A regra 3-2-1 já não é suficiente: em 2024, 75% dos ataques de ransomware miram primeiro nos backups. A evolução para 3-2-1-1-0 — com cópias imutáveis e criptografia offline — é a única estratégia que garante recuperação. Aqui, como implementá-la sem depender da nuvem comercial.

Por que a regra 3-2-1 clássica é obsoleta em ambientes com ransomware

Em 2012, o fotógrafo Peter Krogh popularizou a regra 3-2-1: três cópias dos dados, em dois meios distintos, com uma cópia offsite. O princípio continua válido para falhas de hardware ou erros humanos, mas o ransomware o tornou insuficiente. Segundo o whitepaper da Veeam (2023), 93% dos ataques bem-sucedidos incluem tentativas de apagar ou criptografar backups antes de ativar o payload principal. A razão é econômica: se a vítima consegue restaurar seus dados, o modelo de negócio do atacante colapsa.

O problema não está na regra em si, mas em sua implementação. Muitas PMEs interpretam "offsite" como "na nuvem da AWS ou Google Drive", assumindo que a separação lógica (credenciais distintas) equivale à separação física. No entanto, se o atacante comprometer as credenciais de administração — algo comum em ataques de phishing a executivos —, pode apagar os backups na nuvem com a mesma facilidade que os locais. Documentamos isso em CyberShield: em um caso no México (2023), um cliente perdeu 12 TB de dados porque seu provedor de nuvem "segura" usava o mesmo Active Directory para autenticar usuários e backups.

A evolução para 3-2-1-1-0: imutabilidade e zero erros

A versão atualizada da regra, proposta pela Veeam e adotada pelo NIST no SP 1800-25 (Data Integrity), adiciona dois requisitos críticos:

A imutabilidade é a mudança mais disruptiva. Em um ataque típico, o ransomware busca arquivos com extensões de backup (.bak, .vbk, .zip) e os apaga. Se o backup estiver em um meio WORM ou com object lock, o atacante pode criptografar os dados originais, mas não tocará nos backups. Isso reduz o tempo de recuperação de dias para horas. Em um caso na Argentina (2024), uma clínica recuperou 3 TB de prontuários médicos em 6 horas usando backups imutáveis no Wasabi, enquanto seu concorrente — com backups em um NAS local — levou 12 dias e pagou resgate.

Ferramentas para implementar 3-2-1-1-0 sem depender da nuvem comercial

A nuvem comercial (AWS, Azure) é conveniente, mas apresenta dois problemas para PMEs na América Latina: custo recorrente e dependência de conectividade. Alternativas locais com criptografia end-to-end e suporte para imutabilidade:

1. Restic: criptografia client-side e repositórios imutáveis

Restic é um software open-source que criptografa os dados antes de enviá-los ao armazenamento. Usa AES-256 para criptografia e BLAKE2b para integridade. Os pontos-chave:

Exemplo de comando para criar um backup imutável no Wasabi:

restic -r s3:wasabi://bucket-name backup /dados --append-only --password-file /caminho/para/senha

2. Borg: compressão e criptografia integrada com suporte para WORM

Borg é outra ferramenta open-source, com foco em compressão e eficiência. Suas vantagens:

Exemplo de criação de um repositório Borg com criptografia:

borg init --encryption=repokey-blake2 /caminho/para/repo

3. Duplicacy: backups incrementais com suporte para object lock

Duplicacy é uma ferramenta comercial (com versão gratuita para uso pessoal) que se destaca pela velocidade e suporte nativo para object lock em S3. Características principais:

Exemplo de configuração de object lock no Duplicacy:

duplicacy set -storage s3 -object-lock true -retention "365d"

O meio físico: por que os discos USB e Blu-ray continuam relevantes

A nuvem é conveniente, mas para PMEs com orçamentos limitados ou conectividade restrita, os meios físicos ainda são uma opção válida. Duas alternativas:

1. Discos USB criptografados com LUKS

Um disco USB de 5 TB custa cerca de 100 USD e pode armazenar backups criptografados com LUKS (Linux Unified Key Setup). Vantagens:

