Cópias de segurança imutáveis contra ransomware

O padrão de ataque deliberado: encriptar ou eliminar as cópias de segurança, depois a produção

Os operadores de ransomware moderno profissionalizaram o seu manual de procedimentos. Antes de acionar a carga útil de encriptação na produção, os atacantes passam dias a mapear a rede em busca de lacunas na segurança da rede: identificando o servidor de cópias de segurança, credenciais de funcionários e palavras-passe deixadas em scripts, e a política de acesso que protege cada repositório. Assim que obtêm acesso e estão em posição, desativam ou eliminam primeiro essas cópias e, em seguida, encriptam os dados de produção.

A sequência é deliberada. Uma empresa que consegue restaurar em poucas horas tem poucos incentivos para pagar; uma cujas cópias foram eliminadas dias antes não tem essa opção, e o atacante conta com isso. Um ataque deste tipo não se trata apenas de encriptar dados, trata-se de remover todos os caminhos de restauro que uma empresa possui.

É por isso que uma única credencial comprometida é agora o maior risco numa estratégia de proteção. O controlo de acesso e as suas proteções de identidade, segurança e operações são a primeira linha de defesa, mas os piratas informáticos e as tentativas de acesso não autorizado não param por aí: uma conta com acesso de escrita a um bucket de armazenamento pode eliminar todos os objetos e todas as datas de retenção em minutos, a menos que algo na própria camada de armazenamento recuse essa instrução.

Feche o caminho de acesso: MFA, sensibilização para phishing e exercícios de restauro

A imutabilidade protege a cópia, mas não protege a porta pela qual o atacante entrou. Quase todos os incidentes começam com uma credencial roubada, e o phishing continua a ser o método de entrega mais comum, geralmente um e-mail que parece rotineiro. Três controlos são importantes em torno da própria camada de armazenamento.

Exija MFA na consola de armazenamento e em todas as contas que possam alterar uma política de retenção. A autenticação multifator é o controlo de maior valor aqui, porque o MFA quebra o passo de repetição de credenciais de que dependem os ciberataques deste tipo, e o MFA na consola é rápido de implementar. Mantenha as credenciais de serviço num gestor de palavras-passe, não em scripts, e verifique se a rotação de palavras-passe acontece realmente. Dê formação regular aos funcionários sobre e-mails suspeitos e gestores de palavras-passe, para que um funcionário que receba um o denuncie em vez de o abrir. Os funcionários que conhecem o modelo de ameaças são uma defesa mais barata do que qualquer produto, e as ameaças que chegam a um funcionário informado param geralmente aí, sendo um relatório de um funcionário frequentemente o primeiro sinal que um funcionário lhe dá. E execute um exercício de restauro num calendário regular: a única forma de identificar um caminho de recuperação quebrado é exercitá-lo antes que um incidente o faça. Monitorize também as tentativas de eliminação no bucket: um pico de eliminações recusadas é um sinal precoce fiável de que as credenciais foram comprometidas. Monitorize também as atualizações de políticas, uma vez que as atualizações de retenção são o que um atacante tenta primeiro.

Nada disto substitui a segmentação de rede ou a proteção de endpoints no lado da produção, e não é um quadro completo de cibersegurança. É a camada que impede que uma única conta de funcionário comprometida se transforme numa interrupção à escala da empresa.

O ciberseguro e as auditorias exigem agora cópias imutáveis demonstráveis

As seguradoras que renovam apólices cibernéticas fazem agora perguntas diretas: essas cópias são imutáveis, estão logicamente isoladas da produção e consegue demonstrar um teste de restauro bem-sucedido? As empresas que não conseguem responder com provas enfrentam prémios mais elevados ou a recusa da apólice. A maioria das empresas descobre isto na renovação, não antes. O primeiro passo é estabelecer e documentar os seus processos de restauro de cópias de segurança, depois realizar testes de restauro regulares e monitorização contínua para garantir que continuam a funcionar à medida que o seu ambiente muda.

Os requisitos de conformidade seguiram a mesma direção, tal como os questionários de segurança de dados dos clientes. Quer provenha de controlos ISO 27001, auditorias específicas do setor ou da própria avaliação de risco de um cliente, "temos cópias de segurança" já não é uma resposta aceitável. Cada organização que enfrenta ameaças de ciberataques modernos precisa cada vez mais de provar que uma cópia de segurança não pode ser alterada ou eliminada durante um período de retenção definido, independentemente de quais funcionários ou contas o tentem.

Essa prova é importante porque uma cópia de segurança imutável reduz de forma mensurável a probabilidade de uma credencial comprometida destruir tanto a produção como o seu caminho de restauro. A fasquia passou de "existe uma cópia de segurança" para "conseguimos demonstrar um caminho de restauro que um atacante não consegue destruir facilmente."

