Quando um ataque de ransomware avança dentro de uma rede, o alvo final quase sempre é o mesmo: o backup. Se o atacante consegue apagar ou criptografar as cópias de segurança, a empresa perde a única saída sem pagar resgate. É exatamente esse cenário que o Hardened Repository do Veeam foi desenhado para impedir.
Diferente de um repositório de backup convencional — que depende apenas de permissões de sistema operacional e credenciais de acesso — o Hardened Repository aplica uma camada de imutabilidade real no nível do sistema de arquivos. Mesmo que um invasor obtenha credenciais de administrador do Veeam Backup & Replication, ele não consegue apagar ou alterar os arquivos de backup durante o período de imutabilidade configurado.
Como funciona na prática
O Hardened Repository roda sobre um servidor Linux dedicado, geralmente com distribuições enxutas (Ubuntu Server, Rocky Linux ou Debian) atuando exclusivamente como repositório de backup — sem outros serviços expostos. Duas peças técnicas sustentam a proteção:
1. Sistema de arquivos XFS com reflink
O Veeam usa o recurso de reflink do sistema de arquivos XFS para criar synthetic full backups de forma extremamente eficiente, sem reescrever blocos de dados já existentes. Isso reduz drasticamente o tempo de geração de backups sintéticos e o desgaste de disco, além de ser pré-requisito para a imutabilidade funcionar de forma performática.
2. Atributo imutável do Linux (chattr +i)
Ao gravar cada bloco de backup, o Veeam Data Mover aplica o atributo immutable do sistema de arquivos Linux nos arquivos, usando uma chamada equivalente a:
chattr +i /repositorio/backup/arquivo.vibCom esse atributo ativo, nenhum usuário — nem mesmo o root — consegue apagar, renomear ou sobrescrever o arquivo até que o período de imutabilidade configurado expire. Essa é a diferença central em relação a permissões tradicionais: não é controle de acesso, é uma trava no próprio sistema de arquivos.
Ataques modernos de ransomware frequentemente comprometem contas de administrador antes de atingir o backup. Um repositório protegido apenas por senha cai nesse cenário. O Hardened Repository resiste porque a trava está no sistema de arquivos, não nas credenciais.
Isolamento e superfície de ataque reduzida
Para que a proteção seja efetiva, o Veeam recomenda um conjunto de práticas de hardening no próprio servidor Linux:
- Modo sem SSH persistente: o repositório pode operar sem um servidor SSH ativo continuamente, usando um "one-time" período de conexão apenas durante operações de gerenciamento.
- Servidor dedicado: nenhum outro serviço, aplicação ou usuário deve ter acesso ao host — reduz a superfície de ataque a praticamente zero.
- Segmentação de rede: o repositório fica isolado em uma VLAN própria, com regras de firewall restringindo a comunicação apenas ao servidor de backup.
- Sem integração a domínio (Active Directory): evita que uma conta de domínio comprometida tenha qualquer caminho de acesso ao repositório.
- Atualizações e monitoramento contínuo do próprio sistema operacional do repositório, tratado como ativo crítico de segurança.
O que o Hardened Repository não substitui
Imutabilidade não é a única linha de defesa. Ela protege contra exclusão e criptografia maliciosa dos dados já gravados, mas não substitui outras camadas — como controle de acesso, MFA e segmentação — nem dispensa testes de restauração periódicos. O ideal é tratá-lo como uma peça dentro de uma estratégia mais ampla, que é justamente o tema do nosso próximo artigo sobre a regra 3-2-1-1-0.
Seu backup resistiria a um ataque hoje?
Fazemos um diagnóstico do seu ambiente Veeam e apontamos os pontos de exposição.