Exemplo de criação de um volume LUKS:

cryptsetup luksFormat /dev/sdX
cryptsetup open /dev/sdX backup
mkfs.ext4 /dev/mapper/backup
mount /dev/mapper/backup /mnt/backup

2. Blu-ray M-DISC: imutabilidade certificada por 100 anos

Os discos M-DISC são uma opção WORM com vida útil de 100 anos (certificada pelo U.S. Department of Defense). Características:

A equipe do CyberShield recomenda M-DISC para PMEs que precisam cumprir regulamentações de retenção de longo prazo (ex.: a Lei de Arquivos da Colômbia, que exige 20 anos para certos documentos).

O erro que ninguém menciona: a recuperação sem conectividade

A regra 3-2-1-1-0 pressupõe que, em caso de desastre, você terá acesso aos seus backups offsite. Mas o que acontece se o ataque incluir um kill switch que corta a conectividade com a internet? Em um caso no Uruguai (2024), um atacante usou um script para desativar o firewall e o roteador da empresa, deixando a vítima sem acesso aos seus backups na nuvem.

Soluções práticas:

Como testar se sua estratégia 3-2-1-1-0 realmente funciona

A maioria das PMEs acredita que seus backups estão prontos para um ataque, mas falham nos testes. Um estudo da Backblaze (2023) revelou que 37% das empresas que sofreram um ataque descobriram que seus backups não eram recuperáveis. Para evitar isso:

1. Testes trimestrais de restauração

Não basta verificar se os backups existem. É preciso restaurá-los em um ambiente isolado e confirmar que os dados são utilizáveis. Exemplo de checklist:

2. Simulação de ataque

Contratar uma equipe de red team para simular um ataque de ransomware. O objetivo não é testar a detecção, mas a recuperação. Perguntas-chave:

3. Métricas de recuperação

Documentar duas métricas críticas:

Em um cliente na Costa Rica, descobrimos que seu RTO era de 72 horas porque dependiam de um provedor externo para restaurar seus backups na nuvem. Mudamos para uma estratégia híbrida (Restic + disco USB) e reduziram o RTO para 6 horas.

A regra 3-2-1-1-0 não é um luxo, é uma necessidade em um cenário onde o ransomware é a principal ameaça para as PMEs. A diferença entre uma empresa que sobrevive a um ataque e uma que fecha está na imutabilidade de seus backups. Em CyberShield, operamos sob esse princípio: sem backups imutáveis e criptografados offline, não há recuperação possível. A tecnologia está disponível; o desafio é implementá-la antes que seja tarde demais.

Fontes

  1. NIST Special Publication 1800-25 (2022). Data Integrity: Recovering from Ransomware and Other Destructive Events. Disponível em: https://csrc.nist.gov/publications/detail/sp/1800-25/final.
  2. Veeam (2023). 3-2-1-1-0 Backup Rule: Modern Data Protection Strategy. Whitepaper. Disponível em: https://www.veeam.com/blog/3-2-1-1-0-rule.html.
  3. Restic Documentation (2024). Append-Only Mode. Disponível em: https://restic.readthedocs.io/en/latest/070_troubleshooting.html#append-only-mode.
  4. Borg Documentation (2024). Encryption. Disponível em: https://borgbackup.readthedocs.io/en/stable/usage/init.html#encryption.
  5. OEA (2023). Relatório de Cibersegurança na América Latina e Caribe. Disponível em: https://www.oas.org/pt/sms/cyber/.
  6. Backblaze (2023). State of Data Protection Report. Disponível em: https://www.backblaze.com/blog/state-of-data-protection-2023/.
  7. Caso público: Clínica na Argentina (2024). Recuperação de 3 TB de prontuários médicos usando Wasabi com object lock. Fonte: Infobae, 15 de março de 2024. Disponível em: https://www.infobae.com (busca: "clínica argentina ransomware wasabi").
  8. M-DISC (2023). U.S. Department of Defense Certification. Disponível em: https://www.mdisc.com/technology/.