Proteção Contra Ransomware

Home > Soluções de Backup para Empresas > Proteção Contra Ransomware

Recentemente, as sequências de ataques de ransomware têm como alvo inicial a infraestrutura de backup, pois destruir as opções de recuperação antes de iniciar a criptografia deixa as vítimas sem outra saída a não ser pagar o resgate. A pesquisa “State of Ransomware 2024” da Sophos (baseada em uma pesquisa com 5.000 profissionais de TI e segurança em 14 países) constatou que os invasores tentaram comprometer os sistemas de backup em 94% dos incidentes, tendo obtido sucesso em 57% dessas tentativas. Como os custos de recuperação eram cerca de oito vezes maiores, as vítimas estavam quase duas vezes mais propensas a pagar o resgate.

Na verdade, a dimensão do problema só cresceu ao longo do último ano. O Relatório sobre Ransomware e Ameaças Cibernéticas de 2026 da GuidePoint Security registrou um aumento de 58% em relação ao ano anterior no número de vítimas de ransomware em 2025, com 7.515 organizações adicionadas a sites de vazamento de dados ao longo do ano. Isso torna 2025 o ano mais ativo já registrado para ataques de ransomware.

Quando os sistemas de backup e de produção compartilham credenciais, uma única conta comprometida atinge ambos. Para proteger os backups contra ransomware, o ambiente de backup precisa de seu próprio modelo de autenticação e armazenamento que nenhuma credencial do lado da produção possa acessar.

O Bacula Enterprise foi desenvolvido para combater o comprometimento de backups no nível da arquitetura e é a solução de backup preferida da NASA e de algumas das maiores organizações militares do mundo. Seus componentes principais rodam no Linux, o que elimina do modelo de ameaças toda uma classe de vetores de ransomware direcionados ao Windows.

O projeto de proteção contra ransomware do Bacula para backups baseia-se em contas de serviço isoladas, criptografia em conformidade com a norma FIPS 140-3, volumes de armazenamento imutáveis e no BGuardian, um módulo para monitoramento avançado de segurança e detecção de ameaças, a fim de manter os dados de backup intactos e recuperáveis mesmo quando o ambiente de produção tiver sido totalmente comprometido.

FAÇA SEU PLANO DE RECUPERAÇÃO DE DESASTRES WHITE PAPER SOBRE RANSOMWARE

Como o Bacula Enterprise protege os backups contra ransomware

Uma arquitetura de backup projetada para oferecer disponibilidade e velocidade se comporta de maneira muito diferente durante um ataque ativo do que em condições normais de operação. O Bacula Enterprise foi desenvolvido para manter os dados de backup intactos durante um ataque ativo, executando seus componentes principais em uma infraestrutura separada baseada em Linux. O acesso ao armazenamento é feito por meio de contas de serviço independentes, e todas as conexões de rede entre os componentes são projetadas partindo do pressuposto de que qualquer nó da rede já pode estar comprometido.

Isolamento arquitetônico

A arquitetura do Bacula foi projetada especificamente para bloquear as duas principais vias pelas quais o ransomware costuma invadir um sistema de backup (acesso à rede compartilhada e credenciais compartilhadas com o ambiente de produção) por meio da segmentação de rede e de contas de serviço totalmente isoladas.

Núcleo baseado em Linux: O Director e o Storage Daemon do Bacula são executados no Linux. A maioria das cargas úteis de ransomware é criada para ser executada no Windows e percorrer caminhos de arquivos acessíveis pelo Windows. Em um host Linux, essas cargas úteis não têm ambiente de execução.
Direção de conexão invertida: O Storage Daemon inicia conexões com o File Daemon (e não o contrário); as máquinas clientes não precisam de portas de entrada abertas para o sistema de backup. Um invasor em um cliente comprometido não tem nenhum serviço em escuta para se conectar no lado do backup.
Contas de serviço isoladas por padrão: A instalação padrão do Bacula executa cada daemon sob sua própria conta de serviço restrita. Nenhuma credencial de produção pode acessar o armazenamento de backup, e nenhuma conta de serviço de backup possui permissões além do necessário para as operações de backup.
Segmentação de rede: Os servidores de backup, incluindo o Director, podem ser executados em uma VLAN separada, inacessível a partir dos sistemas de produção. O movimento lateral a partir de um host de produção comprometido é interrompido na fronteira da rede.

