Cuca Fresca IT

Ao acompanhar presencialmente as sessões técnicas do Veeam ON Tour Brasil 2026, ficou evidente que a proteção de dados atingiu um ponto de inflexão crítico. Se no passado a nossa prioridade na infraestrutura era assegurar a restauração física de blocos após falhas de hardware e, mais recentemente, isolar repositórios imutáveis contra o avanço do ransomware, o que vimos nas discussões do evento exige uma mudança profunda de postura operacional. O debate não girou em torno de números teóricos de throughput ou promessas de catálogo, mas concentrou-se na convergência prática entre dados, observabilidade do plano de identidade, soberania da informação e o impacto real de agentes autônomos de Inteligência Artificial nos ambientes de produção.

A Transição de Fases e o Modelo de Maturidade (DAIRMM)

A resiliência corporativa foi contextualizada ao longo de três momentos cronológicos distintos:

• Fase I (1980 a 2017) Backup e Recuperação: Foco direcionado a falhas de hardware, desastres físicos e corrupção local, operando sob a premissa de presumir a restauração tradicional dos dados.
• Fase II (2017 a 2025) Resiliência Cibernética: Foco no combate ao ransomware, isolamento de repositórios e imutabilidade física, adotando como regra presumir a violação do perímetro.
• Fase III (2026 em diante) Resiliência Agêntica: Foco na governança de dados consumidos e gerados por IA, partindo da premissa de presumir desvios, privilégios herdados excessivos e ações erráticas de agentes autônomos.

Para estruturar a avaliação desse ecossistema, foi apresentado o Data & AI Resilience Maturity Model (DAIRMM), framework desenvolvido em conjunto com instituições como MIT, McKinsey, Palo Alto Networks, Splunk e Microsoft. O modelo mensura o nível de maturidade da infraestrutura em uma escala de 1 a 5 (Ad hoc, Emergente, Estabelecido, Avançado e Líder de Mercado), dividindo-se em quatro pilares principais:

1. Compreendido: Inteligência contextual para mapear quais dados existem, quem possui acesso e qual é a exposição real a riscos operacionais.
2. Protegido: Aplicação de controles de acesso baseados em menor privilégio e governança para impedir exfiltração ou comprometimento indevido.
3. Resiliente: Capacidade de resistir, conter incidentes e restabelecer cargas de dados e sistemas de IA com impacto mínimo à operação do negócio.
4. Liberado: Capacidade de acelerar a adoção de IA com estabilidade operacional, velocidade, conformidade e auditoria contínua.

A Dinâmica do Ataque Moderno: Identidade como Vetor Primário e Repositórios como Alvo

A dinâmica das invasões cibernéticas contemporâneas evidencia que o ataque raramente se inicia com a tentativa imediata de criptografia de volumes produtivos. Na prática da segurança defensiva, a intrusão quase invariavelmente parte do comprometimento do plano de identidade, seja o Active Directory local ou o Microsoft Entra ID.

A sequência tática documentada tem início com a obtenção de credenciais privilegiadas via phishing direcionado, engenharia social ou roubo de tokens de sessão para bypass de MFA. Em seguida, técnicas como Kerberoasting e Pass-the-Hash são empregadas para escalar privilégios até o controle de contas Domain Admin ou Global Admin. Com o diretório dominado, a ameaça aplica políticas em lote (GPOs) para desativar sensores de EDR, ferramentas de monitoramento e logs de auditoria em toda a rede corporativa.

Antes de tocar nos dados finais de produção, o atacante varre a rede interna em busca de servidores de backup, consoles de gerenciamento, proxies e storages secundários. A meta operacional nessa fase é expurgar repositórios, invalidar chaves criptográficas e apagar cópias de segurança para anular qualquer capacidade de recuperação autônoma da vítima. Apenas após inviabilizar o restabelecimento da empresa é que a carga maliciosa de criptografia é disparada contra os servidores e bancos de dados críticos.

Esse comportamento demonstra a ineficácia de recuperar apenas arquivos ou discos virtuais de modo isolado. Sem sanear previamente o plano de identidade (restaurando políticas de acesso limpas, papéis e permissões seguras), qualquer processo de restauração recoloca a infraestrutura sob o controle das mesmas credenciais capturadas pelo atacante.

O Novo Perímetro: Identidades Não Humanas (NHI) e Governança de IA

Diretamente associado à vulnerabilidade do plano de identidade está o aumento das Identidades Não Humanas (NHIs). Em grandes organizações, a proporção média já chega a 82 contas de máquina (Service Principals, Managed Identities, tokens OAuth, automações e agentes de IA) para cada identidade humana, alcançando cenários específicos que ultrapassam a razão de 500 para 1.

