Backup com Microsoft Azure: Configurar Retenção e Restore Anti-Ransomware

Um ataque de ransomware moderno não se limita a cifrar dados — destrói primeiro os backups. Shadow Copies eliminadas, agentes de backup desactivados, credenciais de administrador comprometidas usadas para apagar os dados de backup antes do payload final. É a razão pela qual a estratégia de backup tem de ser concebida assumindo que as credenciais de administrador já estão nas mãos do atacante.

O Azure Backup (Recovery Services Vault) disponibiliza três mecanismos específicos para este cenário: Soft Delete (recuperação após eliminação maliciosa), Immutable Vault (backups que não podem ser apagados nem mesmo com credenciais de administrador comprometidas) e Multi-User Authorization / Resource Guard (aprovação de segundo administrador para operações críticas de backup). Este artigo configura os três de forma prática.

1. Arquitectura recomendada de backup Azure para PME

A arquitectura abaixo segue a regra 3-2-1-1 adaptada ao contexto Azure e ao requisito NIS2 de backup isolado e testado:

2. Criar o Recovery Services Vault

Caminho: portal.azure.com → Recovery Services vaults → + Create

3. Soft Delete — configurar e estender a retenção

O Soft Delete garante que mesmo que um atacante com credenciais de administrador apague os dados de backup, esses dados ficam em estado soft-deleted durante o período configurado — recuperáveis até ao último dia. Por defeito, o Azure activa Soft Delete com 14 dias em todos os novos vaults. O máximo configurável é 180 dias.

Caminho: Recovery Services vault → Properties → Security Settings → Soft delete

Como recuperar dados em estado Soft-Deleted

1. Aceder ao vault → Backup Items
2. Filtrar por Soft Deleted — os itens em estado soft-deleted aparecem com ícone vermelho
3. Seleccionar o item → Undelete
4. Após undelete, o item regressa ao estado Stop protection with retain data
5. Retomar a protecção ou restaurar a partir dos recovery points disponíveis

4. Immutable Vault — protecção máxima anti-ransomware

O Immutable Vault usa armazenamento WORM (Write Once, Read Many) — uma vez criado um recovery point, não pode ser eliminado nem ter a sua retenção reduzida antes do prazo configurado na política. Nem pelo administrador. Nem com credenciais globais comprometidas. É a resposta definitiva à destruição de backups por ransomware.

Caminho: Recovery Services vault → Properties → Vault settings → Immutability

Configurar via Azure CLI

# Passo 1: Activar imutabilidade em estado Unlocked (reversível)
az backup vault backup-properties set \
  --resource-group rg-backup-prod \
  --name rsv-empresa-westeurope-001 \
  --immutability-state Unlocked

# Passo 2: Após testes (mínimo 2 semanas), bloquear definitivamente
# ATENÇÃO: Esta operação é IRREVERSÍVEL
az backup vault backup-properties set \
  --resource-group rg-backup-prod \
  --name rsv-empresa-westeurope-001 \
  --immutability-state Locked

5. Políticas de backup — frequência e retenção

O Azure Backup usa políticas para definir quando fazer backup e por quanto tempo reter cada recovery point. Para contexto PME com requisitos NIS2, a política abaixo é a referência recomendada:

6. O que proteger com Azure Backup

Configurar backup de VM Azure — passo a passo

1. No vault, clicar em + Backup
2. Where is your workload running? → Azure
3. What do you want to backup? → Virtual machine
4. Seleccionar a política de backup (ou criar nova com os parâmetros da Secção 5)
5. Seleccionar as VMs a proteger → clicar Enable Backup
6. O primeiro backup completo é agendado — pode ser disparado manualmente: Backup Items → VM → Backup now

7. Restauro — procedimentos e tipos

O Azure Backup oferece vários tipos de restauro para VMs e ficheiros. Conhecer as opções antes de um incidente evita perder tempo precioso numa crise:

Procedimento de File Recovery — recuperar ficheiros específicos

1. Vault → Backup Items → seleccionar a VM
2. Clicar em File Recovery
3. Seleccionar o recovery point desejado
4. Fazer download do script de montagem (PowerShell para Windows, bash para Linux)
5. Executar o script na máquina onde queres montar os volumes — o disco do backup é montado como drive local
6. Copiar os ficheiros necessários
7. Clicar Unmount Disks no portal (ou aguardar — a sessão expira após 12 horas)

8. Teste de restauro — obrigatório e documentado

Plano de teste de restauro trimestral

9. Monitorizar e alertar falhas de backup

Uma falha de backup silenciosa pode passar semanas sem ser detectada — e ser descoberta exactamente no pior momento: durante um incidente de ransomware. Configurar alertas é obrigatório.

Configurar alertas de backup

Caminho: Recovery Services vault → Monitoring → Alerts → Configure notifications

• Job failures — alertar por email imediatamente quando um job de backup falha
• Soft delete operations — alertar quando qualquer item de backup entra em estado soft-deleted (sinal de possível ataque)
• Security alerts — activar todos os alertas de segurança do vault (tentativas de desactivar soft delete, etc.)

Usar o Azure Monitor para alertas centralizados

# Criar action group para enviar email em falhas de backup
az monitor action-group create \
  --resource-group rg-backup-prod \
  --name ag-backup-alerts \
  --short-name backupalert \
  --email-receivers name=IT [email protected]

# Criar regra de alerta para falhas de backup
az monitor alert create \
  --resource-group rg-backup-prod \
  --name "Backup Job Failed" \
  --description "Alerta quando job de Azure Backup falha" \
  --condition "category=Backup and status=Failed" \
  --action-group ag-backup-alerts

10. Comandos PowerShell / Azure CLI úteis

Verificar estado de todos os jobs de backup nas últimas 24 horas

Connect-AzAccount

$vault = Get-AzRecoveryServicesVault -Name "rsv-empresa-westeurope-001" -ResourceGroupName "rg-backup-prod"
Set-AzRecoveryServicesVaultContext -Vault $vault

# Jobs das últimas 24 horas
Get-AzRecoveryServicesBackupJob -From (Get-Date).AddDays(-1) -VaultId $vault.Id |
    Select-Object WorkloadName, Operation, Status, StartTime, EndTime |
    Format-Table -AutoSize

# Filtrar apenas os que falharam
Get-AzRecoveryServicesBackupJob -From (Get-Date).AddDays(-1) -Status Failed -VaultId $vault.Id

Listar todos os recovery points disponíveis para uma VM

$backupItem = Get-AzRecoveryServicesBackupItem \
    -BackupManagementType AzureVM \
    -WorkloadType AzureVM \
    -VaultId $vault.Id \
    -Name "NomeDaVM"

Get-AzRecoveryServicesBackupRecoveryPoint \
    -Item $backupItem \
    -VaultId $vault.Id | \
    Select-Object RecoveryPointId, RecoveryPointTime, RecoveryPointType | \
    Format-Table -AutoSize

Disparar backup imediato de uma VM (fora do agendamento)

# Disparar backup imediato (útil antes de uma manutenção de risco)
Backup-AzRecoveryServicesBackupItem \
    -Item $backupItem \
    -VaultId $vault.Id \
    -ExpiryDateTimeUTC (Get-Date).AddDays(30).ToUniversalTime()