Monitorar e defender os dados

14 min · 9 seções

Um NAS guarda os arquivos da casa inteira — ou do escritório inteiro — e fica ligado 24 horas sem ninguém olhando. Este guia cobre as seis peças que cuidam disso: as três que servem para recuperar o que se estraga, e as três que servem para ficar sabendo que algo vai mal.

Versões anteriores

Nada para ligar: aparece em toda pasta compartilhada cujo volume guarde snapshots.

No Windows aparece a aba “Versões anteriores” ao clicar com o botão direito em um arquivo ou em uma pasta, e no Mac o mesmo em “Reverter Para”. Lá dentro está o arquivo exatamente como estava em cada snapshot do volume.

O importante não é a aba: é quem a usa. Sem ela, recuperar um arquivo exige avisar quem administra o NAS, que entra no painel e o restaura. Com ela, a pessoa que acabou de estragar o próprio documento o recupera sozinha, do seu computador, em dez segundos.

Precisa de snapshots. O que aparece nessa aba é o que o volume tiver guardado; se não houver snapshots agendados, a aba fica vazia. Agende-os em Armazenamento → Snapshots (um diário com quinze de retenção é um bom ponto de partida) e espere pelo primeiro.

É somente leitura e mostra o que foi guardado com as permissões da época: cada pessoa vê as versões das pastas em que já pode entrar. A ficha de cada pasta, em Painel de controle → Pastas da casa, diz quantas o Windows vai mostrar e de quando é a mais recente, ou por que não há nenhuma.

Se a aba aparecer vazia

Por ordem de probabilidade:

1. Ainda não há snapshots desse volume. É o caso normal no primeiro dia.
2. A pasta é um dataset próprio e os snapshots são do volume pai (ou o contrário). O painel calcula sozinho o lugar certo para cada pasta, mas se você tem um dataset por pasta, os snapshots precisam ser DESSE dataset.
3. Os snapshots foram criados à mão com outro nome. O painel os nomeia auto-AAAAMMDD-HHMMSS, e o Windows precisa desse padrão exato para poder ordená-los por data. Os que você criou com outro nome não vão aparecer ali (continuam existindo e são restaurados pelo painel como sempre).

Quem mexeu em quê

Painel de controle → Pastas da casa → (uma pasta) → “Registrar quem exclui e quem move”. Consulta-se em Central de registros → “Quem mexeu em quê”.

Responde à pergunta que não tinha resposta: quem excluiu a pasta? Com isto ligado, o NAS registra cada exclusão, cada renomeação e cada pasta nova feita por SMB, com o usuário e o dispositivo de onde foi feito.

Só se registra o que destrói ou move. Registrar também as leituras e as aberturas encheria o registro com milhares de linhas por minuto — um Windows abre e fecha arquivos sem parar — e o dado que importa se perderia no meio.

Não é guardado em nenhum arquivo à parte: vai para o diário do sistema, que já faz a rotação sozinho e sobrevive às reinicializações.

Tipos de arquivo que uma pasta recusa

Edição Empresarial. Na ficha de cada pasta da casa (Editar) você pode dizer o que ela não deve aceitar:

• Programas do Windows: .exe, .bat, .msi, .ps1, .vbs e parecidos. Para pastas de documentos, onde ninguém tem motivo para guardar um programa.
• Rastros de ransomware: as extensões deixadas pelos programas que criptografam arquivos para pedir resgate, e as notas de pagamento. Se um dispositivo do escritório for infectado, o que foi criptografado não volta para a pasta.
• Outros, os seus, separados por vírgulas. * vale por qualquer coisa: *.iso recusa todas as imagens de disco; cópia de *, tudo o que começar assim.

O que barra e o que não:

• Barram a rede do Windows e do Mac, o WebDAV e o que se envia, copia ou renomeia pelo Arquivos, que avisa que a pasta não aceita esse tipo de arquivo; o Windows e o Mac mostram um erro de “não encontrado” e não salvam.
• NFS e SFTP não sabem recusar pelo nome: o que entrar por ali, entra.
• Por WebDAV dá para renomear para um desses tipos um arquivo que já estava lá.
• O que já existia não é apagado: deixa de aparecer pela rede do Windows e do Mac, e continua no Arquivos, onde você pode mover ou apagar.

Antivírus

Painel de controle → Segurança → Antivírus.

A pergunta razoável primeiro: para que um NAS com Linux quer um antivírus? Não é para se proteger — o Linux não executa um .exe — mas para não ser o entregador. Os arquivos das pastas da casa são abertos pelos notebooks da casa, e lá eles são executados. Um cavalo de Troia em “Documentos” pode passar meses viajando de um computador para outro, e o NAS é o único lugar de onde dá para ver tudo de uma vez.

