Security Center:Diretrizes de operação diária contra ransomware

Etapa 1: Criar uma política de backup contra ransomware

1. Adquira capacidade contra ransomware conforme o tamanho dos arquivos ou bancos de dados que você precisa proteger. Para mais detalhes, consulte {{XREF_0}}.

2. Crie políticas contra ransomware para dados essenciais ou arquivos importantes.

   • Para proteger arquivos de banco de dados, crie uma política de proteção na página Anti-Ransomware, na aba Anti-ransomware for Databases. Para mais detalhes, consulte {{XREF_1}}.

   • Para proteger arquivos em caminhos específicos de um servidor (arquivos que não são de banco de dados), crie uma política de proteção na página Anti-Ransomware, na aba Anti-ransomware for Servers. Para mais detalhes, consulte {{XREF_2}}.

   Após a criação da política contra ransomware, o cliente correspondente é instalado automaticamente no servidor associado. Verifique se a instalação foi concluída com sucesso e se o status está normal para garantir que as tarefas de backup sejam executadas conforme esperado.

   Importante

   • Na primeira execução de um backup de dados por uma política de proteção, todo o conteúdo dos diretórios protegidos passa por backup completo, o que torna essa operação inicial mais demorada. Os backups periódicos subsequentes são incrementais e copiam apenas os dados alterados.

   • É possível utilizar conjuntamente a proteção contra ransomware para servidores e para bancos de dados.

   • Evite definir diretórios não locais (diretórios montados, como OSS ou NAS montados em instâncias ECS) como diretórios protegidos contra ransomware. O acesso aos dados nesses services pode gerar custos adicionais. Para fazer backup de diretórios montados, utilize o Cloud Backup. Para mais detalhes, consulte {{XREF_3}} e {{XREF_4}}.

Etapa 2: Configurar notificações contra ransomware

Depois de criar a política de proteção, configure as notificações contra ransomware para receber mensagens sobre os backups de forma oportuna. Na página Notification Settings, ative as notificações Anti-ransomware Task Results e Insufficient Anti-ransomware Capacity. Para mais detalhes, consulte {{XREF_5}}.

Etapa 3: Realizar inspeções rotineiras

Após criar a política de proteção e configurar as notificações, realize inspeções rotineiras para assegurar o funcionamento adequado do service contra ransomware e aprimorar a segurança dos servidores. Siga a ordem abaixo para executar essas verificações.

1. Verifique regularmente se as tarefas de backup estão sendo executadas conforme esperado.

   Acesse diariamente a página Anti-Ransomware no console do Security Center, ou siga o período de retenção dos dados de backup definido. Confirme se o status do cliente contra ransomware está normal, se há capacidade suficiente, se as tarefas de backup estão rodando corretamente e se os dados recuperáveis estão íntegros. Caso identifique alguma anomalia, investigue e resolva o problema prontamente. Para mais detalhes, consulte {{XREF_6}} e {{XREF_7}}.

2. Confirme periodicamente se o cliente do Security Center instalado no servidor está online.

   O cliente do Security Center é um software instalado nos servidores para coletar e analisar diversos logs e dados, além de monitorar e detectar possíveis ameaças de segurança. Acompanhe o status de conexão desse cliente para evitar falhas de proteção causadas por desconexão. Visualize o status do cliente na página Host. Para saber como lidar com clientes offline, consulte {{XREF_8}}.

   Na lista de servidores, um ícone de escudo verde na coluna Client indica que o cliente está online.

3. Monitore e trate alertas de segurança nos servidores de maneira ágil.

   O monitoramento de alertas de segurança ajuda a identificar se um servidor está sob ataque externo. O Security Center oferece detecção em tempo real de eventos de alerta nos servidores, incluindo Web Tamper Proofing, Suspicious Process Behavior, Webshell, Unusual Logon e Malicious Process. Abra a página de detalhes do servidor desejado na página Host para visualizar todos os eventos de alerta detectados. Para mais informações sobre como tratar alertas de segurança, consulte {{XREF_9}}.

   Clique na aba Security Alert Handling para visualizar a lista de alertas, que inclui severidade, nome do alerta, ativos afetados e horário da última ocorrência. É possível filtrar a lista por nível de severidade (Urgent, Suspicious, Reminder) e por status de tratamento.

4. Configure políticas de detecção de vulnerabilidades e corrija-as rapidamente.

   Vulnerabilidades abrem portas para invasores acessarem seus sistemas. Corrigi-las rapidamente reduz significativamente os riscos de segurança. Configure varreduras periódicas de vulnerabilidades e trate as falhas detectadas sem demora. Após a execução de uma varredura, abra a página de detalhes do servidor alvo na página Host para visualizar todas as vulnerabilidades presentes. Para mais detalhes sobre como configurar períodos de varredura e tratar vulnerabilidades, consulte {{XREF_10}} e {{XREF_11}}.

5. Defina políticas de verificação de linha de base e corrija riscos prontamente.

   Vírus e invasores podem explorar falhas nas configurações de segurança dos servidores para roubar dados ou implantar backdoors. Utilize o recurso de verificação de linha de base para realizar análises de segurança em sistemas operacionais, bancos de dados, softwares e configurações de containers nos servidores. Corrija os problemas encontrados rapidamente para fortalecer a segurança do sistema, reduzir riscos de intrusão e atender aos requisitos de conformidade. Para mais detalhes, consulte {{XREF_12}}.

6. Valide regularmente o funcionamento dos services essenciais.

   Configure tarefas periódicas ou faça verificações manuais regulares para confirmar a acessibilidade dos services críticos. Ataques de ransomware costumam criptografar servidores inteiros ou excluir dados de bancos de dados, tornando os services inacessíveis. Para services essenciais, realize verificações frequentes a fim de detectar e responder a incidentes de ransomware com agilidade.

Observações de uso

• Não reinicie o servidor durante a execução de uma tarefa de backup. Reiniciar o servidor nesse momento causa falha na tarefa. Por padrão, após uma falha, o sistema só realizará um novo backup no próximo ciclo agendado.

• Se ocorrer um incidente de ransomware, não exclua a política de proteção nem os servidores atacados vinculados a ela. Excluir a política ou um servidor comprometido também remove os dados de backup correspondentes, tornando a recuperação impossível.

• Para arquivos ou dados de banco de dados extremamente importantes, adote métodos de backup redundantes por outros canais.

Referências

• {{XREF_14}}