Como proteger os servidores da sua empresa contra ransomware

Ransomware é um tipo de ataque em que criminosos invadem a rede, criptografam servidores e arquivos e cobram um resgate para devolver o acesso. Nas versões mais recentes, eles também copiam os dados antes de criptografar e ameaçam divulgá-los. Para uma empresa pequena ou média, o resultado são dias parados, clientes sem atendimento e decisões difíceis sob pressão. A boa notícia: a maioria dos ataques explora falhas conhecidas e evitáveis. Este guia mostra as camadas de proteção que, juntas, fecham essas portas.

Como um ataque costuma acontecer

Entender o caminho do invasor ajuda a ver onde cada proteção entra. Um roteiro típico tem quatro fases:

1. Entrada: uma área de trabalho remota (RDP) aberta na internet com senha fraca, um e-mail com anexo malicioso, uma VPN ou firewall desatualizado com falha conhecida, ou uma senha vazada reutilizada.
2. Exploração: já dentro, o invasor procura credenciais de administrador, mapeia servidores e se espalha pela rede, muitas vezes por dias ou semanas, sem ser notado.
3. Preparação: localiza e apaga os backups acessíveis, desativa o antivírus e copia dados sensíveis para fora.
4. Impacto: dispara a criptografia, geralmente de madrugada ou num fim de semana, e deixa a nota de resgate.

Cada camada abaixo interrompe uma ou mais dessas fases.

As sete camadas de proteção

1. Atualizações em dia

Boa parte das invasões usa falhas que já tinham correção publicada. Defina uma rotina: atualizações de segurança do sistema operacional aplicadas mensalmente, com prioridade para falhas críticas; firmware de firewall, VPN e equipamentos de rede atualizado; e substituição de sistemas que não recebem mais correções. Um Windows Server fora do período de suporte, exposto à rede, é um risco permanente. Atualizar em servidor de produção exige cuidado, por isso tire um snapshot antes e programe uma janela.

2. Acesso remoto seguro, sem RDP exposto

Deixar a porta da área de trabalho remota aberta para a internet é o equivalente digital a deixar a chave na porta. Robôs varrem a internet o tempo todo atrás dessas portas e testam milhares de combinações de usuário e senha. Mudar a porta padrão só atrasa a descoberta. O caminho correto é fechar o acesso direto e exigir que todos se conectem primeiro a uma VPN; só depois de autenticados na VPN eles alcançam o servidor.

3. Firewall e VPN bem configurados

O firewall deve seguir o princípio do menor acesso: tudo bloqueado por padrão, e liberado apenas o que é necessário, para quem é necessário. Separe a rede em segmentos, de modo que um computador infectado na recepção não alcance diretamente o banco de dados. Um firewall de nova geração com detecção e prevenção de intrusão (IDS/IPS) ajuda a identificar padrões de ataque conhecidos. E as regras precisam ser revisadas: liberações temporárias costumam virar permanentes.

4. Autenticação em dois fatores (MFA)

Senhas vazam, são reutilizadas ou adivinhadas. Com o segundo fator, um código no celular ou uma chave física, a senha roubada sozinha não basta. Priorize MFA em: VPN, e-mail corporativo, painéis de administração de servidores e nuvem, sistema de backup e contas de administrador do domínio. Também separe contas: o administrador não deve usar a conta privilegiada para ler e-mail e navegar.

5. Backup com versões e cópia imutável

Se tudo mais falhar, é o backup que define se a empresa volta em horas ou fica refém. Mas o invasor sabe disso e vai atrás dele. Por isso, um backup resistente a ransomware precisa de:

• credenciais próprias, diferentes das do domínio, protegidas por MFA;
• retenção de várias versões, para recuperar o estado de antes da infecção, que pode ter começado dias antes da criptografia;
• pelo menos uma cópia fora da rede da empresa e protegida contra exclusão antecipada;
• restaurações testadas periodicamente.

O desenho completo, com cópia local e externa, está em regra 3-2-1 de backup.

6. Monitoramento e alertas

Ataques deixam rastros antes do impacto: muitas tentativas de login falhas, um uso de CPU e disco anormal de madrugada, serviços de backup parados, contas novas de administrador. Monitorar servidores e receber alertas por e-mail ou WhatsApp aumenta a chance de perceber algo estranho antes que a criptografia comece. Monitoramento sem ninguém olhando os alertas, porém, é só um painel bonito; defina quem recebe e o que fazer.

7. Plano de resposta a incidentes

No momento do ataque, ninguém deve estar decidindo pela primeira vez quem liga para quem. Um plano de uma ou duas páginas resolve:

• Isolar: desconectar da rede as máquinas afetadas. Em geral é melhor desconectar do que desligar, para preservar evidências.
• Acionar: lista de contatos do provedor de infraestrutura, do responsável técnico, da diretoria e do jurídico.
• Avaliar: o que foi atingido, desde quando e se houve cópia de dados.
• Restaurar: a partir de uma versão de backup anterior à infecção, em ambiente limpo, depois de trocar todas as senhas.
• Comunicar: se houver dados pessoais envolvidos e risco aos titulares, a LGPD prevê comunicação à ANPD e aos titulares, em prazo definido em regulamento. Envolva o jurídico desde o início.

Revise o plano uma vez por ano e faça um exercício simulado com a equipe.

Por onde começar

Se a lista pareceu longa, priorize pelo impacto. Primeiro, feche qualquer RDP exposto e ative MFA na VPN e no e-mail. Em seguida, confirme que existe um backup fora da rede, com versões, e teste uma restauração. Depois, organize atualizações, regras de firewall e monitoramento. Servidores em um datacenter já partem de uma base melhor do que os do escritório, mas a configuração lógica continua sendo decisiva.

Como a DataHead pode ajudar

A DataHead cuida das camadas de infraestrutura no nosso datacenter em Londrina/PR. O firewall gerenciado entrega VPN para usuários e filiais, IDS/IPS e regras mantidas pela equipe, eliminando a necessidade de expor RDP. O backup em nuvem tem criptografia, autenticação em dois fatores e retenção de versões. E o monitoramento de servidores envia alertas por e-mail e WhatsApp. Para revisar a proteção do seu ambiente, fale com a gente pela página de contato.