Uma abordagem em várias camadas para a resiliência cibernética

Os ataques de ransomware tornaram-se inevitáveis no cenário atual de ameaças, surgindo como uma grande preocupação para todas as empresas. De fato, os incidentes envolvendo ransomware aumentaram drasticamente no primeiro semestre de 2025, resultando em um aumento de 49% em comparação com o mesmo período de 2024.

Agora, à medida que as organizações enfrentam ameaças ainda mais sofisticadas, projetadas para criptografar dados, paralisar operações e explorar processos de Recovery, esses números não mostram sinais de desaceleração.

Os riscos estão aumentando, e fica cada vez mais evidente que, quando ocorre um desastre, simplesmente ter um backup não é suficiente. As organizações não podem adotar uma postura reativa em relação à segurança e esperar operar com sucesso. É necessário contar com dados imutáveis, detecção inteligente de ameaças, recuperação sem danos e testes dos planos de recuperação, além de proteção 24 horas por dia, 7 dias por semana.

A Commvault oferece uma estrutura de defesa contra ransomware profundamente integrada e em várias camadas que prioriza segurança, velocidade e confiança. Ao combinar mecanismos de ponta para detecção, isolamento e recuperação de ameaças com inteligência de parceiros, a Commvault ajuda a viabilizar a resiliência cibernética.

Este artigo explora quatro componentes da estratégia de defesa contra ransomware da Commvault: imutabilidade de dados, Threat Scan em tempo real, recuperação validada e automação inteligente de recuperação. Juntos, esses recursos formam uma resposta completa e confiável a um dos desafios mais persistentes que assolam as equipes de TI modernas.

Imutabilidade dos dados: a primeira linha de defesa

A imutabilidade dos dados é parte integrante de qualquer estratégia bem-sucedida de defesa contra ransomware. Em um mundo onde o ransomware tem como alvo, cada vez mais, não apenas os sistemas de produção, mas a própria infraestrutura de backup, a imutabilidade é uma proteção essencial. A Commvault aproveita a imutabilidade dos dados com uma série de recursos projetados para ajudar a manter seus dados à prova de adulterações. Isso é alcançado por meio de armazenamento imutável, controles de acesso em camadas e protocolos de autorização obrigatórios.

Veja a seguir um detalhamento dos recursos de imutabilidade de dados da Commvault:

• Armazenamento imutável: a Commvault implementa uma abordagem em várias camadas para a imutabilidade. Ela combina seus próprios controles no nível do software com tecnologias WORM (write-once, read-many) aplicadas por hardware e baseadas na nuvem. O Retention Lock (anteriormente WORM Copy) impede a exclusão prematura ou o vencimento dos backups, mesmo por administradores, e protege contra ações como a remoção de políticas de armazenamento ou a exclusão de bibliotecas de armazenamento. Essa é uma forma significativa de defesa contra administradores desonestos ou invasores mal-intencionados.
  Da mesma forma, para a imutabilidade imposta por hardware, a Commvault se integra a plataformas de armazenamento que suportam a API S3 Object Lock, padrão do setor. O S3 Object Lock opera em dois modos principais: governança e conformidade. Embora o modo de governança ajude a proteger contra exclusões acidentais e mantenha a flexibilidade administrativa, ele é adequado principalmente para controles internos. O modo de conformidade, mais rigoroso, por outro lado, impõe períodos de retenção inalteráveis e foi projetado para atender a requisitos regulatórios rigorosos, como a Regra 17a-4 da SEC, a FINRA e a HIPAA 12.
  Quando a Commvault grava dados de backup em um destino habilitado para o Object Lock, como um bucket do AWS S3 ou um armazenamento de objetos Zadara, ela define o carimbo de data/hora dos metadados “Object-Lock-Retain-Until-Date”. Qualquer chamada de API para modificar ou excluir o objeto antes dessa data é rejeitada pelo sistema de armazenamento, independentemente das permissões do usuário. A Commvault também adiciona um período de carência padrão de 7 dias ao período de retenção do bloqueio WORM configurado no software.
  Por fim, no Commvault Grid, o Appliance integrado e escalável da Commvault, a empresa oferece imutabilidade de ponta a ponta por meio do Retention Lock, um sistema operacional reforçado e um sistema de arquivos imutável. Essa pilha integrada é certificada para conformidade com a norma SEC 17a, tornando-a uma solução completa e poderosa para armazenamento imutável.

• Commvault AirGap: a proteção por isolamento físico (air-gap) é fornecida por meio de um ambiente de backup gerenciado pela Commvault e logicamente isolado, que criptografa os dados, os separa da rede de produção e elimina cobranças por tráfego de saída. Esse recurso é habilitado por padrão para clientes do Commvault SaaS, ajudando a manter os dados protegidos mesmo que os sistemas de produção sejam comprometidos.

