Security Center:Create and manage anti-ransomware policies and agents

Pré-requisitos

Antes de começar, verifique se você:

• Adquiriu capacidade antirransomware e autorizou sua conta — consulte Enable anti-ransomware

• Instalou o agente do Security Center no servidor — consulte Install the Security Center agent

Descrição do backup de dados

• O Security Center envia os dados dos caminhos de backup especificados na política para armazenamento no Cloud Backup. O backup de dados antirransomware utiliza backup incremental. Após a criação da política, o primeiro backup executa uma cópia completa de todos os diretórios protegidos, consumindo recursos consideráveis de CPU e memória. Para evitar impactos nos negócios, recomendamos realizar o backup fora do horário de pico. Nos backups subsequentes, o Security Center copia apenas os arquivos alterados (modificados, adicionados ou excluídos), o que reduz o uso de recursos do servidor e evita consumo excessivo da capacidade antirransomware.

• Sugestão de planejamento de capacidade: Recomendamos alocar a capacidade de armazenamento antirransomware com base no volume real de dados dos servidores. Em geral, configure 50 GB de espaço de proteção para cada servidor. O primeiro backup completo ocupa cerca de 60% a 80% do tamanho dos dados de source após a compressão. Os backups subsequentes são incrementais e consomem menos capacidade, pois apenas os dados alterados são copiados.

• O Security Center inicia automaticamente diferentes quantidades de jobs de backup com base na versão da política e nos diretórios de backup. Para entender as diferenças entre as políticas V1.0 e V2.0, consulte Policy version upgrade.

  Diretório de backup	Política V1.0	Política V2.0
  Todos os diretórios	Linux: Um job de backup é gerado para todo o servidor. Windows: Um job de backup é gerado para cada disco de dados. Por exemplo, se o servidor Windows tiver dois discos de dados, o Security Center gera dois jobs de backup. Esses jobs iniciam simultaneamente e consomem mais recursos de CPU e memória do que em servidores Linux. Importante Recomendamos agendar o backup de dados com base no uso de CPU e memória dos servidores Windows.	Um job de backup é gerado para todo o servidor. Múltiplos jobs de backup executam em sequência, consumindo menos recursos de CPU e memória sem impactar os negócios.
  Diretórios específicos	Para cada diretório na política, o Security Center inicia um job de backup correspondente. Múltiplos jobs de backup executam simultaneamente e podem consumir recursos significativos de CPU e memória. Importante Recomendamos definir um número razoável de diretórios de backup com base nas necessidades reais.

Criar uma política antirransomware

Antes de criar uma política, verifique se o sistema operacional do servidor é suportado. Se a versão do SO não for suportada, não será possível fazer backup dos dados. Consulte Operating systems and versions supported by anti-ransomware for servers.

1. Faça login no console do Security Center.

2. No painel de navegação à esquerda, escolha Protection Configuration > Host Protection > Anti-Ransomware. No canto superior esquerdo do console, selecione a região onde o ativo a ser protegido está localizado: Chinese Mainland ou Outside Chinese Mainland.