Armazenamento imutável e offline

O isolamento arquitetônico limita o alcance de um invasor na infraestrutura de backup. Por sua vez, o armazenamento imutável e offline limita os danos que um invasor pode causar aos dados de backup no caso de uma violação do isolamento.

Volumes de disco imutáveis: O Bacula suporta volumes de disco com bloqueio de gravação que não podem ser alterados ou excluídos após a gravação, mesmo por uma conta com credenciais do serviço de backup.
Imutabilidade NFS via NetApp SnapLock: Para organizações que utilizam armazenamento NetApp, o Bacula integra-se ao SnapLock para impor a imutabilidade no nível do hardware de armazenamento, fora do alcance de qualquer ataque na camada de software.
Imutabilidade do HPE StoreOnce: O Bacula oferece suporte à proteção contra gravação imposta por hardware em dispositivos HPE StoreOnce para organizações nesse ecossistema de armazenamento.
Fita isolada: Volumes de fita ejetados da biblioteca e armazenados offline são fisicamente inacessíveis a qualquer ataque baseado em rede. O suporte a fitas do Bacula abrange uma ampla gama de trocadores automáticos e hardware LTO, e as fitas podem ser etiquetadas, arquivadas e gerenciadas por meio das ferramentas integradas do Bacula.
Tarefas de cópia de backup: O mecanismo de tarefa de cópia de backup do Bacula grava pontos de restauração em um destino de armazenamento separado, sob uma política de retenção diferente da tarefa de backup primária. A tarefa de cópia é executada de forma independente, com suas próprias credenciais de armazenamento e seu próprio caminho de acesso. Um conjunto de backup primário corrompido ou excluído não afeta os pontos de restauração da tarefa de cópia.

Detecção ativa de ameaças com o BGuardian

Os operadores de ransomware modernos passam semanas dentro de uma rede identificando a infraestrutura de backup e testando credenciais antes de acionar uma carga de criptografia, bem abaixo do limiar de atividade que o monitoramento padrão consegue detectar. O BGuardian é um plug-in do Bacula Director que realiza análises estatísticas e de configuração em todo o ambiente Bacula, em uma cadência programada de tarefas administrativas. Ele gera relatórios em HTML e JSON com uma estrutura de alertas persistente que distingue problemas recém-detectados daqueles já reconhecidos em execuções anteriores.

Detecção de desvios no backup: Quando um ransomware começa a criptografar arquivos em um sistema de origem antes da execução de um backup, a tarefa captura menos dados do que o previsto pela sua linha de base estatística. O BGuardian detecta isso por meio de uma análise de regressão em três eixos por tarefa: bytes processados, número de arquivos e duração da tarefa. Os resultados que se desviam significativamente da linha de base calculada recebem uma classificação de gravidade Alta, Média ou Baixa e são sinalizados para revisão.
Relatórios de tarefas de malware e ransomware: O serviço de detecção de infecções do BGuardian relata todas as tarefas de backup nas quais a camada de proteção contra malware do Bacula detectou ransomware ou malware durante a execução. Cada detecção gera um alerta persistente vinculado ao cliente específico, ao nome da tarefa e ao ID da tarefa, sendo que a resposta recomendada é o isolamento imediato da rede do host afetado antes que qualquer tarefa de backup subsequente seja executada nele.
Monitoramento de eventos de segurança: O serviço securityevents do BGuardian consulta o log de eventos interno do Bacula em busca de entradas classificadas na categoria de segurança, incluindo tentativas de autenticação falhadas no bconsole contra o Director. Um padrão de conexões falhadas com o Director é um indicador de enumeração de credenciais contra o plano de gerenciamento de backup, e o BGuardian exibe essas entradas no mesmo ciclo de relatório que o restante de sua análise, em vez de exigir um processo separado de revisão de logs.

