backup vs. snapshot
expressãoSuporte de TIcultura de operações
Snapshots são pontos de restauração rápidos e locais que compartilham o destino do original; backups vivem em outro lugar e sobrevivem a ele - só o segundo responde ao ransomware.
A regra 3-2-1: três cópias, duas mídias, uma fora do site.
Uma cópia de sombra é um instantâneo de um volume tirado enquanto ele está em uso, para que arquivos travados por aplicações em execução ainda possam ser copiados de forma consistente. O Windows chama o mecanismo de Volume Shadow Copy Service, e a mesma ideia aparece em toda parte com outros nomes.
Seu valor cotidiano é o recurso de versões anteriores, que permite ao usuário recuperar um arquivo que sobrescreveu há uma hora sem envolver ninguém. Isso resolve silenciosamente um número enorme de chamados de suporte, e o fato de a maioria dos usuários não saber que existe é uma falha genuína de documentação, e não técnica.
Seu papel no ransomware é por que hoje recebe atenção de segurança. Apagar cópias de sombra é passo inicial padrão do ransomware, justamente porque de outro modo elas tornariam a recuperação trivial, e o comando para fazê-lo é conhecido o bastante para que sua execução seja um sinal de detecção de boa qualidade. Isso motivou tanto proteções no caminho de exclusão quanto a lição mais dura por baixo: um backup que mora na máquina sob ataque, alcançável por um administrador daquela máquina, é recurso de conveniência, e não backup, e a cópia que sobrevive é a que está inteiramente em outro lugar.