Vigiar e defender os dados

14 min · 9 secções

Um NAS guarda os ficheiros da casa inteira —ou do escritório inteiro— e está ligado 24 horas por dia sem que ninguém olhe para ele. Este guia cobre as seis peças que tratam disso: as três que servem para recuperar o que se estraga, e as três que servem para ficares a saber que algo está mal.

Versões anteriores

Nada para ligar: aparece em todas as pastas partilhadas cujo volume guarde instantâneos.

No Windows aparece o separador «Versões anteriores» ao clicar com o botão direito num ficheiro ou numa pasta, e no Mac o mesmo a partir de «Reverter para». Lá dentro está o ficheiro tal como estava em cada instantâneo do volume.

O importante não é o separador: é quem o usa. Sem ele, recuperar um ficheiro obriga a avisar quem administra o NAS, que entra no painel e o restaura. Com ele, a pessoa que acabou de estragar o seu próprio documento recupera-o sozinha, a partir do seu computador, em dez segundos.

Precisa de instantâneos. O que se vê nesse separador é o que o volume tiver guardado; se não houver instantâneos programados, o separador aparece vazio. Programa-os em Armazenamento → Instantâneos (um diário com quinze de retenção é um bom ponto de partida) e espera pelo primeiro.

É só de leitura e mostra o que foi guardado com as permissões de então: cada pessoa vê as versões das pastas em que já pode entrar. A ficha de cada pasta, em Painel de controlo → Pastas da casa, diz quantas o Windows vai mostrar e de quando é a mais recente, ou porque não há nenhuma.

Se o separador aparecer vazio

Por ordem de probabilidade:

1. Ainda não há instantâneos desse volume. É o caso normal no primeiro dia.
2. A pasta é um dataset próprio e os instantâneos são do volume pai (ou ao contrário). O painel calcula sozinho o sítio certo para cada pasta, mas se tiveres um dataset por pasta, os instantâneos têm de ser DESSE dataset.
3. Os instantâneos foram criados à mão com outro nome. O painel dá-lhes o nome auto-AAAAMMDD-HHMMSS, e o Windows precisa desse padrão exato para os poder ordenar por data. Os que tenhas criado tu com outro nome não vão aparecer aí (continuam a existir e restauram-se a partir do painel como sempre).

Quem mexeu em quê

Painel de controlo → Pastas da casa → (uma pasta) → «Registar quem elimina e quem move». Consulta-se em Centro de registos → «Quem mexeu em quê».

Responde à pergunta que não tinha resposta: quem eliminou a pasta?. Com isto ligado, o NAS regista cada eliminação, cada mudança de nome e cada pasta nova feita por SMB, com o utilizador e o dispositivo a partir do qual foi feita.

Só se regista o que destrói ou move. Registar também as leituras e as aberturas encheria o registo com milhares de linhas por minuto —um Windows abre e fecha ficheiros sem parar— e o dado que importa perdia-se lá dentro.

Não fica guardado em nenhum ficheiro à parte: vai para o diário do sistema, que já roda sozinho e sobrevive aos reinícios.

Tipos de ficheiro que uma pasta recusa

Edição Empresarial. Na ficha de cada pasta da casa (Editar) podes dizer-lhe o que não deve aceitar:

• Programas do Windows: .exe, .bat, .msi, .ps1, .vbs e afins. Para pastas de documentos, onde ninguém tem razão para guardar um programa.
• Rastos de ransomware: as extensões deixadas pelos programas que cifram ficheiros para pedir um resgate, e as suas notas de pagamento. Se um dispositivo do escritório for infetado, o que foi cifrado não volta a entrar na pasta.
• Outros, os teus, separados por vírgulas. * vale por qualquer coisa: *.iso recusa todas as imagens de disco; cópia de *, tudo o que comece assim.

