos descritos nos artigos do WebOké aplicam-se ao ambiente do WebOké; noutros fornecedores, o processo pode ser semelhante ou diferente. Informe-se junto do seu fornecedor.
- Manual DirectAdmin 16.2: Backup e restauro: criar um backup por iniciativa própria no DirectAdmin
- Manual do Nextcloud 6.2: Restaurar uma versão anterior e nomear versões
- Manual do Nextcloud 6.3: Durante quanto tempo guarda o Nextcloud as versões e os ficheiros eliminados?
- Snapshots e cópias de segurança do seu VPS
- WebOké Backups: visualizar, restaurar ou transferir uma cópia de segurança
- NCSC neerlandês, Ransomware explicado: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- NCSC neerlandês, Como definir uma estratégia de cópias de segurança: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
- CISA, #StopRansomware Guide (em inglês): https://www.cisa.gov/stopransomware/ransomware-guide