Proteja os seus backups contra ransomware

Proteja os seus backups contra ransomware com armazenamento imutável

O ransomware moderno elimina os seus backups antes de encriptar o ambiente de produção. Sem uma cópia limpa, as únicas opções são pagar o resgate ou reconstruir de raiz. O Object Storage da OVHcloud com Object Lock torna os backups impossíveis de eliminar até que o período de retenção expire, mesmo com as credenciais de administrador comprometidas.
Descubra o Object StorageLer a documentação
Ilustração de nomes de domínio

Os atacantes desativam os backups antes de encriptar os dados

Os operadores de ransomware localizam o seu repositório de backups, roubam as credenciais e eliminam as cópias antes de acionar a carga útil de produção. Uma empresa capaz de restaurar os seus dados tem poucas razões de pagar; aquelas cujos backups foram eliminados não têm escolha. Uma única conta com permissão de escrita pode apagar todos os objetos em questão de minutos, a menos que a camada de armazenamento recuse esta instrução.
[object Object]

Object Lock: backups que a camada de armazenamento se recusa a eliminar

WORMCompatível com S3
O Object Lock é aplicado na camada de armazenamento, não dentro do seu software de backup. Todos os pedidos de eliminação ou substituição são recusados até que o período de retenção expire, incluindo pedidos com credenciais de administrador válidas.

O controlo de versões preserva cada versão anterior; assim, um objeto alterado antes de o bloqueio entrar em vigor continua a manter um histórico limpo e restaurável. Ative ambos quando criar o bucket.
Descubra o Object StorageLer a documentação
Ilustração isométrica de armazenamento de backups na cloud imutável com containers de objetos bloqueados, nós regionais replicados e escudos de segurança, em tons de azul e ciano

O modelo de proteção de quatro camadas

Object Lock (WORM)

Recusa qualquer eliminação ou substituição até que o período de retenção expire, incluindo por parte das contas de administrador. Irreversível depois de definido. O Legal Hold aplica um bloqueio por tempo indeterminado a objetos individuais.

Controlo de versões

Preserva todas as versões anteriores em vez de as substituir diretamente. Um ficheiro alterado antes do bloqueio continua a ter um histórico limpo e restaurável. Necessário para que o Object Lock funcione

Replicação Assíncrona S3

Cópia automatizada numa região separada, independente das credenciais principais. Sem transferência manual. O estado de bloqueio acompanha cada objeto até ao destino.

Encriptação em repouso

SSE-C para chaves auto-geridas; SSE-OVHcloud Managed Keys para o ciclo de vida delegado. Os objetos encriptados são ilegíveis se um atacante chegar à camada de armazenamento.

Quatro razões para escolher armazenamento imutável

Todas as camadas trabalham em conjunto para que uma credencial comprometida não possa destruir a sua recuperação.
[object Object]
Backups que sobrevivem a um administrador comprometido
Backups imutáveis, Object Lock aplicado
[object Object]
Cópia isolada numa região separada
Backup 3-2-1 com armazenamento de objetos imutável
[object Object]
Sem taxas de saída no restauro
Restauro após ransomware a um custo previsível
[object Object]
Infraestrutura soberana da UE, sem CLOUD Act
Backups imutáveis em armazenamento soberano da UE
O Object Storage da OVHcloud tem certificação Veeam Ready. É compatível com HYCU, Cohesity e Veritas NetBackup através da API S3. Configure a imutabilidade na sua ferramenta: O Object Lock aplica a retenção na camada de armazenamento de forma independente, mesmo que a aplicação seja comprometida. Para Kubernetes, tanto o Velero como o CloudCasa funcionam. A integração é uma alteração de endpoint, não uma rearquitetura.
Utilize awscli, Rclone, Restic, Duplicati ou Plakar. Um pipeline testado localmente passa para a produção apenas com uma alteração de endpoint. Ative o Object Lock e o controlo de versões na criação do bucket; a camada de armazenamento impõe a retenção independentemente do seu script.
Tanto o Velero como o CloudCasa suportam o Object Storage da OVHcloud como destino de backup através da API S3. Os volumes persistentes são protegidos com imutabilidade configurada diretamente no bucket; o Object Lock aplica a retenção na camada de armazenamento, independentemente da aplicação. Compatível com o Managed Kubernetes Service da OVHcloud.
O Object Storage da OVHcloud tem certificação Veeam Ready. É compatível com HYCU, Cohesity e Veritas NetBackup através da API S3. Configure a imutabilidade na sua ferramenta: O Object Lock aplica a retenção na camada de armazenamento de forma independente, mesmo que a aplicação seja comprometida. Para Kubernetes, tanto o Velero como o CloudCasa funcionam. A integração é uma alteração de endpoint, não uma rearquitetura.