O que o trava e o que não:

• Travam-no a rede do Windows e do Mac, o WebDAV e o que se envia, copia ou renomeia a partir de Ficheiros, que avisa que a pasta não aceita esse tipo de ficheiro; o Windows e o Mac dão um erro de «não encontrado» e não o guardam.
• NFS e SFTP não sabem recusar pelo nome: o que entrar por aí, entra.
• Por WebDAV pode mudar-se para um destes tipos o nome de um ficheiro que já lá estava.
• O que já existia não é apagado: deixa de se ver pela rede do Windows e do Mac, e fica em Ficheiros, onde o podes mover ou apagar.

Antivírus

Painel de controlo → Segurança → Antivírus.

Primeiro, a pergunta razoável: para que quer um NAS com Linux um antivírus? Não é para se proteger a si próprio —o Linux não executa um .exe— mas para não ser o distribuidor. Os ficheiros das pastas da casa são abertos pelos portáteis da casa, e aí sim são executados. Um trojan em «Documentos» pode passar meses a viajar de um computador para outro, e o NAS é o único sítio a partir do qual se pode ver tudo de uma vez.

• Analisa as pastas que escolheres, à mão ou uma vez por semana.
• E, entre análises, vigia o que vai chegar: a cada poucos minutos olha **só para os ficheiros novos**. É a diferença entre saberes em dez minutos ou em seis dias — que é o que falta para voltar a correr a análise completa, com o ficheiro na pasta da casa e ao alcance de todos os computadores da casa entretanto. Custa segundos porque são os ficheiros dos últimos minutos, não dois teras.
• Usa as assinaturas do ClamAV, que se atualizam sozinhas — e diz-te a idade que têm. Um antivírus com as assinaturas de há meio ano dá a mesma sensação de segurança que um em dia e não reconhece nada deste ano; se o serviço que as transfere deixar de funcionar, isso aparece no ecrã e no relatório semanal.
• De fábrica só avisa. Mover o ficheiro de alguém sem perguntar, com os falsos positivos que qualquer antivírus tem, assusta mais do que o aviso. Se preferires quarentena, o ficheiro sai da pasta da casa e fica em <volume>/.cuarentena, onde já ninguém o abre.
• A quarentena pode ser consultada e desfeita. O que foi posto de parte aparece no ecrã com o tamanho e a data, e daí devolve-se a uma pasta ou elimina-se para sempre. Os falsos positivos existem —um instalador antigo, uma macro do trabalho—, e um ficheiro que o antivírus leva e não se consegue recuperar é um ficheiro perdido.
• Se o que encontrar for um cifrador, não fica por um aviso: dispara a mesma resposta que a armadilha (instantâneo imediato, travão das cópias e o que tiveres configurado). Avisar e esperar que alguém leia é o que não se pode fazer com ransomware lá dentro.
• Não come o NAS: corre com a prioridade mais baixa de processador e de disco e com um limite de memória, por isso as pastas continuam a ser servidas igual enquanto analisa.
• Avisa ao terminar se encontrar algo, que é a única coisa que importa: quando a análise das três da manhã acaba, ninguém está a olhar para o painel.

Uma análise completa de um volume com muitos ficheiros são horas. É normal e, de propósito, não há limite de tempo.

Analisar ao escrever

Edição Empresarial. Para as pastas por onde entra o que vem de fora —transferências, digitalizações, o que os clientes enviam— cada ficheiro pode ser analisado assim que acaba de ser guardado, sem esperar pela vigilância.

1. Em «Analisar ao escrever», carrega em Instalar. Transfere cerca de 300 MB com as assinaturas e demora uns minutos; podes continuar a usar o painel.
2. Escolhe as pastas e liga-o. Só conta como ligado quando começa a vigiá-las, e carregar as assinaturas leva uns minutos.