Avaliação de configuração segura: A cada execução, o BGuardian audita toda a configuração do Director em relação a uma linha de base de segurança documentada, verificando problemas como senhas de daemons fracas ou duplicadas, daemons em execução sob o usuário root e destinos de armazenamento em nuvem não criptografados. Cada descoberta recebe um código de alerta para que os administradores possam escalar ou suprimir itens individuais sem perder a visibilidade dos demais.
Detecção de falhas consecutivas: O serviço failedinarow do BGuardian identifica tarefas que falharam consecutivamente mais do que um número configurável de vezes. Falhas consecutivas em um cliente específico ou no Daemon de Armazenamento são operacionalmente distintas de erros transitórios aleatórios e justificam uma investigação para determinar se um serviço foi interrompido, se um destino de armazenamento ficou inacessível ou se um componente está sob interferência ativa.

*O BGuardian está disponível a partir da versão 16.0.12 do Bacula Enterprise e pode ser implementado em qualquer plataforma na qual o Bacula Director possa ser instalado.

Criptografia em toda a pilha

Uma interceptação de rede ou um destino de armazenamento comprometido só é útil para um invasor se os dados expostos forem legíveis. O Bacula criptografa os dados de backup no nível dos componentes, no nível da rede e no nível do armazenamento, de forma independente. Uma violação em qualquer uma dessas camadas não dá ao invasor acesso a dados utilizáveis.

Em conformidade com a norma FIPS 140-3: O Bacula atende à norma federal de criptografia utilizada pelo governo dos EUA e por organizações militares.
AES 128, AES 192 e AES 256: O nível de criptografia é configurável por cliente. As organizações podem aplicar algoritmos de criptografia mais robustos a cargas de trabalho mais confidenciais, sem sobrecarregar computacionalmente todo o ambiente de maneira uniforme.
TLS para todas as comunicações entre componentes: O tráfego de rede entre o Director, o Storage Daemon e o File Daemon é transmitido via TLS por padrão. Os dados de backup em trânsito são criptografados mesmo em redes onde outro tráfego tenha sido interceptado.

Criptografia do Storage Daemon: Os dados gravados no armazenamento em nuvem ou em disco são criptografados no Storage Daemon antes de saírem da infraestrutura de backup. O destino de armazenamento recebe apenas texto cifrado. Um invasor que obtenha acesso ao meio de armazenamento não terá como acessar os dados subjacentes sem a chave de criptografia.
Criptografia granular para armazenamento não confiável: Para destinos de backup fora do controle direto da organização, o Bacula aplica criptografia por armazenamento. Uma conta na nuvem comprometida ou um sistema de armazenamento de terceiros não expõe dados de backup legíveis.

Principais recursos da proteção contra ransomware para backups

Volumes de armazenamento imutáveis: Os dados de backup gravados em disco, NAS ou armazenamento de objetos podem ser bloqueados contra modificações ou exclusões no nível do volume, o que significa que um invasor com credenciais válidas do serviço de backup não pode sobrescrever ou destruir pontos de recuperação.
Suporte a fitas isoladas fisicamente: Os volumes de fita ejetados da biblioteca e armazenados offline ficam fisicamente inacessíveis a qualquer ataque baseado em rede. Consequentemente, as organizações ganham um caminho de recuperação que nenhuma violação de credenciais ou invasão de rede pode eliminar.
Criptografia AES por cliente: Os dados de backup são criptografados em AES 128, AES 192 ou AES 256 por cliente, de modo que uma violação em qualquer destino de armazenamento expõe apenas os dados desse cliente. O restante do ambiente de backup permanece protegido.
Detecção de ameaças do BGuardian: O BGuardian executa análises de desvio estatístico, relatórios de detecção de malware e avaliações de configuração segura em uma programação diária. Anomalias que indicam atividade ativa de ransomware ou controles de acesso mal configurados aparecem nos relatórios do BGuardian antes que o ransomware atinja os dados de backup.

