Fala, pessoal!
Hoje quero comentar sobre um conceito que poucos falam, mas vejo como importante para empresas que conseguem se recuperar de um ataque e aquelas que não se recuperam. Já ouviram falar do Air-Gapped Backup?
A gente já observa um aumento agressivo de ataques de ransomware direcionados e posso dizer que garantir que os dados estejam "backupeados" já não é mais suficiente. Se o atacante conseguir acesso de administrador à nossa rede, podem ter certeza que a primeira coisa que ele quer fazer é achar e se possível, destruir os repositórios de backup.
E é aqui que entra o conceito de Air-Gap (ou isolamento físico). Em termos simples: o que não está conectado à rede não pode ser hackeado.
O conceito do "Vão de ar"
Pensa assim: Imagine que existe um "vão de ar" literal entre os dados de produção e o backup. Para que uma estratégia seja considerada genuinamente air-gapped, ela precisa cumprir dois requisitos:
1. Isolamento eletrônico: O dispositivo de destino não possui endereço IP ativo na rede de produção, não responde a comandos locais e fica completamente isolado da internet fora da janela de gravação.
2. Isolamento físico ou lógico rígido: O acesso às credenciais de escrita e ao hardware é extremamente restrito e segregado do restante do ambiente.
Se um malware infectar o servidor principal ou o próprio Backup Server, ele simplesmente não consegue saltar por esse "vão de ar" para criptografar o repositório protegido.
Como aplicar o Air-Gap na prática?
No dia a dia, a gente costuma dividir essa abordagem em duas frentes:
1. Air-gap físico (O modelo tradicional)
Funciona como sendo o cenário clássico do uso de mídias removíveis, como fitas magnéticas (LTO) ou HDs externos. Assim que o job de backup é concluído, a mídia é ejetada e removida fisicamente do rack.
Na prática, o operador leva essa fita para um cofre anti-incêndio ou para uma empresa de custódia, tipo Iron Mountain, NewSpace. Como o hacker não tem acesso no data center, os dados salvos ali estão 100% protegidos contra qualquer ameaça digital.
2. Air-gap lógico ou imutabilidade (O modelo moderno)
Basicamente, sabemos que mover fitas manualmente exige esforço operacional e encarece o RTO, então o mercado evoluiu para o isolamento lógico combinado com nuvem ou storages dedicados.
Então, na prática, os dados são enviados para um repositório isolado, que pode ser um bucket na nuvem ou mesmo on-premises, em um appliance protegido. Assim que a transferência acaba, a conexão é bloqueada via software por firewalls restritivos. Além disso, ativa-se uma política de imutabilidade. A gente conhece isso nas fitas do tipo WORM (Write Once, Read Many): O arquivo não pode ser deletado ou alterado por ninguém durante um período de retenção predefinido, nem mesmo por uma conta de Admin comprometida.
Então, físico ou lógico: Qual escolher?
Veja abaixo um comparativo que ajuda a planejar qual abordagem seria a melhor:
A evolução da regra 3-2-1
Muitos de nós crescemos seguindo a clássica regra 3-2-1 (3 cópias de dados, em 2 mídias diferentes, sendo 1 fora do site). Ou pelo menos tentando implementar.... hahah. Porém, diante do cenário atual de ameaças, o mercado adotou uma outra: a regra 3-2-1-1.
Esse último "1" representa a obrigatoriedade de manter pelo menos uma cópia dos dados em estado imutável ou sob efeito de Air-gap. É como se fosse uma carta na manga que garante a resiliência do ambiente e a continuidade do negócio quando todas as outras defesas falharem. Lembrem-se, somos a última linha de defesa da empresa.
Não deixe de revisar seu ambiente. Faça sugestões aos seus superiores. Esteja à frente das ameaças. Formalize suas idéias/propostas.
E se você já implementou alguma estratégia de Air-gap ou imutabilidade no seu ambiente, deixa um comentário relatando sua experiência.
Aquele abraço
Sasso