• Analisa as pastas que você escolher, manualmente ou uma vez por semana.
• E, entre análises, vigia o que vai chegando: a cada poucos minutos olha **só os arquivos novos**. É a diferença entre ficar sabendo em dez minutos ou em seis dias — que é o tempo até a próxima análise completa, com o arquivo na pasta da casa e ao alcance de todos os dispositivos da casa enquanto isso. Leva segundos porque são os arquivos dos últimos minutos, não dois teras.
• Usa as assinaturas do ClamAV, que se atualizam sozinhas — e diz a idade delas. Um antivírus com assinaturas de meio ano atrás dá a mesma sensação de segurança que um em dia e não reconhece nada deste ano; se o serviço que as baixa parar de funcionar, isso aparece na tela e no relatório semanal.
• De fábrica, só avisa. Mover o arquivo de alguém sem perguntar, com os falsos positivos que qualquer antivírus tem, assusta mais do que o aviso. Se você preferir quarentena, o arquivo sai da pasta da casa e fica em <volume>/.cuarentena, onde ninguém mais o abre.
• A quarentena pode ser consultada e desfeita. O que foi isolado aparece na tela com seu tamanho e sua data, e dali é devolvido a uma pasta ou excluído para sempre. Falsos positivos existem — um instalador antigo, uma macro do trabalho —, e um arquivo que o antivírus leva e não pode ser recuperado é um arquivo perdido.
• Se o que encontrar for um programa de criptografia, não fica num aviso: dispara a mesma resposta da armadilha (snapshot imediato, freio dos backups e o que você tiver configurado). Avisar e esperar que alguém leia é o que não se pode fazer com ransomware dentro de casa.
• Não toma conta do NAS: roda com a prioridade mais baixa de processador e de disco e com um limite de memória, então as pastas continuam sendo servidas normalmente enquanto analisa.
• Avisa ao terminar se encontrar algo, que é a única coisa que importa: quando a análise das três da manhã termina, não há ninguém olhando o painel.

Uma análise completa de um volume com muitos arquivos leva horas. É normal, e não há limite de tempo de propósito.

Analisar ao gravar

Edição Empresarial. Para as pastas por onde entra o que vem de fora —downloads, digitalizações, o que os clientes mandam— cada arquivo pode ser analisado assim que termina de ser salvo, sem esperar a vigilância.

1. Em “Analisar ao gravar”, clique em Instalar. Baixa uns 300 MB com as assinaturas e leva alguns minutos; você pode continuar usando o painel.
2. Escolha as pastas e ligue. Só conta como ligado quando começa a vigiá-las, e carregar as assinaturas leva alguns minutos.

• Precisa de uns 2 GB de memória livre para as assinaturas. Se não houver, não liga e diz quanto há.
• Usa no máximo metade de um núcleo do processador: o NAS atende na mesma velocidade e o que é gravado leva alguns segundos a mais para ser analisado.
• Não trava ao salvar: o arquivo é salvo e analisado logo depois. O que encontrar segue “Se encontrar algo”: com “Mover para a quarentena” é separado em menos de um minuto; com “Avisar e não mexer em nada” fica onde está e aparece em “Arquivos detectados” para você decidir. Nos dois casos chega um aviso, e um ransomware recebe a mesma resposta que a armadilha.
• Com uma licença doméstica ele se desliga sozinho.

Armadilha para ransomware

Painel de controle → Segurança → Relatório e armadilha.

Os snapshots com cadeado são a melhor defesa que existe, mas servem para recuperar. Isto serve para ficar sabendo a tempo: uma criptografia começa por uma pasta e leva horas para percorrer um NAS inteiro, e nesse tempo ninguém está olhando.

Como funciona: o NAS deixa nas pastas da casa arquivos isca que ninguém tem motivo para mexer e verifica a impressão digital deles a cada minuto. Um programa que criptografa não escolhe: criptografa tudo o que encontra, e esses arquivos estão no caminho. Quando eles mudam ou desaparecem, o que está do outro lado não é uma pessoa.

Quantas iscas (e por que isso importa tanto): quase todas as famílias de ransomware trabalham com uma lista de extensões — documentos, planilhas, fotos, PDF — e um .txt solto não está em nenhuma. Uma isca de texto é pulada sem ser tocada, e a armadilha nunca dispara.

E há uma segunda rede: mesmo que nenhuma isca seja tocada, o NAS observa se aparecem de repente arquivos com extensão de criptografia (.locked, .encrypted…) ou notas de resgate (HOW_TO_DECRYPT, README_RESTORE…). São necessários três recém-aparecidos para dar o alarme: um solto pode ser qualquer coisa.

O que acontece então, nesta ordem (as duas primeiras vêm ligadas de fábrica porque não tiram nada de ninguém):

1. Snapshot imediato dos volumes afetados. É a medida que mais salva dados: congela o estado no minuto da detecção, quando quase tudo ainda está sem criptografar.
2. Freio de backups e replicações. Um backup que rode depois da criptografia leva os arquivos criptografados para o destino e sobrescreve o último backup bom: é a forma de perder tudo tendo backups que funcionam. Eles não voltam a rodar até você rearmar a armadilha.
3. Fechar as pastas da casa, se você tiver pedido. É agressivo — deixa a casa inteira sem arquivos de uma vez — e é o que de fato freia uma criptografia em andamento: cada minuto aberto são mais gigas. Desliga-se só o SMB: o painel, os backups e o resto continuam de pé para que você possa ver o que aconteceu e recuperar.
4. Bloquear no firewall por 24 horas quem tinha pastas abertas, se você tiver pedido. Corta pela raiz o dispositivo infectado; se houver vários conectados, bloqueia todos, e por isso vem desligado.
5. Aviso crítico por todos os canais que você tiver configurado, com o relatório: o que disparou, o que foi feito, quem tinha pastas abertas naquele momento e os **últimos arquivos mexidos**. É por onde se começa a investigar.