As estruturas convencionais de IAM e PAM tornam-se ineficientes nesse contexto porque foram desenhadas assumindo o comportamento humano de login e uso. Contas de serviço e agentes operam em regime contínuo, conectando plataformas em alta velocidade e frequentemente recebendo permissões amplas demais para evitar interrupções em rotinas automatizadas. O reflexo direto disso é que 42% dessas identidades não humanas detêm acesso a dados altamente sensíveis, enquanto 66% dos incidentes com sucesso exploram credenciais legadas ou tokens duradouros para movimentação lateral sem disparar alertas de autenticação multifator.

Para cobrir a falta de visibilidade entre o dado armazenado e os privilégios associados, a integração com a tecnologia da Securiti AI foi consolidada no DataAI Command Graph e no módulo Intelligent ResOps. A solução unifica a observabilidade do ambiente em um grafo relacional que atua como fonte central de verdade, realizando descoberta e classificação contínua de registros sensíveis (como números de CPF e dados financeiros) no Microsoft 365 e bancos relacionais.

Paralelamente, a tecnologia isola dados redundantes, obsoletos e triviais (ROT). Esse processo impede que massas de dados legados sem modificação há anos permaneçam acessíveis, reduzindo drasticamente a superfície de exposição para assistentes como o Microsoft Copilot. Além disso, o recurso Undo AI possibilita auditar o histórico de operações neurais e reverter com precisão exclusões em massa ou inconsistências causadas por falhas operacionais ou alucinações de agentes autônomos.

Soberania de Dados e Conformidade Regulatória

A expansão de modelos generativos de linguagem (LLMs) executados em nuvens públicas tornou a soberania de dados um elemento indispensável de conformidade. A equipe de TI necessita garantir controle estrito sobre a localização física do dado e sobre as jurisdições aplicáveis, respeitando as imposições da LGPD e as normas setoriais do mercado financeiro e de saúde.

O DataAI Command Graph resolve essa demanda correlacionando o inventário técnico com a geolocalização dos ativos e dos pontos de processamento de IA. Dessa forma, a equipe de TI passa a ter visibilidade sobre quais volumes estão em regiões brasileiras de provedores de nuvem (AWS, Azure ou GCP) e quais estão alocados em infraestruturas externas, impedindo que informações reguladas sejam direcionadas para fora do país sem conformidade jurídica. A plataforma viabiliza ainda o controle diferencial de políticas entre modelos locais (executados em data centers corporativos) e plataformas SaaS públicas, bloqueando a ingestão indevida de dados corporativos por serviços externos e disparando fluxos de remediação integrados ao ITSM.

Evoluções Técnicas no Veeam Data Platform (v13 e v13.1)

No núcleo de transporte e retenção de dados, a plataforma incorporou recursos para mitigar dependências tecnológicas e otimizar processos de contingência:

• Universal Hypervisor API: Interface aberta que viabiliza integração direta com hipervisores alternativos, garantindo paridade funcional para Sangfor aSV, XCP-ng / XenServer, VergeIO, Platform9 e Red Hat OpenShift Virtualization. O modelo suporta Changed Block Tracking (CBT), Instant Recovery cruzado para vSphere e Hyper-V, além de exportação de discos nos formatos VMDK, VHD e VHDX.

• Monitoramento no Veeam ONE: Cobertura imediata para hipervisores alternativos, fornecendo 17 relatórios dedicados, 7 alarmes automatizados, 4 exibições no console local, 2 dashboards no Web Client e 2 endpoints de API.

• Application Backup Repository (ABR): Compartilhamento NFS gerenciado diretamente pelo repositório imutável, permitindo que bancos não nativos, rotinas legadas ou appliances de rede enviem dumps sem intermediários. O próprio ABR gera snapshots periódicos, bloqueia alterações nos blocos gravados e agenda o offload automático para Object Storage, Veeam Vault ou fita.

• Dados Não Estruturados (NAS): A retenção GFS agora opera por agregação direta de metadados dos blocos alterados, dispensando rotinas pesadas de fulls sintéticos. A abordagem Archive-First possibilita o envio direto de backups de NAS para camadas de baixo custo (AWS S3 Glacier, Azure Archive e Veeam Vault Archive), contando com validação antivírus pelo ThreatHunter e análise no SureBackup.

• Automação do AD Forest Recovery: O processo clássico de recomposição florestal após incidentes severos, que antes exigia mais de quarenta etapas manuais críticas (como isolamento de controladores, transferência de papéis FSMO, redefinição dupla da senha da conta krbtgt e limpeza de metadados), foi consolidado em um assistente guiado que conclui a reconstrução da floresta em poucos minutos.

• Criptografia Pós-Quântica (PQC) Híbrida: Proteção contra ameaças do tipo interceptação antecipada para descriptografia futura, em total conformidade com os padrões FIPS 203, 204 e 205 do NIST. Utiliza algoritmos ML-KEM, ML-DSA e SLH-DSA para o handshake de chaves em trânsito, mantendo o algoritmo AES validado para a gravação dos dados em repouso.

• Atualizações de Infraestrutura Local: O Veeam Backup Server agora conta com alta disponibilidade nativa e failover entre sub-redes distintas; o Veeam Software Appliance (VSA) passa a gerenciar pools de storage Fibre Channel e iSCSI; o Proxmox VE recebe replicação nativa de máquinas virtuais; e o utilitário Veeam Updater for Windows simplifica a distribuição de correções silenciosas sem montagem manual de mídias ISO.