• Precisa de cerca de 2 GB de memória livre para as assinaturas. Se não houver, não liga e diz-te quanta há.
• Usa no máximo metade de um núcleo do processador: o NAS serve à mesma velocidade e o que se escreve demora mais uns segundos a ser analisado.
• Não bloqueia ao guardar: o ficheiro é guardado e analisado logo a seguir. O que encontrar segue «Se encontrar algo»: com «Mover para quarentena» é posto de parte em menos de um minuto; com «Avisar e não mexer em nada» fica onde está e aparece em «Ficheiros detetados» para decidires. Nos dois casos chega-te um aviso, e um ransomware tem a mesma resposta que a armadilha.
• Com uma licença doméstica desliga-se sozinho.

Armadilha para ransomware

Painel de controlo → Segurança → Relatório e armadilha.

Os instantâneos com cadeado são a melhor defesa que existe, mas servem para recuperar. Isto serve para saberes a tempo: uma cifragem começa por uma pasta e demora horas a percorrer um NAS inteiro, e nesse tempo ninguém está a olhar.

Como funciona: o NAS deixa nas pastas da casa ficheiros-isco em que ninguém tem motivo para mexer e verifica a impressão digital deles a cada minuto. Um programa que cifra não escolhe: cifra tudo o que encontra, e esses ficheiros estão no seu caminho. Quando mudam ou desaparecem, o que está do outro lado não é uma pessoa.

Quantos iscos (e porque é que isso importa tanto): quase todas as famílias de ransomware trabalham com uma lista de extensões —documentos, folhas de cálculo, fotos, PDF— e um .txt solto não está em nenhuma. Um isco de texto é ignorado sem lhe tocarem, e a armadilha nunca dispara.

E há uma segunda rede: mesmo que não toque em nenhum isco, o NAS verifica se aparecem de repente ficheiros com extensão de cifragem (.locked, .encrypted…) ou notas de resgate (HOW_TO_DECRYPT, README_RESTORE…). São precisos três acabados de aparecer para dar o alarme: um solto pode ser qualquer coisa.

O que acontece então, por esta ordem (as duas primeiras vêm ligadas de fábrica porque não tiram nada a ninguém):

1. Instantâneo imediato dos volumes afetados. É a medida que mais dados salva: congela o estado no minuto da deteção, quando ainda está quase tudo por cifrar.
2. Travão das cópias e das replicações. Uma cópia que corra depois da cifragem leva os ficheiros cifrados para o destino e estraga a última cópia boa: é a forma de perder tudo com cópias que funcionam. Não voltam a correr até voltares a armar a armadilha.
3. Fechar as pastas da casa, se o pediste. É agressivo —deixa a casa toda sem ficheiros de repente— e é o que trava de verdade uma cifragem em curso: cada minuto que continua aberto são mais gigas. Desliga-se só o SMB: o painel, as cópias e o resto continuam de pé para se poder ver o que aconteceu e recuperar.
4. Bloquear na firewall durante 24 horas quem tivesse pastas abertas, se o pediste. Corta pela raiz o computador infetado; se houver vários ligados, bloqueia-os todos, e por isso vem desligado.
5. Aviso crítico por todos os canais que tiveres configurados, com o relatório: o que disparou, o que foi feito, quem tinha pastas abertas nesse momento e os **últimos ficheiros alterados**. É por aí que se começa a investigar.

Duas coisas que faz bem e convém saber:

• Um ficheiro que não se consegue ler (um disco que não responde, permissões estranhas) não conta como ataque. Seria a forma mais fácil de um disco com um problema deixar a casa toda sem ficheiros.
• O alarme não se repete a cada minuto. Quem o viu já está a investigar.

Se a armadilha disparar

1. Não desligues o NAS. Os instantâneos são o que te vai salvar e estão lá.
2. Vê no painel que ficheiro disparou e quando: diz-te por que pasta começou.
3. Desliga da rede os computadores suspeitos (ou corta o Wi-Fi). A cifragem vem de um deles, não do NAS.
4. Vê os instantâneos dessa pasta para saberes desde quando acontece, e restaura a partir de um anterior a essa hora (recuperação de desastres).
5. Quando tiveres a certeza, volta a armar a armadilha e reabre o SMB a partir de Serviços de ficheiros.