Uma segunda cópia numa região separada, fora de alcance

Anti-afinidadeBackup 3-2-1Backup remoto
Um backup armazenado junto ao ambiente de produção partilha as suas credenciais e o seu raio de impacto.

A Replicação Assíncrona S3 mantém uma cópia automatizada numa região separada da OVHcloud, independente das credenciais principais. Quando combinada com o Object Lock, é preciso que um atacante comprometa duas regiões para destruir todos os caminhos de restauro. Não é necessária qualquer transferência manual.
Descubra o Object Storage
[object Object]

Melhores práticas operacionais para manter intacto o seu caminho de restauro

Aplique a MFA em todas as contas que possam alterar uma política de retenção

A MFA interrompe a etapa de reutilização de credenciais da qual o ransomware depende. Exija-a na consola de armazenamento e em todas as contas que possam modificar uma política de retenção. Armazene as credenciais de serviço num gestor de palavras-passe. Monitorize as tentativas de eliminação: um pico de eliminações recusadas é um sinal precoce de comprometimento.

Execute simulações de restauro antes que um incidente o obrigue a isso

Teste o seu caminho de recuperação antes que um incidente o faça. Agende simulações regulares de restauro e documente os resultados. As seguradoras solicitam cada vez mais esta prova na renovação. Um backup não testado é uma suposição, não uma garantia.

Hierarquize as classes de armazenamento para controlar os custos de retenção a longo prazo

As políticas de ciclo de vida movem os objetos de Standard para Active Archive e, em seguida, para Cold Archive, enquanto que o Object Lock permanece em vigor em todas as camadas. Mantenha uma política de retenção imutável de vários anos sem pagar preços premium durante todo o período.

Proteja-se em quatro passos

Crie um bucket com o Object Lock ativado

O Object Lock deve ser ativado quando cria um bucket e não pode ser adicionado posteriormente. Ative o controlo de versões ao mesmo tempo. Defina o período de retenção padrão para corresponder aos seus objetivos de recuperação.

Aponte a sua ferramenta de backup para o endpoint

Veeam, Rclone ou awscli: basta uma alteração no endpoint. A camada de armazenamento aplica a retenção de forma independente

Ative a replicação entre regiões

A replicação assíncrona S3 mantém uma cópia automatizada numa segunda região, sem transferência manual ou credenciais partilhadas entre regiões

Execute uma simulação de restauro e documente-a

Restaure um backup real a partir do bucket imutável e registe o resultado. Isto valida o caminho de recuperação e satisfaz os requisitos de auditoria

Comprove a imutabilidade para seguradoras e auditores

Nas renovações de ciberseguros, perguntam agora diretamente: as cópias são imutáveis, isoladas e consegue apresentar um teste de restauro? Aqueles que não conseguem responder com provas enfrentam prémios mais elevados ou a recusa de cobertura. As auditorias ISO 27001 e os questionários aos clientes seguem a mesma lógica. O Object Storage da OVHcloud opera em infraestruturas na UE, com certificações ISO 27001/27017/27018/27701 e sem exposição ao CLOUD Act.
[object Object]
Comece com um teste gratuito e restaure antes de se comprometer
Ative o Object Lock, execute uma tarefa de backup e restaure-o. A avaliação abrange o teste e a prova.
Comece já o seu teste gratuito