Três cópias, dois tipos de suporte, uma fora do local (e uma imutável)

A regra 3-2-1, três cópias em dois tipos de suporte com uma fora do local, tem sido a base da proteção de dados durante uma década, e a lógica mantém-se: se um sistema ou localização falhar, resta outro caminho.

O ransomware altera o cálculo. Se um atacante conseguir aceder a todas as cópias através das mesmas credenciais ou do mesmo caminho de rede, o "fora do local" por si só não protege a sua empresa; apenas desloca o risco para outro lado. É por isso que muitas empresas e equipas de cópias de segurança tratam agora a regra como 3-2-1 mais uma cópia imutável: uma cópia de segurança que sobrevive mesmo depois de o resto do ambiente ter sido comprometido.

O que significa realmente 'imutável' na camada de armazenamento de objetos

A imutabilidade não é uma definição dentro do seu software, é uma garantia imposta pela camada de armazenamento. Com o Object Lock ativado e um período de retenção definido, o sistema recusa qualquer eliminação ou substituição até que esse período expire, incluindo pedidos feitos com acesso de administrador válido.

Não importa se o pedido utiliza uma palavra-passe de funcionário válida, uma conta comprometida ou o próprio payload de ransomware: o sistema, por conceção, não permitirá a alteração. Isso protege a cópia da técnica exata em que este malware se baseia, utilizando acesso roubado para modificar ou apagar tudo o que consegue alcançar.

11 noves de durabilidade e um SLA de disponibilidade de 99,99% em 3-AZ

Uma cópia de segurança que não consegue restaurar rapidamente não tem muita utilidade. Toda a infraestrutura de Object Storage da OVHcloud foi concebida para onze noves de durabilidade (99,999999999%), não apenas as regiões com 3 zonas de disponibilidade (3-AZ), pelo que a perda de dados devido a falhas de hardware é extraordinariamente improvável, independentemente de onde a cópia se encontre. O SLA de disponibilidade de 99,99% aplica-se ao modo de implementação de 3 zonas de disponibilidade (3-AZ). Os administradores precisam que o destino de restauro esteja disponível quando ocorre um incidente de segurança, e não apenas a prova de que os dados estavam seguros anteriormente. É também a dimensão que os clientes classificam mais alto: Estabilidade com 4,51/5 e Disponibilidade com 4,50/5 nas pontuações NPS.

Sem taxas de saída no restauro entre serviços OVHcloud

O restauro de um grande volume de dados após um incidente não deve acrescentar uma fatura imprevisível a um evento já dispendioso. Não existem taxas de saída entre serviços OVHcloud, pelo que o restauro para uma instância Public Cloud, um servidor Bare Metal ou qualquer outro recurso OVHcloud não acarreta custos de transferência separados, e o custo de um restauro permanece previsível. Isso torna a recuperação mais fácil de orçamentar quando o tempo é mais importante.

Hierarquize a sua retenção para controlar custos: Standard → Active Archive → Cold Archive

Nem todas as cópias necessitam da mesma classe de armazenamento durante o mesmo período de tempo. As políticas de ciclo de vida movem objetos de Standard para Active Archive para retenção a médio prazo, e depois para Cold Archive para retenção regulamentar, enquanto o Object Lock permanece em vigor em todas as classes.
O Active Archive custa cerca de 4,5 € por TiB e o Cold

Archive cerca de 1,7 € por TiB, ambos bem abaixo do Standard para dados que raramente restaura. Essa hierarquização permite que a sua empresa mantenha uma política de retenção imutável de vários anos para conformidade, correspondendo à maioria dos requisitos da indústria, sem pagar taxas de armazenamento premium durante todo o tempo. Reveja e atualize regularmente a política de ciclo de vida à medida que os requisitos de retenção ou os volumes de dados mudam.

Soberania e conformidade: RGPD, HDS, ISO 27701, sem exposição ao CLOUD Act

Os dados de cópia de segurança contêm frequentemente algumas das informações mais valiosas e sensíveis de uma empresa: dumps de bases de dados, estado de aplicações, propriedade intelectual, snapshots completos de sistemas e, por vezes, dados pessoais abrangidos pelo RGPD. O local onde esses dados residem, e a jurisdição legal aplicável, são importantes para a soberania digital, a proteção de dados e para requisitos específicos do setor, como HDS ou ISO 27701, incluindo para operadores de infraestruturas críticas e indústrias reguladas.

O OVHcloud Object Storage é alojado e operado em centros de dados europeus, sem exposição ao CLOUD Act, uma vez que a OVHcloud não é uma empresa sujeita aos requisitos de divulgação dessa lei. As certificações atuais incluem ISO 27001, 27017, 27018 e 27701 para gestão de privacidade, com a qualificação SecNumCloud para o Object Storage no roteiro. Isso transforma este armazenamento numa parte da gestão de risco, da postura de conformidade e das operações comerciais da organização, e não apenas num utilitário operacional.