Aviso de entrada a partir de um sítio novo

Quando alguém entra no painel com a tua conta a partir de um endereço que essa conta não tinha usado, recebes um aviso com o navegador e o sistema a partir do qual entrou. A rede de casa e a VPN nunca avisam, e de fora conta a rede e não o endereço exato, porque as operadoras o mudam todos os dias. Se o aviso não eras tu: muda a palavra-passe e termina todas as sessões em A tua conta e 2FA.

Estou fora de casa

Painel de controlo → Alertas.

Um interruptor para os dias em que a casa está vazia. Com a casa vazia, o que em qualquer outro dia é normal deixa de o ser: enquanto estiver ligado, o NAS conta-te quem entra.

• Avisa de todas as entradas no painel, também a partir da rede de casa. O normal, com o interruptor desligado, é avisar só de um sítio novo.
• Avisa de cada dispositivo que se liga às pastas da casa.
• Todas as câmaras que gravam avisam se virem movimento, com uma foto, mesmo que na sua ficha não tenham o aviso ligado. Ao desligar o interruptor, cada câmara volta ao que tinha.
• No máximo um aviso por dia por conta e por endereço, para que uma semana fora não acabe em vinte avisos que já ninguém lê.

Ao desligá-lo, tudo volta exatamente a como estava. No painel vê-se desde quando está ligado e quem o ligou.

Bloqueio por país

Painel de controlo → Segurança → Bloqueio por país.

Um NAS publicado na internet recebe, sem exceção, milhares de tentativas por dia de meio mundo. O bloqueio automático de IPs reage depois das primeiras tentativas; isto é o contrário: se os teus entram a partir de Portugal, o que vier de fora de Portugal nem chega à porta.

• É uma lista de permitidos, não de bloqueados. Bloquear os dez países de onde chegam mais ataques deixa abertos os outros cento e oitenta, e quem ataca sabe-o.
• A partir da tua própria rede entra-se sempre, escolhas o que escolheres. É a vedação que impede o acidente que importa de verdade: ficares fora do teu NAS a partir da tua própria sala.
• Os intervalos de cada país transferem-se sozinhos e são atualizados uma vez por semana. As atribuições de endereços mudam devagar, mas mudam: sem atualizar, com os meses começaria a ficar de fora gente do teu próprio país.
• Se uma lista não puder ser transferida, não se filtra nada em vez de filtrar tudo.

Atenção se viajas. Com Portugal marcado, o teu próprio telemóvel no estrangeiro também não entra. Se viajas com frequência, marca também esses países ou entra com Tailscale ou NetBird: o que chega por eles não passa por este filtro.

Relatório semanal

Painel de controlo → Segurança → Relatório e armadilha.

É o contrário de um alarme: um resumo curto de como está o NAS quando não acontece nada, pelos mesmos canais que o resto dos avisos.

Começa pelo veredicto —uma nota de 0 a 100 e uma linha— e termina em o que fazer, uma lista curta ordenada por urgência. No meio: volumes, discos, cópias, instantâneos, segurança (armadilha, antivírus, bloqueios), câmaras e atualizações.

E compara com a semana passada, que é o que transforma um número numa decisão: «restam 400 GB» podem ser dois anos ou três semanas. O relatório diz «400 GB livres, menos 60 do que há 7 dias · a este ritmo enche em 46 dias», e com isso já se sabe se é preciso comprar um disco agora ou só lembrar disso no Natal.

Existe para que alguém saiba que as cópias estão há um mês sem correr, ou que a um volume resta 6 %, antes de ser uma urgência.

Dois pormenores pensados de propósito:

• Pode ser lido antes de o ligares: o ecrã mostra o relatório que seria enviado neste momento. Um e-mail periódico que não sabes como vai ser acaba na reciclagem.
• Se o NAS estava desligado à hora marcada, é enviado assim que volta. Com o encerramento programado, essa é a situação normal.