Uma abordagem inadequada à estratégia de backup pode deixá-lo exposto ao risco de extorsão

Em um post anterior sobre a complacência em relação à nuvem e os riscos para o Microsoft 365, discutimos a suposição perigosa de que, se os dados estão “na nuvem”, eles devem estar protegidos e ter backup.

Mas isso vai contra o modelo de responsabilidade compartilhada dos provedores de nuvem. Eles deixam claro que os clientes precisam organizar seus próprios backups.

Então, você fez tudo o que era necessário. Você entende o modelo, implementou backups e se sente protegido. Agora você está seguro, certo?

Talvez não.

Os criminosos estão de olho nessas cópias de segurança e, devido à evolução das ameaças, a forma como você faz o backup é igualmente importante.

A nuvem se tornou o centro de dados das pequenas e médias empresas

Há anos, as organizações vêm adotando serviços em nuvem por sua flexibilidade, escalabilidade e facilidade de gerenciamento. Como resultado, as empresas não se limitaram a adicionar serviços em nuvem — elas, na prática, transferiram seu centro de dados para a nuvem. De acordo com a Cloudtech, mais de dois terços das cargas de trabalho e dos dados estão agora na nuvem.

O problema é que os malfeitores sabem disso e já se adaptaram a essa situação.

De acordo com o Relatório Global de Ameaças 2024 da CrowdStrike, houve um aumento de 75% nas invasões à nuvem, sendo que 62% delas resultaram do uso indevido de contas válidas.

A tendência é clara. Em vez de dependerem exclusivamente de malware, os invasores estão cada vez mais visando identidades e explorando acessos legítimos. E , com a IA, estão acelerando e repetindo esses ataques mais rapidamente do que nunca.

O objetivo não é mais simplesmente criptografar dados. Trata-se de obter controle sobre sistemas críticos da empresa e criar uma vantagem para fins de extorsão.

Os invasores estão rastreando os dados

À medida que os dados migraram para plataformas em nuvem e aplicativos SaaS, a superfície de ataque também se alterou. Atualmente, os criminosos adaptam cada vez mais suas táticas para atacar identidades e, em seguida, comprometer os backups, o que significa que a estratégia de recuperação se torna tão crítica quanto a prevenção.

Se um invasor obtiver controle de uma conta com privilégios, ele poderá, com frequência, contornar os controles de segurança tradicionais e obter acesso a sistemas de produção, ferramentas administrativas e backups. A partir daí, ele poderá desativar, modificar ou excluir pontos de recuperação, aumentando drasticamente o impacto de um incidente.

Os resultados são preocupantes: 94% das vítimas têm seus backups alvo de ataques. Os criminosos sabem que, para muitas empresas, esses backups representavam sua “apólice de seguro” e que, se forem roubados, elas não terão mais nada a que recorrer. Isso as deixa vulneráveis à extorsão.

Se os invasores controlarem seu tenant, eles controlarão seus backups

Como diz o velho ditado: não coloque todos os ovos na mesma cesta.

Uma falha comum de projeto em ambientes de nuvem é armazenar backups dentro do mesmo locatário e da mesma fronteira de segurança que as cargas de trabalho de produção. Quando isso ocorre, os backups frequentemente herdam as mesmas identidades, permissões e controles administrativos dos sistemas que se destinam a proteger. Se uma conta for comprometida, os backups também o serão.

Não dá para contar com fornecedores como a Microsoft para impedir essas invasões. Eles podem ajudar a implementar medidas para mitigar violações, mas, no fim das contas, são responsáveis apenas pela disponibilidade da plataforma. Os dados, as identidades, as configurações e a forma como esses serviços são utilizados continuam sendo, em última instância, de responsabilidade do cliente.

Talvez o mais importante seja que as plataformas em nuvem não conseguem determinar a intenção. Se uma solicitação for feita usando credenciais válidas e permissões suficientes, a plataforma não tem como saber com segurança se a ação está sendo realizada por um funcionário autorizado ou por um invasor que está usando credenciais roubadas.

Construindo para a resiliência

É aí que entra a resiliência cibernética. Não se trata apenas de prevenir incidentes. Trata-se de projetar ambientes de forma que, quando algo acontecer, seja possível conter o problema, se recuperar rapidamente e manter os negócios em funcionamento.

Quando falamos sobre resiliência cibernética na nuvem, tudo se resume, na verdade, a alguns princípios fundamentais.

Controles rigorosos de identidade e acesso reduzem a probabilidade de violação, mas a resiliência também exige a proteção das próprias cópias de segurança por meio da imutabilidade e do isolamento.

Mais uma vez, o esquema 3-2-1-1-0 é a defesa mais sólida:

3 cópias dos dados (para proteção contra perda de dados)
2 formatos diferentes (armazenados em pelo menos dois tipos de mídia)
1 cópia externa (para proteção contra desastres físicos)
1 cópia imutável (garantindo backups à prova de ransomware)
Não tenho dúvidas de que você conseguirá recuperar os dados (testes regulares garantem a confiabilidade)

O uso de tecnologias como o armazenamento WORM (write once read many) ou instantâneos imutáveis significa que, mesmo que um invasor obtenha privilégios de administrador, ele não poderá modificar ou excluir facilmente seus pontos de recuperação.

É fundamental testar sua recuperação

Esse é o “0” da abordagem 3-2-1-1-0. Não se trata apenas de ter backups. O que importa é se você consegue se recuperar quando algo dá errado. Se você não testou, não validou e não comprovou que consegue restaurar rapidamente, na verdade está apenas torcendo para que tudo funcione quando você mais precisar.

E é aí que começa o desafio. Muitas organizações presumem que serão capazes de se recuperar, mas, sem um plano de recuperação de desastres testado, essa suposição se torna uma aposta. Empresas que não possuem um plano desse tipo costumam levar semanas para se recuperar de um ataque.

As três perguntas que você precisa saber responder são:

Meus backups são realmente úteis?
Onde posso restaurar minhas cargas de trabalho caso o ambiente primário seja comprometido?
Até que ponto o processo de recuperação pode ser automatizado, em vez de ser reconstruído manualmente sob pressão?

Se você não conseguir responder a essas perguntas com segurança, estará deixando seus dados vulneráveis a um ataque de resgate.

Leia o artigo da Datto “O guia definitivo sobre BCDR: Por que o backup e a recuperação de desastres são importantes”