Duas coisas que ela faz bem e que é bom saber:

• Um arquivo que não pode ser lido (um disco que não responde, permissões estranhas) não conta como ataque. Seria a forma mais fácil de um disco com problema deixar a casa inteira sem arquivos.
• O alarme não se repete a cada minuto. Quem o viu já está investigando.

Se a armadilha disparar

1. Não desligue o NAS. Os snapshots são o que vai salvar você, e estão lá.
2. Veja no painel qual arquivo disparou e quando: isso diz por qual pasta começou.
3. Desconecte da rede os dispositivos suspeitos (ou corte o Wi-Fi). A criptografia vem de um deles, não do NAS.
4. Veja os snapshots dessa pasta para saber desde quando isso acontece, e restaure de um anterior a esse horário (recuperação de desastres).
5. Quando tiver certeza, arme a armadilha de novo e reabra o SMB em Serviços de arquivos.

Aviso de acesso de um lugar novo

Quando alguém entra no painel com a sua conta a partir de um endereço que essa conta nunca tinha usado, você recebe um aviso com o navegador e o sistema de onde a pessoa entrou. A rede de casa e a VPN nunca avisam, e de fora conta a rede e não o endereço exato, porque as operadoras o trocam todos os dias. Se não era você: troque a senha e encerre todas as sessões em Sua conta.

Estou fora de casa

Painel de controle → Alertas.

Um interruptor para os dias em que a casa está vazia. Com a casa vazia, o que em qualquer outro dia é normal deixa de ser: enquanto estiver ligado, o NAS conta quem entra.

• Avisa de todo acesso ao painel, inclusive da rede de casa. O normal, com o interruptor desligado, é avisar só de um lugar novo.
• Avisa de cada dispositivo que se conecta às pastas da casa.
• Todas as câmeras que gravam avisam se virem movimento, com uma foto, mesmo que na ficha delas o aviso não esteja ativado. Ao desligar o interruptor, cada câmera volta ao que era.
• No máximo um aviso por dia por conta e por endereço, para que uma semana fora não termine em vinte avisos que ninguém lê mais.

Ao desligá-lo, tudo volta exatamente a como estava. No painel aparece desde quando está ligado e quem o ligou.

Bloqueio por país

Painel de controle → Segurança → Bloqueio por país.

Um NAS publicado na internet recebe, sem exceção, milhares de tentativas por dia do mundo inteiro. O bloqueio automático de IPs reage depois das primeiras tentativas; isto é o contrário: se as pessoas da sua casa entram do Brasil, o que vier de fora do Brasil nem chega à porta.

• É uma lista de permitidos, não de bloqueados. Bloquear os dez países de onde vêm mais ataques deixa abertos os outros cento e oitenta, e quem ataca sabe disso.
• Da sua própria rede sempre se entra, escolha o que escolher. É a cerca que impede o acidente que realmente importa: ficar trancado fora do seu NAS na sua própria sala.
• As faixas de cada país são baixadas sozinhas e atualizadas uma vez por semana. As atribuições de endereços mudam devagar, mas mudam: sem atualizar, com os meses começariam a ficar de fora pessoas do seu próprio país.
• Se uma lista não puder ser baixada, nada é filtrado em vez de filtrar tudo.

Atenção se você viajar. Com o Brasil marcado, seu próprio celular também não entra do exterior. Se você viaja com frequência, marque também esses países ou entre com Tailscale ou NetBird: o que chega por eles não passa por este filtro.

Relatório semanal

Painel de controle → Segurança → Relatório e armadilha.

É o contrário de um alarme: um resumo curto de como está o NAS quando nada está acontecendo, pelos mesmos canais que o resto dos avisos.

Começa pelo veredito — uma nota de 0 a 100 e uma linha — e termina em o que fazer, uma lista curta ordenada por urgência. No meio: volumes, discos, backups, snapshots, segurança (armadilha, antivírus, bloqueios), câmeras e atualizações.

E compara com a semana passada, que é o que transforma um número numa decisão: “restam 400 GB” podem ser dois anos ou três semanas. O relatório diz “400 GB livres, 60 a menos que há 7 dias · neste ritmo enche em 46 dias”, e com isso já se sabe se é preciso comprar um disco agora ou nem pensar nisso até o Natal.

Existe para que alguém fique sabendo que os backups estão há um mês sem rodar, ou que um volume tem só 6 % livres, antes de virar uma emergência.

Dois detalhes pensados de propósito:

• Dá para ler antes de ligá-lo: a tela mostra o relatório que seria enviado agora mesmo. Um e-mail periódico que você não sabe como vai ser acaba na lixeira.
• Se o NAS estava desligado na hora marcada, ele é enviado assim que o NAS volta. Com o desligamento agendado, essa é a situação normal.