Autenticação multifatorial e OTP: A MFA protege as interfaces de gerenciamento do Bacula, com autenticação por senha de uso único (OTP) disponível para acesso ao BWeb por meio de funções biométricas do smartphone. Uma senha comprometida, por si só, não é suficiente para acessar o plano de gerenciamento de backup.
Detecção silenciosa de corrupção de dados: O Bacula compara os dados já copiados com suas assinaturas originais e identifica volumes nos quais os dados se deterioraram no nível do armazenamento, sem que isso tenha gerado um erro de gravação visível.
Integração com SIEM: O Bacula encaminha eventos de segurança para plataformas SIEM externas. A atividade da infraestrutura de backup torna-se visível nos fluxos de trabalho de monitoramento de segurança e resposta a incidentes da organização, e não fica mais fora do campo de visão do SOC.
Verificação de backup SHA256 e SHA512: As tarefas de verificação do Bacula calculam assinaturas SHA256 ou SHA512 em relação a arquivos previamente catalogados. Qualquer incompatibilidade de assinatura significa que um arquivo foi modificado entre as execuções de backup. Os administradores obtêm detecção em nível de arquivo de alterações não autorizadas sem precisar executar uma ferramenta de integridade separada.

Bacula Enterprise: Cobertura completa de plataformas

Segurança e conformidade de backup

O Bacula Enterprise integra controles de segurança em todas as camadas da pilha de backup, desde o transporte de dados até o destino de armazenamento, de modo que a arquitetura de backup à prova de ransomware não requer ferramentas de segurança de terceiros para alcançar o seguinte:

Cópias de backup imutáveis. O armazenamento compatível com WORM bloqueia os dados de backup contra modificações ou exclusões após a gravação. Não existe nenhum caminho acessível pela rede para os pontos de recuperação para um invasor que possua credenciais de serviço válidas.
Criptografia AES por cliente. Configurável em AES 128, AES 192 ou AES 256 por cliente, da fonte até o destino de armazenamento. Um destino de armazenamento violado expõe apenas os dados desse cliente, e não todo o conjunto de backups.
Conformidade com a norma FIPS 140-3. Os módulos criptográficos atendem ao padrão federal exigido por organizações governamentais e militares em todos os daemons suportados.
Controles de acesso granulares. As permissões do usuário abrangem tarefas específicas, fluxos de trabalho de restauração e funções de gerenciamento. Nenhuma conta individual possui acesso desnecessário em todo o ambiente de backup.
Auditoria completa de atividades. Cada backup, restauração e alteração de configuração é registrada com a identidade do usuário e a data e hora. As equipes de segurança obtêm uma trilha de auditoria ininterrupta para investigação de incidentes e análise de conformidade.
Integração com SIEM. Os eventos de segurança da infraestrutura de backup são transmitidos para plataformas SIEM externas, incorporando a camada de backup aos fluxos de trabalho de resposta a incidentes existentes na organização, em vez de deixá-la como um ponto cego fora do SOC.
Suporte à estrutura regulatória. Os controles da plataforma atendem aos requisitos do GDPR, HIPAA, SOC 2, PCI DSS e NIST por meio de criptografia, políticas de retenção configuráveis e registros de auditoria detalhados.

Armazenamento e Recuperação

Uma estratégia de backup contra ransomware fracassa se a própria recuperação for lenta, não tiver sido testada ou estiver limitada a um único caminho. O Bacula oferece aos administradores várias opções de recuperação independentes, de modo que nenhum ponto único de falha impeça a capacidade de restauração:

