Acronis Cyber Protect: Configurar Anti-Ransomware em Ambiente PME

O Acronis Cyber Protect é a solução de backup mais comum em PME portuguesas que têm suporte de MSP ou IT interno — e é também uma das mais completas para protecção contra ransomware, porque integra backup com detecção comportamental no mesmo agente. A vantagem central em relação a soluções de backup puras: o Acronis pode detectar e parar um ataque de ransomware antes de cifrar os ficheiros, e recuperar automaticamente qualquer ficheiro que tenha sido alterado antes da detecção.

Este artigo cobre a configuração do Acronis Cyber Protect na versão on-premises (Management Server) e na versão Cloud (Acronis Cyber Protect Cloud), com foco nas funcionalidades anti-ransomware que frequentemente ficam por configurar numa instalação padrão.

1. Planos e arquitectura — on-premises vs. cloud

O Acronis tem dois modelos de deployment para PME. A escolha afecta onde fica o Management Server e onde são armazenados os backups:

2. Active Protection — detecção comportamental anti-ransomware

A Active Protection é o mecanismo central de defesa anti-ransomware do Acronis. Ao contrário de um antivírus tradicional baseado em assinaturas, a Active Protection usa análise comportamental com IA — monitoriza padrões de modificação de ficheiros em tempo real e bloqueia processos que exibem comportamento típico de ransomware, mesmo que a variante seja completamente desconhecida.

O que a Active Protection monitoriza

3. Configurar Active Protection — definições essenciais

Caminho (on-premises): Management Console → Protection plans → [plano] → Anti-malware protection → Active Protection

Caminho (cloud): cloud.acronis.com → Protection → Protection plans → [plano] → Anti-malware → Active Protection

Whitelist de processos legítimos — evitar falsos positivos

Em ambientes com software de gestão documental, CRM ou ERP que modifica muitos ficheiros em curto período (ex: geração de relatórios, importação de dados), a Active Protection pode gerar falsos positivos. Para estes casos:

1. Aceder a Protection → Active Protection → Exclusions / Trusted processes
2. Adicionar o executável do processo legítimo ao whitelist (ex: C:\Program Files\ERP\erp.exe)
3. Validar que o processo está assinado digitalmente pelo fabricante antes de adicionar ao whitelist
4. Documentar todos os processos em whitelist com justificação — revisão semestral obrigatória

4. Backup imutável — proteger os próprios backups

Tal como no Azure Backup, o Acronis suporta backup imutável com armazenamento WORM. Uma vez gravado um recovery point, não pode ser alterado, eliminado ou sobrescrito antes do prazo de retenção configurado — mesmo por um administrador com credenciais totais.

5. Safe Recovery — restauro com scan anti-malware integrado

Um dos erros mais comuns na recuperação pós-ransomware é restaurar uma imagem de backup que já contém o malware — ou o backdoor que o ransomware instalou dias antes de cifrar. O resultado é uma segunda infecção logo após o restauro.

O Safe Recovery do Acronis resolve este problema: antes de restaurar uma imagem de backup, faz scan anti-malware completo ao conteúdo do backup e sinaliza qualquer ameaça encontrada. O administrador decide se prossegue com o restauro, avança para um recovery point mais antigo ou limpa a ameaça antes de restaurar (disponível somente para Entire machine ou Disks/volumes backups Windows).

Caminho: Recovery → [seleccionar máquina] → Recover → Enable anti-malware scan before recovery

Procedimento de Safe Recovery após ataque de ransomware

1. Identificar os recovery points disponíveis — listar por data e verificar quais antecedem o ataque (com base na cronologia do incidente)
2. Seleccionar o recovery point mais recente anterior à data estimada de comprometimento inicial
3. Activar Anti-malware scan before recovery — o Acronis faz scan ao conteúdo do backup antes de restaurar
4. Se o scan detectar ameaças no recovery point seleccionado: recuar para um recovery point mais antigo e repetir
5. Após encontrar um recovery point limpo, prosseguir com o restauro
6. Após restauro: executar scan completo do sistema restaurado antes de reconectar à rede
7. Aplicar todos os patches pendentes antes de reconectar

6. Políticas de backup anti-ransomware — configuração recomendada

A política de backup no Acronis tem de ser concebida assumindo que o ransomware pode ter um dwell time de dias ou semanas — período em que o atacante já está na rede mas ainda não activou a cifragem. A retenção adequada garante recovery points anteriores ao comprometimento.

Configurar destino duplo (dual destination)

1. No plano de backup, activar Backup replication ou definir dois destinos no campo Where to back up
2. Destino 1: Network folder → caminho UNC do NAS (\\nas-backup\acronis$)
3. Destino 2: Acronis Cloud Storage → seleccionar o tenant/customer
4. Activar Enable immutability no destino cloud
5. Definir retenção diferente por destino se necessário

7. Proteger o próprio agente Acronis contra desinstalação

Ransomware sofisticado como o LockBit 5.0 tenta desinstalar agentes de segurança antes de executar a cifragem. O Acronis Cyber Protect 16+ introduziu protecção nativa contra isto: a desinstalação e actualização do agente são bloqueadas por defeito e só podem ocorrer durante uma janela de manutenção definida pelo administrador.

Caminho: Settings → Agents → [agente] → Agent protection settings

8. Alertas e resposta a detecções

Uma detecção da Active Protection sem resposta adequada é uma oportunidade perdida de contenção precoce. Configurar alertas correctos é tão importante quanto a própria detecção.

Configurar notificações por email

Caminho: Settings → Email notifications → Add notification rule

• Ransomware detected → email imediato para equipa IT + responsável de cibersegurança
• Backup failed → email imediato para equipa IT
• Agent offline > 4 hours → email de alerta (agente pode ter sido desinstalado ou máquina comprometida)
• Backup not run for > 24 hours → email de alerta

Resposta imediata a uma detecção de ransomware

Quando o Acronis bloqueia um processo e gera um alerta de ransomware, é necessário agir imediatamente — não assumir que o blocking foi suficiente:

1. Verificar o alerta no portal Acronis — identificar o processo bloqueado, a máquina afectada e os ficheiros envolvidos
2. Isolar a máquina da rede imediatamente — mesmo que o Acronis tenha bloqueado o processo, pode haver outros processos maliciosos activos
3. Verificar o processo bloqueado — não é um falso positivo? Confirmar com os utilizadores se estava a correr algo legítimo
4. Verificar outras máquinas da rede — o ransomware pode já ter propagado; verificar alertas em todas as máquinas do mesmo segmento
5. Se confirmado ataque: activar o Plano de Resposta a Ransomware — a Active Protection ganhou tempo mas o incidente tem de ser tratado na íntegra

9. Cenários típicos de PME portuguesa — configuração recomendada

10. Checklist de configuração anti-ransomware