Backup imutável é uma cópia de dados que não pode ser modificada, criptografada ou apagada durante um período definido — nem pelo administrador de TI. É a única proteção efetiva contra ransomware que ataca ativamente os backups antes de criptografar a produção.
Como ransomware moderno encontra e destrói seus backups
Imagine o cenário: um colaborador da área financeira abre um e-mail aparentemente legítimo de um fornecedor. O anexo executa um script que instala um agente de acesso remoto silenciosamente. Durante as próximas semanas — sim, semanas — esse agente explora a rede, escalona privilégios, mapeia todos os servidores, shares e sistemas de backup.
Quando o atacante tem o mapa completo, ele executa o ataque em ordem cirúrgica: primeiro apaga ou criptografa os backups. Depois, ativa o ransomware na produção. Quando a equipe de TI acorda para o incidente e vai ao console de backup para iniciar a recuperação, não encontra nada. É nesse momento que a nota de resgate começa a parecer razoável.
Esse não é um cenário hipotético. É o modus operandi documentado de grupos como LockBit, BlackCat (ALPHV) e REvil. O backup é o alvo número um, porque sem backup a empresa não tem escolha a não ser pagar.
Backup imutável existe para tornar essa estratégia ineficaz.
O que é imutabilidade — WORM na prática
WORM é um acrônimo do inglês: Write Once, Read Many. Significa que um dado pode ser escrito uma única vez e depois lido quantas vezes quiser — mas nunca modificado, sobrescrito ou apagado durante o período de retenção definido.
A imutabilidade não é uma configuração de software convencional que pode ser desabilitada por um usuário com privilégios de administrador. É uma propriedade que o sistema de armazenamento impõe por hardware, por primitiva de sistema operacional ou por protocolo, independentemente do que qualquer software que rode acima desse storage faça.
Quando um backup é gravado em repositório imutável configurado para retenção de 30 dias, não existe instrução de software que apague ou modifique esse dado antes de 30 dias. Nem o administrador do Veeam, nem o root do servidor Linux, nem o atacante com credenciais comprometidas.
Implementações práticas de imutabilidade
Existem diferentes tecnologias que implementam imutabilidade, com diferentes níveis de proteção e custo:
Object Lock S3. O protocolo S3 (popularizado pela AWS mas implementado por vários provedores de object storage, incluindo a Adentro) tem uma funcionalidade chamada Object Lock que implementa WORM em nível de objeto. Quando um backup é gravado em bucket com Object Lock ativado, o objeto fica protegido contra deleção e modificação pelo período definido. Mesmo o dono do bucket não consegue apagar antes do prazo — a única forma é cancelar a conta inteiramente.
Existem dois modos: Governance Mode (administradores com permissão especial podem sobrescrever) e Compliance Mode (absolutamente ninguém pode alterar antes do prazo, incluindo a AWS). Para proteção anti-ransomware séria, Compliance Mode é o adequado.
Hardened Repository do Veeam. É a implementação de repositório imutável do Veeam Backup & Replication, rodando sobre servidor Linux. Utiliza atributos de imutabilidade do sistema de arquivos Linux (chattr +i) combinados com um usuário de sistema isolado que o processo de backup usa para gravar — mas que não tem permissão de deletar. Mesmo que um atacante comprometa a conta de administrador do Veeam, não consegue remover os backups do Hardened Repository sem acesso root ao servidor Linux subjacente — que pode estar em rede isolada.
Fitas LTO com air-gap. A solução mais simples e mais absolutamente imutável: fita magnética fisicamente desconectada da rede. Quando a fita está no cofre, não existe ataque de rede que a alcance. A desvantagem é operacional — alguém precisa gerenciar fisicamente as fitas, e o restore é lento. Mas para retenção de longo prazo (anos) e para o componente offline da regra 3-2-1-1-0, fita continua sendo extremamente válida.
Appliances dedicados com WORM. Fabricantes como NetApp (ONTAP SnapLock), Dell EMC (DataDomain com Retention Lock) e Pure Storage oferecem appliances de storage com imutabilidade implementada em firmware, impossível de contornar por software. São soluções mais caras, mas com garantias mais robustas para ambientes enterprise.
Imutabilidade lógica vs imutabilidade física (air-gap)
É importante entender que nem toda imutabilidade é igual:
Imutabilidade lógica (Object Lock S3, Hardened Repository, SnapLock) impede modificação via software e protocolo, mas o storage ainda está conectado à rede. Se o provedor de cloud for comprometido em nível de infraestrutura — o que é raro mas não impossível — ou se houver uma vulnerabilidade desconhecida no protocolo de proteção, os dados podem ser alcançados. Para quase todos os casos corporativos, imutabilidade lógica é mais do que suficiente.
Imutabilidade física / air-gap (fitas offline, storage desconectado fisicamente) garante que nenhum ataque via rede consegue alcançar os dados. É o nível mais alto de proteção. A desvantagem é que o dado também não está disponível para restore imediato — você precisa conectar fisicamente a mídia.
A estratégia mais robusta combina as duas: repositório imutável logicamente para restore rápido do cotidiano, e cópia física air-gapped para o cenário de comprometimento total do ambiente.
O que perguntar ao seu fornecedor de backup
Quando avaliar uma solução de backup ou contratar um provedor, essas são as perguntas certas sobre imutabilidade:
“Vocês oferecem repositório com imutabilidade WORM?” — a resposta precisa ser sim, com a tecnologia especificada.
“Qual o modo de proteção — Governance ou Compliance?” — para proteção anti-ransomware, Compliance é mais robusto.
“O administrador da solução consegue apagar um backup dentro do período de retenção?” — a resposta deve ser não.
“Os backups imutáveis estão em rede separada da produção?” — se estão na mesma VLAN de produção, o nível de proteção é menor.
“Vocês têm SLA para restore a partir do repositório imutável?” — a imutabilidade não deve comprometer o RTO.
A Adentro oferece Backup Corporativo com repositório imutável em datacenters Tier III no Brasil. Nenhum ransomware apaga sua última linha de defesa. Conheça a solução.