Fita isolada fisicamente. Os volumes de fita ejetados da biblioteca e armazenados offline ficam fisicamente inacessíveis a qualquer ataque baseado em rede. Nenhuma violação de credenciais, por mais profunda que seja, atinge uma fita ejetada.
Tarefas de cópia de backup. Os pontos de restauração são gravados em um destino de armazenamento separado, sob credenciais independentes e uma política de retenção diferente. Um conjunto de backup primário corrompido ou excluído não afeta os pontos de restauração da tarefa de cópia.
Recuperação completa do sistema. O Bacula recupera um servidor completo a partir do zero, incluindo o sistema operacional, os aplicativos e os dados, sem exigir uma instalação manual prévia. São suportados sistemas Linux e Windows, com suporte a UEFI e EFI.
Vários tipos de destinos de armazenamento. Os backups são gravados em disco local, NAS, SAN, bibliotecas de fitas e armazenamento de objetos em nuvem, incluindo S3, Azure e Google Cloud, dentro de uma única política. As organizações implementam a regra 3-2-1-1 sem precisar gerenciar ferramentas separadas para cada destino.
Fluxos de trabalho de armazenamento em camadas. Os dados de backup são movidos automaticamente entre camadas de armazenamento à medida que envelhecem, mantendo pontos de restauração recentes em armazenamento rápido, enquanto dados mais antigos são transferidos para destinos de menor custo ou offline.
Replicação geográfica de backup. Conjuntos de backup são copiados para locais de armazenamento geograficamente separados. Uma interrupção em todo o site não leva os pontos de recuperação junto com ela.
Validação automatizada de restauração. A capacidade de recuperação é confirmada por meio de testes automatizados. Os administradores de backup sabem que os pontos de recuperação estão utilizáveis antes que um incidente force a questão.

Cobertura para vários ambientes

O ransomware não faz distinção quanto ao tipo de carga de trabalho. O Bacula protege servidores físicos, máquinas virtuais, contêineres, bancos de dados e infraestrutura em nuvem por meio de um único mecanismo de políticas e uma única trilha de auditoria:

Virtualização multiplataforma. A integração nativa abrange VMware vSphere, Hyper-V, KVM, Red Hat Virtualization, Xen, Azure VM, Proxmox, Nutanix AHV e OpenStack, com aplicação consistente de políticas em todos os hipervisores.
Suporte a contêineres e nativo para nuvem. Proteção completa para ambientes Docker, Kubernetes e OpenShift, abrangendo volumes persistentes e instantâneos consistentes com o aplicativo.
Backup de banco de dados. O suporte a backup a quente abrange Oracle, SQL Server, MySQL, PostgreSQL, SAP HANA, MariaDB, Percona e IBM DB2 com total consistência transacional. Os backups de banco de dados são confiáveis para recuperação, não apenas para armazenamento.
Proteção de aplicativos SaaS. O Microsoft 365, o Google Workspace e o Exchange Online são protegidos com capacidade de restauração granular, chegando até e-mails individuais e entradas de calendário.
Integração de armazenamento multicloud. O suporte nativo abrange as interfaces S3, Azure, Google Cloud, Oracle Cloud e Glacier. As organizações não ficam limitadas a um único provedor de nuvem para armazenamento de backup.
Ambiente Windows. O Sistema de Arquivos Criptografados do Windows, o Microsoft VSS com MS SQL Server e Exchange, o Active Directory e os snapshots de pontos de montagem são todos cobertos por um único agente do Windows.

Gerenciamento e administração de backups

BWeb Management Suite. A interface gráfica de usuário (GUI) baseada na web do Bacula lida com a configuração de tarefas, monitoramento, geração de relatórios e análise de segurança em todo o ambiente de backup a partir de uma única interface.
Escalabilidade sem limites. A mesma arquitetura de plataforma gerencia ambientes que vão desde um pequeno número de servidores até implantações com milhares de servidores, tudo sob um único plano de gerenciamento.
Isolamento de locatários. MSPs e grandes empresas dividem o ambiente de backup em unidades administradas de forma independente. Cada unidade possui sua própria configuração, políticas e controles de acesso.
Integração com sistemas externos. O Bacula se conecta a ferramentas de monitoramento, sistemas de tickets de TI e serviços de diretório, incluindo LDAP e Active Directory. Não é necessário desenvolvimento personalizado.
Licenciamento independente de volume. As taxas de licença são baseadas no tamanho do ambiente, não no volume de dados. A capacidade de backup cresce sem acarretar custos mais elevados.