• Aplicação do modelo “zero-trust”: A Commvault aplica princípios rigorosos de “zero-trust” à infraestrutura de backup por meio de controle de acesso baseado em funções, autenticação multifatorial e gerenciamento de acesso privilegiado. Essas camadas limitam a exposição e impõem o acesso com o mínimo de privilégios, reduzindo o impacto de credenciais comprometidas.

• Autorização por várias pessoas: Para evitar alterações maliciosas ou acidentais nas políticas de proteção, a Commvault exige aprovações baseadas em quórum para operações confidenciais. Isso ajuda a impedir que um único administrador desative ou exclua dados protegidos sem supervisão.

Inteligência de ameaças em tempo real: detecção e contenção proativas

O pacote Threat Scan da Commvault é um pilar fundamental de sua defesa contra ransomware. Arquivos e programas maliciosos podem se infiltrar nos backups e permanecer ocultos, aguardando a oportunidade perfeita para atacar. Assim, a inteligência de ameaças em tempo real da Commvault foi projetada para identificar ameaças em todas as etapas: durante o backup, após o backup e antes da restauração.

A Commvault também é a única fornecedora de resiliência cibernética com recursos de isca integrados, como sensores Threatwise e arquivos canary. Essas ferramentas podem acionar alertas enquanto um agente malicioso está realizando reconhecimento e antes mesmo que o ransomware atinja os dados de backup.

A detecção de ameaças em tempo real ganha vida com esses recursos poderosos:

• Verificação em tempo real, pré-backup e pós-backup: embora o Threat Scan seja uma atividade pós-backup, a Commvault monitora ativamente indicadores de ransomware durante as etapas em tempo real e pré-backup. Isso inclui a busca por alterações em atributos como tipo MIME, tamanho do backup e aumento específico de extensões que refletem a atividade de ransomware.
  Com essa abordagem abrangente, quer os dados estejam em trânsito, recém-armazenados ou sendo restaurados, eles são continuamente inspecionados em busca de ameaças ocultas ou latentes. Isso permite a detecção precoce e ajuda a eliminar pontos cegos.

• Detecção baseada em assinaturas e em IA/ML: a Commvault utiliza o SDK antimalware da Avira, um mecanismo OEM confiável e amplamente utilizado no setor, para aprimorar significativamente suas capacidades defensivas. Esse mecanismo inclui várias camadas de detecção que se combinam para oferecer uma abordagem de segurança abrangente.
  A verificação baseada em assinaturas compara os hashes dos arquivos com o vasto banco de dados de assinaturas de malware da Avira. As atualizações ocorrem a cada 24 horas para manter o mecanismo atualizado em relação às ameaças emergentes. Esse banco de dados é atualizado automaticamente a cada 24 horas por meio de uma conexão segura com os servidores de atualização da Avira, oferecendo proteção contra as ameaças mais recentes catalogadas.
  Da mesma forma, para malwares que ainda não constam no banco de dados de assinaturas, o mecanismo da Avira utiliza heurística para analisar a estrutura do código, o comportamento e as características de um arquivo. Isso permite identificar variantes de famílias conhecidas de malware e outros códigos suspeitos, mesmo sem uma correspondência exata de assinatura.
  Por fim, o Machine Learning (MicroVision™), o modelo de ML local da Avira, avalia um amplo conjunto de atributos de código e anomalias para identificar ameaças nunca vistas antes. Ele é especialmente eficaz contra malware de dia zero, que não possui uma assinatura conhecida, mas apresenta sinais de comportamento malicioso.

• Análise de entropia e incompatibilidade de MIME: A Commvault utiliza modelos de detecção de criptografia, compostos por múltiplas características estatísticas, para identificar arquivos criptografados ou camuflados. Uma dessas características é a entropia, que mede o nível de aleatoriedade nos dados em nível binário. Alta entropia pode indicar criptografia por ransomware, mas é apenas uma das várias propriedades utilizadas no modelo de detecção de criptografia da Commvault.
  Paralelamente, a detecção de incompatibilidade de MIME sinaliza arquivos cujo conteúdo não corresponde ao tipo de arquivo esperado, como um script disfarçado de PDF. Essas técnicas ajudam a revelar ameaças latentes que, de outra forma, poderiam passar despercebidas.

• Detecção de anomalias: a Commvault monitora continuamente desvios comportamentais. Picos incomuns no volume de backup ou alterações nos padrões de dados são tratados como sinais de alerta. Assim que essas anomalias são detectadas, elas podem ser prontamente investigadas, ajudando a garantir a contenção precoce.

• Integração de sinais de parceiros: a Commvault aprimora seus recursos de detecção por meio da integração com parceiros de segurança externos. Por exemplo, quando a CrowdStrike detecta malware em um terminal, os clientes protegidos pela Commvault podem visualizar informações sobre Indicadores de Comprometimento (IoC) no painel de Indicadores de Ameaças para tomar medidas, como a Threat Scan ou a Recovery de dados.