3. Na aba Anti-ransomware for Servers, clique em Create Anti-ransomware Policy.

4. No painel Create Anti-ransomware Policy, configure os parâmetros básicos.

   Parâmetro	Descrição
   Policy Name	Nome da política antirransomware.
   Server Type	Tipo de servidor ao qual a política antirransomware se aplica.
   Backup Route	Necessário apenas quando Server Type estiver definido como Server Not Deployed on Alibaba Cloud. Selecione o método de comunicação para o backup de dados. Opções: Internet: Os dados são transmitidos pela rede pública, o que pode gerar cobranças de largura de banda pública. Internal Network: Para transmitir dados pela rede privada, use Alibaba Cloud VPC, Express Connect ou CEN para conectar servidores não implantados no Alibaba Cloud ao endpoint antirransomware na região selecionada.
   Region	Necessário apenas quando Server Type estiver definido como Server Not Deployed on Alibaba Cloud. Selecione a região onde o servidor reside ou uma região com conectividade de rede ao endpoint antirransomware. A região selecionada especifica o endpoint de rede para o service antirransomware. Certifique-se de que o servidor possa se comunicar com o endpoint antirransomware na região escolhida. Para mais informações, consulte Network endpoint.
   Select Asset	Selecione um único ativo, múltiplos ativos em diferentes grupos ou um grupo de ativos. Execute as operações a seguir para selecionar os ativos a proteger: Na seção Asset Group, selecione um grupo de ativos. Todos os ativos do grupo são selecionados automaticamente. Desmarque os ativos que não precisam de proteção na seção Asset. Na seção Asset, insira o nome de um ativo (suporte a correspondência parcial) e clique no ícone de pesquisa. Os ativos relacionados serão exibidos. Selecione os ativos a serem protegidos. Nota Ao selecionar ativos, servidores do Alibaba Cloud permitem configurar servidores de múltiplas regiões em uma única política. Servidores não implantados no Alibaba Cloud suportam apenas servidores da mesma região dentro de uma única política. Para garantir o uso racional e eficaz da capacidade de proteção, cada servidor pode ser adicionado a apenas uma política antirransomware.

5. No painel Create Anti-ransomware Policy, configure a política específica de backup de dados e clique em OK.

   Escolha a política recomendada ou uma política personalizada.

   • Política recomendada: Política integrada do Security Center. Não pode ser modificada e é fácil de configurar. As regras específicas são as seguintes:

     Configuração	Valor padrão
     Diretório a proteger	Todos os diretórios (excluindo diretórios de sistema)
     Diretório a excluir	Exibe a lista de diretórios excluídos
     Caminho de montagem não local	Exclui caminhos de montagem não locais (ou seja, exclui OSS, NAS e outros caminhos de montagem não locais)
     Tipo de arquivo a proteger	Todos os tipos de arquivo
     Início do primeiro backup	Qualquer horário entre 00:00 e 03:00
     Intervalo de backup periódico	Um dia
     Período de retenção de dados de backup	7 dias
     Largura de banda máxima de backup	Servidores Alibaba Cloud: 0 MB/s Nota 0 MB/s significa que não há limite de largura de banda para backups. Servidores não implantados no Alibaba Cloud: 5 MB/s

   • Política personalizada: Permite definir regras específicas para a política, oferecendo alta flexibilidade. Especifique o diretório a proteger, diretório a excluir, tipo de arquivo a proteger, horário de início do backup de dados, intervalo de backup, período de retenção de dados de backup e largura de banda máxima de backup (MB/s). Os parâmetros estão descritos abaixo.

     Configuração	Descrição
     Diretório a proteger	Selecione os diretórios para backup. Escolha entre os seguintes tipos: Specific Directory: Faz backup dos diretórios especificados dos ativos selecionados. Adicione os caminhos dos diretórios a proteger em Directory Address. Exemplo de configuração: Windows: C:\Program Files (x86)\ Linux: /usr/bin/ É possível adicionar até 20 caminhos de diretório. O Security Center executa jobs de backup para cada caminho em sequência. Se um diretório contiver muitos arquivos, isso pode consumir recursos significativos do servidor (CPU e memória). Divida um diretório em vários caminhos e execute jobs de backup em sequência para reduzir o uso de recursos. All Directories: Faz backup de todos os diretórios dos ativos selecionados.
     Diretório a excluir	Especifica os diretórios a serem excluídos do backup. O Security Center fornece diretórios padrão para exclusão. Modifique esses diretórios conforme necessário.
     Non-local Mount Path	Escolha se deseja excluir caminhos de montagem não locais. Caminhos de montagem não locais referem-se a OSS, NAS e outros caminhos de montagem.
     Tipo de arquivo a proteger	Selecione os tipos de arquivo a proteger. Escolha entre os seguintes tipos: All File Types: Faz backup e protege todos os tipos de arquivo. Specific File Types: Faz backup e protege tipos de arquivo especificados. Selecione tipos de documentos, imagens, entre outros. Importante É possível selecionar múltiplos tipos de arquivo. O Security Center fará backup apenas dos tipos de arquivo selecionados nos ativos.
     Início do primeiro backup	Defina o horário de início do backup de dados. Importante Após a criação da política, o primeiro backup executa uma cópia completa de todos os diretórios protegidos, consumindo recursos consideráveis de CPU e memória. Para evitar impactos nos negócios, recomendamos realizar o backup fora do horário de pico.
     Intervalo de backup periódico	Defina o intervalo de backup. Padrão: um dia.
     Período de retenção de dados de backup	Defina o período de retenção dos dados de backup. Padrão: 7 dias. Importante Após o término do período de retenção, os dados de backup são limpos automaticamente. Recomendamos definir um período de retenção adequado com base nos requisitos do negócio. Selecione um dos seguintes métodos de retenção: Permanent: Os dados de backup são retidos até que o service do Security Center expire, a política de proteção seja excluída ou o servidor seja removido da política. Custom: Período de retenção personalizado. Mínimo: 1 dia. Máximo: 65.535 dias.
     Largura de banda máxima de backup	Defina o limiar de largura de banda de rede para dados de backup. Faixa de valores: 0 MB/s a ilimitado. Os dados de backup de servidores Alibaba Cloud utilizam apenas a largura de banda da rede privada e não afetam a largura de banda da rede pública. Já os dados de backup de servidores não implantados no Alibaba Cloud usam a largura de banda da rede pública ou privada. Defina o limiar de largura de banda para evitar que os jobs de backup consumam largura de banda excessiva e afetem os negócios. Servidores Alibaba Cloud: 0 MB/s por padrão. Nota 0 MB/s significa que não há limite de largura de banda para backups. Servidores não implantados no Alibaba Cloud: 5 MB/s por padrão.