Melhores práticas para backup contra ransomware

Siga a regra 3-2-1-1: Mantenha três cópias dos dados em dois tipos diferentes de mídia, sendo que uma cópia deve estar fora do local e outra offline. A cópia offline é aquela que sobrevive a um comprometimento total da rede. *O Bacula gerencia todos os quatro requisitos a partir de um único mecanismo de políticas.
Isole as credenciais de backup da produção: Execute daemons de backup sob contas de serviço que existam exclusivamente para operações de backup, sem sobreposição com as credenciais de produção. Uma conta de produção que seja comprometida não deve ter acesso algum ao armazenamento de backup. O Bacula faz isso por padrão, executando cada daemon sob sua própria conta de serviço restrita.
Não confunda snapshots de armazenamento com backup à prova de ransomware: Os snapshots carecem de gerenciamento de retenção independente e armazenam todos os dados no mesmo sistema que os dados primários. Qualquer ataque que atinja o armazenamento primário atinge também os snapshots. Eles são uma ferramenta útil de recuperação para exclusões acidentais, não um substituto para cópias de backup isoladas e autenticadas de forma independente.
Nunca confie nas diferenças do sistema de arquivos como uma barreira de segurança: Um sistema de arquivos inacessível para o ransomware de hoje pode não ser inacessível para o de amanhã. A segurança não deve basear-se na suposição de que um invasor não pode atravessar um determinado protocolo ou tipo de sistema de arquivos. Ela deve provir do controle de acesso e da autenticação.

Execute o BGuardian diariamente: BGuardian detecta indicadores de contaminação de backup, vulnerabilidades de configuração e comportamentos anômalos de tarefas antes que se transformem em uma falha total de recuperação. Programe-o como uma tarefa de administração do Bacula para ser executada fora dos horários de pico e analise seus relatórios como parte da rotina operacional padrão.
Teste as restaurações regularmente: Um backup que nunca foi restaurado é uma suposição não comprovada. Execute tarefas de restauração periodicamente em diferentes tipos de clientes e destinos de armazenamento. O serviço restorefrequency do BGuardian sinaliza tarefas cuja frequência de restauração caiu abaixo de um limite configurável, para que lacunas nos testes de restauração não passem despercebidas.
Criptografe os dados de backup antes que eles saiam da infraestrutura de backup: A criptografia do Storage Daemon significa que o destino de armazenamento recebe apenas texto cifrado. Uma conta na nuvem comprometida ou um sistema de armazenamento de terceiros não expõe dados legíveis. Aplique criptografia a qualquer destino de armazenamento fora do controle direto da organização.

Perguntas frequentes

O que é a proteção contra ransomware para backups?

A proteção contra ransomware para backups refere-se às medidas arquitetônicas e operacionais que mantêm os dados de backup recuperáveis após um ataque de ransomware. Os operadores de ransomware modernos têm como alvo a infraestrutura de backup antes de acionar a carga de criptografia; portanto, a proteção requer um armazenamento que não possa ser modificado ou excluído por um invasor, uma autenticação independente das credenciais de produção e um monitoramento ativo que detecte indicadores de ransomware antes que eles atinjam os dados de backup.

O Bacula verifica se há malware nos dados de backup?

Sim. O serviço de detecção de infecções do BGuardian reporta todas as tarefas nas quais a camada de proteção contra malware do Bacula detectou ransomware ou malware durante a execução, gerando um alerta persistente vinculado ao cliente específico, ao nome da tarefa e ao ID da tarefa, para que os administradores saibam exatamente qual sistema foi afetado antes que a próxima tarefa de backup seja executada nele.

O que é a regra de backup 3-2-1-1?

A regra 3-2-1 significa manter três cópias dos dados em dois tipos diferentes de mídia, com uma cópia fora do local. Na era do ransomware, o Bacula recomenda adicionar um quarto requisito: uma cópia deve estar offline e fisicamente inacessível a qualquer ataque baseado em rede. Volumes de fita ejetados da biblioteca e armazenados fora do local satisfazem esse requisito e oferecem às organizações um caminho de recuperação que nenhuma violação de credenciais ou invasão de rede pode eliminar.

O que devo fazer se meus backups estiverem infectados com ransomware?

