Proteção contra o sequestro de dados (ransomware)

5 min · 7 secções

Um sequestro de dados não é um disco que se avaria. É um programa que entra —quase sempre por um PC da casa, não pelo NAS—, cifra tudo aquilo em que consegue escrever e deixa uma nota a pedir dinheiro. E a primeira coisa que faz qualquer um dos que circulam hoje é procurar e eliminar as cópias de segurança, porque sabem que é a única coisa que lhes estraga o negócio.

Por isso, este guia não é sobre «fazer cópias». É sobre as cópias continuarem lá quando isso acontecer.

O que protege e o que não protege

Medida	Salva de uma cifragem?	Porquê
RAID (mirror, RAID-Z)	Não	O RAID copia o que lhe mandares, incluindo os ficheiros já cifrados. Protege da avaria de um disco e de mais nada.
Reciclagem da pasta da casa	Não	Vive dentro da mesma pasta e com as mesmas permissões: quem cifra também a esvazia.
Instantâneo normal	Em parte	O conteúdo não pode ser modificado, mas o instantâneo pode ser eliminado por quem chegar a root.
Instantâneo com cadeado	Sim	O ZFS recusa-se a destruí-lo enquanto o cadeado estiver posto. É o que tens de usar.
Cópia num disco USB desligado	Sim	O que não está ligado não é cifrado. Continua a ser a melhor cópia que existe.
Cópia para a nuvem ou para outro servidor	Em parte	Se o NAS pode escrever e eliminar no destino, o atacante também pode. Vê mais abaixo.

1. Instantâneos com cadeado (a primeira coisa a fazer)

Armazenamento → Proteção → Instantâneos. Cada instantâneo de um pool ZFS tem um botão Proteger. Quando o carregas, recebe um «hold» do ZFS e, a partir desse momento:

O botão Eliminar do painel não o elimina (aparece desativado).
A limpeza automática por antiguidade das tarefas agendadas não o elimina.
O zfs destroy na consola não o elimina, nem sequer como root: o sistema de ficheiros recusa-se enquanto o cadeado continuar posto.

Para o tirar, tens de entrar no painel, carregar em Protegido e confirmar. É de propósito um passo manual: se um programa o pudesse tirar sozinho, não serviria de nada.

O Btrfs não tem equivalente. Os seus instantâneos são só de leitura, mas qualquer pessoa com root os elimina com uma ordem. Se levas isto a sério, o pool vai em ZFS.

Quantos proteger. Um cadeado por cada ponto ao qual quererias voltar: o do último dia tranquilo e um mensal. Os diários podem continuar a rodar sem cadeado. Tem em conta que um instantâneo protegido ocupa espaço para sempre —guarda tudo o que mudou depois dele—, por isso revê de vez em quando o seu tamanho na lista e tira os que sobrarem.

2. Instantâneos automáticos, e antes da cópia

Painel de controlo → Tarefas agendadas → tarefa do tipo instantâneo, com a sua retenção. Recomendação para uma casa: um diário às 3:00 com retenção de 14.

Um instantâneo é imediato e não ocupa nada ao ser criado (só cresce à medida que os dados vão mudando), por isso ser generoso sai barato.

3. Que a cópia externa não possa ser eliminada a partir do NAS

Está aqui a falha que quase toda a gente tem: o NAS guarda a palavra-passe do destino, por isso quem controlar o NAS controla também a cópia. Opções, da melhor para a pior:

Um disco USB que se liga, recebe a cópia e se desliga. Parece antiquado e é o mais eficaz que existe. Uma vez por semana chega.
Nuvem com reciclagem ou versões próprias. O Google Drive e o OneDrive guardam o que foi eliminado na sua própria reciclagem durante 30 dias, e essa reciclagem **não se toca a partir do NAS**: se te cifrarem e a cópia for carregada cifrada, ainda podes recuperar a versão anterior na web do fornecedor. É a razão pela qual um destino na nuvem não é um luxo.
Servidor por SSH em casa de um familiar com uma conta que só possa escrever, nunca eliminar. Exige configurá-lo no destino, não a partir daqui.

Em qualquer um dos três casos, a cópia do NAS conserva versões anteriores: vê Cópias de segurança.

4. Reduzir o que um PC infetado pode tocar

Uma pasta da casa para cada coisa, e permissões por utilizador. Se o portátil da sala só monta Documentos, uma cifragem a partir daí não chega a Fotos. Painel de controlo → Pastas da casa → permissões.
Os convidados, só de leitura. Não há nada para marcar: uma pasta «para convidados» deixa qualquer pessoa ler e não deixa ninguém escrever.
Não deixes o SMB aberto à internet. A porta 445 no router é a via de entrada mais usada que existe. Para entrar a partir de fora tens a VPN.
Palavras-passe diferentes para o painel, para o SMB e para o utilizador do Windows.

5. Se já aconteceu

Desliga o cabo de rede do NAS. Antes de mais nada: enquanto estiver ligado, a cifragem continua a avançar pela rede.
Não pagues e não reinicies o PC infetado; desliga-o.
Entra no painel pelo monitor do próprio NAS (modo quiosque) ou com o cabo de rede diretamente ligado a um portátil.
Armazenamento → Proteção → Instantâneos: encontra o último anterior ao desastre —a data dos ficheiros cifrados diz-te quando começou— e usa Restaurar.

No ZFS, restaurar faz rollback: o dataset volta a esse momento e **os instantâneos posteriores são eliminados**. Protege antes o que vais usar, para o caso de te enganares na data.
No Btrfs, restaurar deixa uma cópia gravável à parte, que revês antes de substituir seja o que for.

Limpa o PC de origem antes de voltar a ligar o NAS à rede. Se não o fizeres, repete-se.

O procedimento completo, com as variantes de disco avariado e reinstalação, está em Recuperação de desastres.

Verificação anual (5 minutos)

O último instantâneo com cadeado é deste mês? → Armazenamento → Proteção → Instantâneos.
A última cópia terminou bem? → Cópias de segurança → histórico.
Sabes restaurar? → restaura um ficheiro qualquer de um instantâneo e abre-o. Uma cópia que nunca restauraste não é uma cópia.