6. Após a criação da política de proteção, o status da política é ativado por padrão. O Security Center instala automaticamente o agente antirransomware no servidor e faz backup dos diretórios protegidos dos servidores efetivos com base nas condições de backup definidas na política.

   Aviso

   Monitore o status do agente antirransomware e trate prontamente quaisquer status anormais para garantir a execução adequada das tarefas de backup e restauração antirransomware. Para mais informações, consulte View the status of the anti-ransomware agent.

Gerenciar políticas de proteção

Gerenciar o agente antirransomware

Recuperação de dados após infecção por ransomware

Caso os dados do servidor sejam infectados por ransomware, utilize os dados copiados pelo recurso antirransomware para restaurá-los. Abaixo está o processo completo de resposta a emergências:

1. Isole o servidor infectado: Desconecte imediatamente o servidor infectado da rede para impedir que o ransomware se espalhe ainda mais. Use regras de grupo de segurança para bloquear o tráfego de entrada e saída do servidor.

2. Verifique o backup de snapshot: No console do Security Center, na aba Anti-ransomware for Servers, localize a política na lista e clique no ícone de expansão à esquerda da política para expandir a lista de servidores aos quais ela se aplica. Clique no número sob a contagem de backups do servidor correspondente para acessar a página de dados de backup e verifique o horário do backup de snapshot para confirmar se os dados de backup estão completos.

   Importante

   Avalie cuidadosamente o horário do backup e o momento em que os dados foram criptografados. Se o horário do backup for anterior ao momento da criptografia dos dados, reverta o snapshot para restaurar os dados. Se o backup ocorreu após a criptografia dos dados, os dados de backup podem ter sido infectados.

3. Remova o vírus: Antes de restaurar os dados, recomendamos redefinir o disco do sistema ou remover completamente o ransomware do servidor para evitar que os dados sejam criptografados novamente após a restauração. Para mais informações, consulte Reconfigure policies (after OS replacement).

4. Reverta o snapshot para restaurar dados: Após confirmar que o horário do backup de snapshot é adequado, selecione a versão de backup a ser restaurada na página de dados de backup e execute uma reversão de snapshot para restaurar os dados ao estado no momento do backup. Para operações detalhadas sobre reversão de snapshot, consulte a documentação relevante.

5. Reforço de segurança: Após a restauração dos dados, recomendamos executar o reforço de segurança, incluindo correção de vulnerabilidades, definição de senhas complexas e restrição de endereços IP de login remoto para evitar futuras intrusões.

Documentação relacionada

• Anti-ransomware daily operation guidelines

• Solutions for when anti-ransomware backups occupy too much disk space

• Anti-ransomware troubleshooting