Isole imediatamente os sistemas afetados da rede para impedir a propagação antes de executar qualquer operação de restauração. Verifique se sua solução de backup possui cópias imutáveis ou isoladas fisicamente que não estavam acessíveis durante o ataque, pois esses são seus pontos de recuperação mais seguros. Verifique a integridade do backup antes de restaurar, uma vez que restaurar a partir de um backup comprometido reintroduz a infecção. Se a sua plataforma de backup incluir detecção de malware, analise seus relatórios para identificar exatamente quais tarefas e clientes foram afetados antes de decidir quais pontos de restauração são seguros para uso.

Quanto tempo leva a recuperação de ransomware?

O tempo de recuperação depende de quanto da infraestrutura de backup foi comprometida e de quão bem o caminho de recuperação foi preparado antes do ataque. A pesquisa da Sophos de 2024 constatou que as organizações cujos backups foram comprometidos tinham muito menos chances de se recuperar em uma semana, em comparação com aquelas cujos backups permaneceram intactos. Organizações com procedimentos testados de recuperação bare metal, pontos de restauração offline limpos e validação automatizada de restauração em vigor geralmente se recuperam significativamente mais rápido do que aquelas que precisam reconstruir seu ambiente do zero.

O ransomware pode criptografar ou excluir dados de backup do Bacula?

Não, se o armazenamento imutável estiver configurado. O Bacula suporta volumes de disco com bloqueio de gravação, imutabilidade NFS via NetApp SnapLock e imutabilidade de hardware HPE StoreOnce, todos os quais bloqueiam a modificação ou exclusão por meio de qualquer operação acessível pela rede, incluindo operações realizadas com credenciais válidas do serviço de backup. Volumes de fita isolados fisicamente (air-gapped) ejetados da biblioteca adicionam uma camada física que nenhum ataque baseado em rede pode alcançar, independentemente das credenciais que um invasor possua.

Como o Bacula identifica atividades de ransomware antes que elas corrompam os dados de backup?

O BGuardian executa uma análise de desvio estatístico em todas as tarefas de backup, medindo os bytes processados, a contagem de arquivos e a duração da tarefa em comparação com a linha de base histórica de cada tarefa. Uma queda nos bytes processados é um indicador pré-criptografia documentado: os arquivos no sistema de origem já estavam criptografados antes da execução da tarefa, de modo que a tarefa capturou menos dados do que a linha de base previa. O BGuardian sinaliza o desvio com uma classificação de gravidade e gera um alerta persistente com registro de data e hora.

Um servidor de produção comprometido dá ao invasor acesso ao Bacula?

Não. O Daemon de Armazenamento inicia conexões com o Daemon de Arquivos, portanto, um cliente comprometido não tem nenhum serviço em escuta no lado do backup para acessar. Cada daemon é executado sob sua própria conta de serviço isolada, o que significa que as credenciais de produção não possuem permissões dentro do ambiente de backup.

O Bacula Enterprise é compatível com a norma FIPS 140-3?

Sim. Os módulos criptográficos do Bacula atendem à norma FIPS 140-3 em todos os daemons compatíveis. O BGuardian monitora ativamente o status FIPS no Director, nos Daemons de Armazenamento e nos Daemons de Arquivo, e sinaliza qualquer daemon em que o modo FIPS não esteja ativo.

Os backups do Bacula resistem a uma ameaça interna?

Sim. Cada acesso e alteração de configuração é registrado com a identidade do usuário e a data e hora. Isso fornece às equipes de segurança uma trilha de auditoria forense para identificar exatamente qual conta realizou qual ação e quando. Os controles de acesso granulares do Bacula restringem as permissões a tarefas específicas e fluxos de trabalho de restauração, de modo que nenhuma conta de administrador possui acesso desnecessário ao ambiente de backup.

O Bacula se integra a ferramentas externas de monitoramento de segurança?

Sim. O Bacula alimenta plataformas SIEM com eventos de segurança, incorporando eventos do Director, tentativas de autenticação malsucedidas e alertas do BGuardian aos fluxos de trabalho de resposta a incidentes já existentes na organização. A infraestrutura de backup é um ponto cego comum na cobertura do SOC, e essa integração o elimina.

Backups à prova de ransomware: proteja seus backups contra ransomware com o Bacula Enterprise