Air gap: o backup isolado que o ransomware não alcança

O que é air gap e por que ele virou prioridade na proteção de dados

Air gap, em tradução literal, significa "lacuna de ar". No contexto de backup, o termo descreve uma cópia de dados que fica isolada — física ou logicamente — da rede de produção da empresa. A ideia central é simples: se o backup não pode ser alcançado pela rede, ele também não pode ser alcançado por um atacante que comprometeu essa rede. É uma barreira de última linha, projetada para sobreviver mesmo quando todas as outras defesas falham.

O conceito não é novo. Durante décadas, empresas gravavam backups em fitas magnéticas e as transportavam para cofres externos — um air gap físico clássico. O que mudou foi o cenário de ameaças. O ransomware moderno não se limita a criptografar servidores de produção: as variantes atuais procuram ativamente por repositórios de backup, consoles de gerenciamento e snapshots antes de disparar a criptografia. Relatórios de resposta a incidentes mostram que, na maioria dos ataques bem-sucedidos, os backups foram alvo deliberado — e em boa parte dos casos o atacante conseguiu comprometê-los.

É por isso que o air gap deixou de ser uma prática de nicho e passou a integrar recomendações formais de frameworks como o NIST Cybersecurity Framework e a regra 3-2-1-1-0 de proteção de dados: três cópias, em duas mídias diferentes, uma fora do site, uma offline ou imutável, e zero erros de verificação. O "1" adicional — a cópia offline ou isolada — é exatamente o air gap.

Como o ransomware caça backups conectados

Para entender o valor do isolamento, vale conhecer o comportamento do adversário. Um ataque de ransomware corporativo raramente é instantâneo. Entre o acesso inicial e a criptografia, o atacante passa dias ou semanas em movimentação lateral dentro da rede, elevando privilégios e mapeando a infraestrutura. Nessa fase de reconhecimento, os backups são um dos primeiros alvos catalogados.

Com credenciais de administrador de domínio em mãos, o atacante consegue alcançar praticamente qualquer recurso conectado: compartilhamentos de rede com arquivos de backup, servidores de backup ingressados no Active Directory, storages NAS acessíveis por SMB ou NFS, e até repositórios em nuvem cujas credenciais estão salvas no servidor de backup. As táticas mais comuns incluem:

• Exclusão direta de arquivos de backup em compartilhamentos e volumes visíveis na rede;
• Remoção de snapshots e shadow copies (o comando vssadmin delete shadows aparece em quase todo playbook de ransomware);
• Acesso ao console da ferramenta de backup para apagar pontos de restauração e desativar jobs;
• Comprometimento das credenciais de nuvem armazenadas no servidor de backup, permitindo apagar cópias off-site;
• Criptografia do próprio repositório de backup, tratado como um volume de dados qualquer.

O padrão é claro: tudo que está permanentemente conectado e autenticável a partir da rede comprometida está ao alcance do atacante. O air gap quebra exatamente essa cadeia — a cópia isolada não responde às credenciais roubadas, não aparece no mapeamento de rede e não pode ser apagada pelo console comprometido.

Air gap físico versus air gap lógico

Existem duas formas principais de implementar o isolamento, com perfis diferentes de custo, operação e garantia.

O air gap físico é o isolamento literal: a mídia de backup fica desconectada de qualquer rede. O exemplo clássico são as fitas LTO — depois da gravação, o cartucho é ejetado e armazenado em cofre, de preferência em localidade externa. Nenhum malware alcança uma fita dentro de um cofre. Discos removíveis rotacionados seguem a mesma lógica, embora com menos durabilidade e capacidade. A desvantagem do air gap físico é operacional: exige manuseio, transporte, controle de inventário e disciplina. O tempo de restauração também é maior, já que a mídia precisa ser localizada e montada antes de qualquer recuperação.

O air gap lógico mantém a cópia tecnicamente acessível por rede, mas protegida por camadas que impedem alteração ou exclusão mesmo com credenciais administrativas comprometidas. As implementações mais comuns incluem:

• Repositórios imutáveis com bloqueio WORM (write once, read many), como object lock em storage S3-compatível ou repositórios Linux endurecidos com imutabilidade por período definido;
• Cofres virtuais isolados, que abrem a conexão apenas durante a janela de replicação e permanecem desconectados no restante do tempo;
• Contas e domínios de autenticação separados — o repositório de backup não aceita as credenciais do Active Directory de produção, eliminando o caminho mais usado pelos atacantes;
• Snapshots imutáveis de storage, que nem o administrador consegue apagar antes do prazo de retenção expirar.