Resiliência em Nuvem e SaaS: Veeam Data Cloud para M365 e Entra ID

A infraestrutura do Veeam Data Cloud (VDC) para Microsoft 365 adota um desenho técnico de duplo motor para equilibrar precisão granular e velocidade de contingência.

Nas operações rotineiras de suporte e conformidade, a plataforma emprega a Microsoft Graph API para restaurar mensagens, sites do SharePoint ou arquivos individuais do OneDrive, gravando as cópias em instâncias isoladas de Azure Storage. Por outro lado, em cenários de desastre massivo ou corrupção ampla por agentes desgovernados, o sistema aciona diretamente a Microsoft Backup Storage API, restaurando grandes volumes de dados para o tenant Microsoft com alto throughput para atender aos acordos de RTO.

A governança estende-se ao Microsoft Entra ID com capacidade de restauração cirúrgica de papéis administrativos, grupos de segurança, Service Principals, políticas de Acesso Condicional e configurações do Microsoft Intune. A equipe de TI dispõe de recursos para comparar o estado atual da produção com pontos históricos de backup e validar alterações maliciosas realizadas durante um ataque. O roadmap da solução prevê ainda a expansão do suporte a identidades corporativas no Okta e plataformas CIAM com o Auth0.

Cenários Práticos de Mercado

A viabilidade prática dessas abordagens foi demonstrada por grandes corporações durante os painéis do evento:

Grupo Casas Bahia: Concluiu a migração completa de seus data centers legados para o Google Cloud Platform (GCP), movimentando mais de 2.000 servidores virtuais e 5 PB de dados sem indisponibilidade para a operação através dos motores de replicação contínua da Veeam. A gestão de custos foi estruturada pela segmentação de repositórios em buckets dedicados para cada Squad de negócio (como Logística, TI e Varejo), permitindo visibilidade precisa de consumo e fluxos de showback e chargeback.

Sompo Seguros: Modernizou sua operação substituindo o modelo anterior baseado em mídias de fita e tarefas manuais pelo Veeam Vault, assegurando imutabilidade em nuvem associada à orquestração de contingência com replicação contínua para um data center secundário.

Simpress: Implementou o desenho conjunto do Veeam com a plataforma ExaGrid Tiered Backup Storage. O uso de uma Landing Zone em disco não deduplicado otimizou as janelas de backup e reduziu o tempo de restauração granular de bancos volumosos para poucos minutos. Simultaneamente, o mecanismo de Retention Time-Lock garantiu uma área lógica isolada e não roteável com credenciais segregadas, impedindo a exclusão de pontos históricos por contas comprometidas na rede principal.

Nota do Arquiteto

O conjunto de inovações e casos consolida o encerramento da fase em que o backup era mantido como um processo passivo e dissociado do restante da segurança. O fato de que a quase totalidade dos incidentes modernos inicia pelo comprometimento do diretório de identidades e busca ativamente neutralizar os pontos de recuperação exige respostas estruturais coordenadas.

Primeiramente, contas de serviço, integrações e agentes de IA devem receber o mesmo nível de controle aplicado a credenciais administrativas. Como os consoles e repositórios são os primeiros alvos em um incidente, os servidores de backup precisam permanecer fora do domínio corporativo de produção, priorizando repositórios Linux imutáveis e redes estritamente isoladas.

Em segundo lugar, a liberação de ferramentas de busca neural e agentes como o Copilot requer um saneamento rigoroso prévio dos privilégios no SharePoint e servidores de arquivos. Pastas legadas ou dados confidenciais deixados abertos para toda a empresa serão indexados pelas IAs e expostos em respostas contextuais a usuários não autorizados.

Por fim, a transição para hipervisores alternativos por meio da Universal Hypervisor API exige dimensionamento adequado de CPU e taxa de transferência nos proxies e nós de processamento locais, garantindo que as operações de conversão dinâmica de formato e Instant Recovery atendam com folga aos limites de tempo definidos pelo negócio.

Reflexões Estratégicas

1. Em um cenário de comprometimento generalizado do Active Directory, a sua infraestrutura possui capacidade de reerguer a topologia completa da floresta (incluindo domínios raiz, subdomínios e relações de confiança) em poucos minutos a partir dos metadados, ou a operação ficará paralisada por dias dependendo de recomposição manual de cada controlador de domínio?
2. A organização possui visibilidade exata de quais dados corporativos e identidades de máquina estão expostos a agentes de IA em nuvem e onde esses dados estão sendo fisicamente processados sob a ótica de soberania regulatória?
3. A estrutura de repositórios de backup está verdadeiramente isolada do domínio corporativo de produção, ou um acesso com privilégios administrativos no serviço de identidade conseguirá alcançar e expurgar os pontos de restauração antes de iniciar a criptografia?