Recovery abrangente: isolada, validada e automatizada

À medida que o ransomware cresce em complexidade e velocidade, uma recuperação limpa é imprescindível. No caso do ransomware, restaurar a versão errada pode causar reinfecção, tempo de inatividade operacional ou falhas de conformidade. Além disso, isso pode prejudicar a confiança na empresa e seu sucesso a longo prazo. A Commvault lida com esses riscos por meio de um conjunto de opções de recuperação validadas que não apenas ajudam a restaurar dados limpos, mas também ajudam a verificar sua segurança antes mesmo que eles entrem em contato com os sistemas de produção.

O Cleanroom Recovery da Commvault cria um ambiente de recuperação seguro e isolado para testar e validar os dados de backup antes de sua reintrodução. Essa configuração é ideal para executar varreduras de malware sem correr o risco de propagação para a produção. Além disso, os “cleanrooms” são provisionados sob demanda na nuvem, evitando a necessidade de infraestrutura dedicada.

Dentro do “Commvault Cleanroom”, a Commvault oferece suporte a uma ampla gama de cargas de trabalho, incluindo máquinas virtuais, sistemas de arquivos e Active Directory. Essa flexibilidade permite que as equipes simulem ambientes em tempo real e verifiquem totalmente a Readiness operacional.

O “Cleanroom Recovery” aprimora a defesa contra ransomware da Commvault:

• Fluxos de trabalho de recuperação automatizados: a Commvault automatiza todo o ciclo de vida da recuperação, desde a identificação de pontos limpos até a restauração final da carga de trabalho. Esses fluxos de trabalho ajudam a reduzir o esforço manual, proporcionam consistência e auxiliam as equipes a atingir metas ambiciosas de recuperação.

• Pave and Repave: Para sistemas comprometidos no nível do sistema operacional, a Commvault oferece recursos de “pave and repave”. Essa abordagem restaura máquinas usando imagens limpas do sistema operacional e, em seguida, sobrepõe os dados do cliente a partir do backup. O resultado é um sistema totalmente reconstruído, livre de malware ou adulterações no nível do sistema operacional.

• Indexação de arquivos corrompidos: durante a varredura, a Commvault marca quaisquer versões de arquivos infectadas ou suspeitas como “corrompidas”. Essas marcações são automaticamente levadas em consideração durante a Recovery, permitindo que a plataforma selecione pontos de restauração limpos sem a necessidade de revisão manual.

Auto Recovery e inteligência operacional: rápida, orquestrada e escalável

A recuperação limpa pode ser o aspecto mais essencial, mas a recuperação rápida também é uma prioridade. Os recursos de Auto Recovery da Commvault permitem que as organizações restaurem sistemas em escala com rapidez, confiança e mínimo esforço manual. Esses recursos combinam orquestração inteligente, varredura integrada e visibilidade em tempo real para impulsionar a resiliência da recuperação.

Aqui está uma análise mais aprofundada das soluções automatizadas de inteligência operacional da Commvault:

• Orquestração da Auto Recovery: a Commvault detecta automaticamente o ponto de Recovery limpo mais recente e inicia fluxos de trabalho de restauração com base em políticas predefinidas. Esses processos orquestrados eliminam suposições e ajudam a reduzir o tempo necessário para colocar os sistemas de volta em operação após um ataque. O processo completo da Auto Recovery da Commvault envolve etapas automatizadas detalhadas aqui.

• Integração com o Threat Scan: as cargas de trabalho recuperadas são verificadas como parte do fluxo de trabalho de Recovery antes de retornarem à produção. Esse processo aumenta a confiança nos dados restaurados, ajudando a mantê-los livres de malware oculto ou ameaças residuais.

• Relatórios de validação da Recovery: cada operação de Recovery gera um relatório detalhado que descreve os resultados da verificação, as anomalias sinalizadas e quaisquer ações corretivas tomadas. Esses relatórios oferecem às equipes de segurança uma visibilidade inestimável sobre o que foi recuperado e por quê.

• Painel do Security IQ: O painel do Security IQ oferece informações em tempo real sobre o risco de ransomware, a exposição de dados e a Readiness geral para a Recovery. Ele ajuda os administradores a identificar pontos fracos críticos, acompanhar melhorias e agir de acordo com as mudanças, conforme necessário.

Resiliência contra ransomware quando mais importa

A arquitetura de defesa contra ransomware da Commvault é um ecossistema inteligente e em múltiplas camadas. Desde o momento em que os dados são copiados até o instante em que são restaurados, cada camada é protegida, validada e recuperável. Com um projeto abrangente que engloba todos os aspectos da defesa contra ransomware, a Commvault oferece à sua empresa confiança, segurança e resiliência.