Proteção contra o sequestro de dados (ransomware)

5 min · 7 seções

Um sequestro de dados não é um disco que quebra. É um programa que entra —quase sempre por um PC da casa, não pelo NAS—, criptografa tudo em que consegue escrever e deixa um bilhete pedindo dinheiro. E a primeira coisa que qualquer um dos que circulam hoje faz é procurar e excluir os backups, porque sabem que é a única coisa que acaba com o negócio deles.

Por isso este guia não é sobre “fazer backups”. É sobre os backups continuarem lá quando isso acontecer.

O que protege e o que não protege

Medida	Salva de uma criptografia?	Por quê
RAID (mirror, RAID-Z)	Não	O RAID copia o que você manda, inclusive os arquivos já criptografados. Protege de um disco quebrar, de nada mais.
Lixeira da pasta da casa	Não	Fica dentro da mesma pasta e com as mesmas permissões: quem criptografa também a esvazia.
Snapshot normal	Em parte	O conteúdo não pode ser modificado, mas o snapshot pode ser excluído por quem chegar a root.
Snapshot com cadeado	Sim	O ZFS se recusa a destruí-lo enquanto o cadeado estiver posto. É o que você deve usar.
Backup em um disco USB desconectado	Sim	O que não está conectado não é criptografado. Continua sendo o melhor backup que existe.
Backup na nuvem ou em outro servidor	Em parte	Se o NAS pode escrever e excluir no destino, o atacante também pode. Veja mais abaixo.

1. Snapshots com cadeado (a primeira coisa a fazer)

Armazenamento → Proteção → Snapshots. Cada snapshot de um pool ZFS tem um botão Proteger. Ao clicar nele, ele recebe um “hold” do ZFS e, a partir desse momento:

O botão Excluir do painel não o exclui (aparece desativado).
A limpeza automática por antiguidade das tarefas agendadas não o exclui.
O zfs destroy pelo console não o exclui, nem mesmo como root: o sistema de arquivos se recusa enquanto o cadeado continuar posto.

Para tirá-lo, é preciso entrar no painel, clicar em Protegido e confirmar. É de propósito um passo manual: se um programa pudesse tirá-lo sozinho, não serviria para nada.

O Btrfs não tem equivalente. Os snapshots dele são somente leitura, mas qualquer um com root os exclui com um comando. Se você leva isso a sério, o pool vai em ZFS.

Quantos proteger. Um cadeado para cada ponto ao qual você gostaria de voltar: o do último dia tranquilo e um por mês. Os diários podem continuar girando sem cadeado. Lembre-se de que um snapshot protegido ocupa espaço para sempre —ele guarda tudo o que mudou depois dele—, então confira de vez em quando o tamanho dele na lista e tire os que sobrarem.

2. Snapshots automáticos, e antes do backup

Painel de controle → Tarefas agendadas → tarefa do tipo snapshot, com sua retenção. Recomendação para uma casa: um por dia às 3:00 com retenção de 14.

Um snapshot é instantâneo e não ocupa nada ao ser criado (só cresce conforme os dados vão mudando), então ser generoso sai barato.

3. Que o backup externo não possa ser excluído pelo NAS

Aqui está a falha que quase todo mundo tem: o NAS guarda a senha do destino, então quem controla o NAS controla também o backup. Opções, da melhor para a pior:

Um disco USB que se conecta, recebe a cópia e se desconecta. Parece coisa antiga e é o mais eficaz que existe. Uma vez por semana basta.
Nuvem com lixeira ou versões próprias. O Google Drive e o OneDrive guardam o que foi excluído na própria lixeira por 30 dias, e essa lixeira não pode ser mexida pelo NAS: se seus arquivos forem criptografados e o backup subir criptografado, você ainda pode recuperar a versão anterior pelo site do provedor. É por isso que um destino na nuvem não é luxo.
Um servidor por SSH na casa de um parente, com uma conta que só possa escrever, nunca excluir. Isso precisa ser configurado no destino, não daqui.

Em qualquer um dos três casos, o backup do NAS mantém versões anteriores: veja Backups.

4. Reduzir o que um PC infectado pode alcançar

Uma pasta da casa para cada coisa, e permissões por usuário. Se o notebook da sala só monta Documentos, uma criptografia vinda dele não chega a Fotos. Painel de controle → Pastas da casa → permissões.
Os convidados, somente leitura. Não há nada para marcar: uma pasta “para convidados” deixa qualquer um ler e não deixa ninguém escrever.
Não deixe o SMB aberto para a internet. A porta 445 no roteador é a via de entrada mais usada que existe. Para entrar de fora, use a VPN.
Senhas diferentes para o painel, para o SMB e para o usuário do Windows.

5. Se já aconteceu

Desconecte o cabo de rede do NAS. Antes de qualquer coisa: enquanto ele estiver conectado, a criptografia continua avançando pela rede.
Não pague e não reinicie o PC infectado; desligue-o.
Entre no painel pelo monitor ligado ao próprio NAS (modo quiosque) ou com o cabo de rede direto em um notebook.
Armazenamento → Proteção → Snapshots: encontre o último anterior ao desastre —a data dos arquivos criptografados diz quando começou— e use Restaurar.

No ZFS, restaurar faz um rollback: o dataset volta àquele momento e **os snapshots posteriores são excluídos**. Proteja antes o que você vai usar, caso erre a data.
No Btrfs, restaurar deixa uma cópia gravável à parte, que você revisa antes de substituir qualquer coisa.

Limpe o PC de origem antes de conectar o NAS à rede de novo. Senão, tudo se repete.

O procedimento completo, com as variantes de disco com defeito e reinstalação, está em Recuperação de desastres.

Verificação anual (5 minutos)

O último snapshot com cadeado é deste mês? → Armazenamento → Proteção → Snapshots.
O último backup terminou bem? → Backups → histórico.
Você sabe restaurar? → restaure um arquivo qualquer de um snapshot e abra-o. Um backup que você nunca restaurou não é um backup.