Regra prática: se um administrador de domínio comprometido consegue apagar a cópia usando as credenciais e os caminhos de rede da produção, não há air gap — há apenas mais um backup conectado.

Na prática, as duas abordagens não competem: se complementam. Muitas empresas combinam repositório imutável (proteção lógica, restauração rápida) com uma rotação periódica de fita ou cópia em nuvem isolada (proteção física ou de credencial, retenção longa).

Quando a sua empresa deve adotar air gap

Nem todo dado exige o mesmo nível de proteção, e o air gap tem custo — em mídia, em licenciamento, em operação e em tempo de restauração. A decisão deve partir de uma análise de risco, mas alguns cenários tornam a adoção praticamente obrigatória:

1. Dados que sustentam a operação do negócio: ERP, banco de dados financeiro, prontuários, projetos de engenharia. Se a perda desses dados paralisa a empresa, a última cópia precisa estar fora do alcance de qualquer ataque.
2. Setores regulados: saúde, financeiro, jurídico e órgãos públicos frequentemente têm exigências de retenção e integridade que a imutabilidade atende diretamente — além das obrigações de proteção de dados pessoais impostas pela LGPD.
3. Empresas que já sofreram incidente ou que operam em segmentos visados por ransomware, como indústria, logística e serviços profissionais.
4. Ambientes com superfície de ataque ampla: muitos acessos remotos, filiais, prestadores externos com VPN, sistemas legados sem patch. Quanto maior a chance de comprometimento da rede, maior o valor de uma cópia que não depende dela.

Também vale considerar o custo do contrário. O valor médio de resgate pedido em ataques a pequenas e médias empresas brasileiras costuma superar em muito o investimento anual em uma camada de backup imutável — sem contar o tempo de inatividade, que em geral dói mais que o resgate. Empresas com backup isolado e testado têm uma posição completamente diferente na mesa de negociação: simplesmente não precisam negociar.

Boas práticas para um air gap que funciona de verdade

Implementar o isolamento é só metade do trabalho. A outra metade é garantir que a cópia isolada seja utilizável no pior dia da empresa. Algumas práticas fazem a diferença entre um air gap real e uma falsa sensação de segurança:

• Teste restaurações regularmente. Backup que nunca foi restaurado é uma hipótese, não uma proteção. Agende testes de restauração completos — de preferência simulando o cenário de perda total do ambiente de produção.
• Separe as credenciais. O acesso ao repositório isolado deve usar autenticação própria, com MFA, fora do Active Directory de produção. Guarde essas credenciais fora da rede (cofre físico ou cofre de senhas isolado).
• Defina a retenção da imutabilidade com critério. Ataques modernos têm tempo de permanência de semanas; uma imutabilidade de 7 dias pode expirar antes de o ataque ser detectado. Períodos de 14 a 30 dias são um ponto de partida mais realista.
• Monitore a cadeia de backup. Job que falha silenciosamente por semanas é o equivalente a não ter backup. Alertas de falha, verificação de integridade e relatórios de sucesso precisam chegar a alguém que os leia.
• Documente o plano de recuperação fora da rede. Se o runbook de restauração está no servidor de arquivos criptografado, ele não existe. Mantenha cópia impressa ou em local isolado.
• Não abandone as outras camadas. Air gap é a última linha, não a única. EDR, segmentação de rede, gestão de patches e controle de acesso continuam sendo o que evita chegar ao ponto de precisar da cópia isolada.

Como a Duk implementa backup isolado para empresas

Projetar uma estratégia de air gap exige equilibrar isolamento, custo e velocidade de recuperação — e esse equilíbrio muda conforme o porte, o setor e a infraestrutura de cada empresa. É um trabalho de arquitetura, não de checkbox: envolve escolher entre imutabilidade em disco, cópia em nuvem com credenciais segregadas ou mídia física, dimensionar retenções e, principalmente, validar que a restauração funciona dentro do prazo que o negócio tolera.

A Duk Informática & Cloud faz esse desenho há mais de 18 anos, com mais de 550 empresas atendidas e a certificação Microsoft Gold Partner. Nossas soluções de backup gerenciado combinam repositórios imutáveis, cópias isoladas em data center próprio em Alphaville e monitoramento contínuo dos jobs — com testes de restauração periódicos e suporte 24/7 com SLA para o momento em que a recuperação for necessária. Se a sua última linha de defesa hoje é um backup conectado à mesma rede que ele deveria proteger, vale conversar com nosso time e revisar essa arquitetura antes que um incidente o faça por você.