Grupos de ransomware não atacam apenas os dados de produção — eles mapeiam e atacam o backup deliberadamente, porque sabem que é a única coisa que impede a empresa de simplesmente restaurar tudo e ignorar o pedido de resgate. Proteger o backup, portanto, exige mais do que uma cópia extra dos dados: exige camadas de defesa específicas contra um atacante que já está dentro da rede.
Abaixo estão as camadas que, na prática, fazem a diferença entre um backup que sobrevive a um incidente e um que se torna mais uma vítima.
1. Imutabilidade dos dados
É a base de tudo: cópias que não podem ser apagadas ou sobrescritas durante um período definido, seja via Hardened Repository Linux, seja via object storage com Object Lock. Sem essa camada, todas as demais são secundárias — um atacante com credenciais suficientes ainda consegue destruir o backup.
2. Autenticação multifator (MFA)
O console do Veeam Backup & Replication e o acesso aos servidores de repositório devem exigir MFA. Isso reduz drasticamente o risco de uma credencial vazada ou reutilizada (phishing, credential stuffing) ser suficiente para comprometer o ambiente de backup.
3. Autorização de quatro olhos (Four-Eyes Authorization)
O Veeam permite configurar operações críticas — como exclusão de backups, desativação da imutabilidade ou alteração de retenção — para exigir aprovação de um segundo administrador antes de serem executadas. Isso cria uma barreira contra dois cenários: um atacante que já comprometeu uma conta administrativa, e também o risco de erro humano ou ação maliciosa interna.
Nenhuma pessoa sozinha — nem o administrador mais graduado — deveria conseguir excluir um job de backup ou reduzir seu período de retenção sem uma segunda validação.
4. Controle de acesso baseado em função (RBAC)
Nem todo operador de backup precisa de acesso administrativo total. O Veeam suporta perfis de permissão granulares, permitindo que operadores de rotina (monitoramento, execução de restaurações pontuais) trabalhem sem ter privilégio para alterar configurações de retenção, imutabilidade ou exclusão.
5. Segmentação de rede
O servidor de backup e, principalmente, o repositório de armazenamento devem estar isolados em uma VLAN própria, com regras de firewall restritivas. Um servidor de repositório não deveria ser alcançável a partir da rede de usuários finais, e idealmente não deveria sequer estar integrado ao Active Directory — eliminando um caminho de propagação comum em ataques que começam com uma conta de domínio comprometida.
6. Detecção de anomalias e malware no fluxo de backup
Versões mais recentes do Veeam (v12 em diante) incluem detecção de indicadores de comprometimento diretamente no fluxo de backup — analisando entropia dos dados (indício de criptografia por ransomware) e padrões de I/O incomuns durante o próprio processo de backup, o que pode alertar sobre um ataque em andamento antes mesmo que ele seja percebido em produção.
7. Testes de restauração recorrentes
Fechando o ciclo: nenhuma camada acima tem valor se a restauração não funcionar quando for necessária. Jobs de verificação automatizada (SureBackup) devem rodar periodicamente para as cargas de trabalho críticas — o tema do nosso artigo sobre a regra 3-2-1-1-0.
Como essas camadas se combinam
Nenhuma dessas medidas isoladamente é suficiente. A resiliência real vem da combinação: imutabilidade impede a destruição dos dados já gravados; MFA e RBAC reduzem a chance de uma credencial comprometida ter alcance total; a autorização de quatro olhos cria uma segunda barreira humana; a segmentação de rede limita o raio de propagação de um ataque; e a verificação automatizada garante que, quando tudo isso for necessário, a restauração realmente funcione.
Quantas dessas camadas o seu ambiente já tem?
Fazemos uma avaliação de segurança do seu ambiente de backup Veeam ponta a ponta.