Como este tema funciona na sua empresa
Air gap é frequentemente ignorado ou implementado de forma crua: uma cópia de backup em HD externo que é desconectada fisicamente após execução. Automatização é mínima — geralmente alguém precisa plugar o HD, esperar backup completar, desconectar e guardar no cofre. Custo é baixo (HD de $50-100), mas envolve processo manual.
Air gap começa a ser considerado como parte de estratégia 3-2-1. Implementação típica: cópia em nuvem com credenciais isoladas (diferente das credenciais de backup produção) que impede acesso fácil mesmo que malware comprometa conta principal. Ou cópia em mídia removível usando ferramenta de backup que automatiza a cópia semanal ou mensal. Acesso é restrito — precisa de aprovação formal para acessar e restaurar.
Air gap é obrigatório: cópia isolada em vault separado (pode ser nuvem dedicada, segunda infraestrutura, ou tape vault). Acesso é severamente restritivo — requer MFA, aprovação de múltiplas pessoas, auditoria de cada acesso registrada. Automação: políticas de retenção automáticas, rotação de mídias, verificação periódica de restaurabilidade. Integração com SOC: alertas se alguém tentar acessar vault isolado fora do processo normal.
Air gap em backup é prática de isolar fisicamente ou logicamente uma cópia de backup da rede ou da infraestrutura produção, impedindo que acesso não autorizado — especialmente malware ou ator malicioso com credenciais comprometidas — possa deletar, criptografar ou modificar essa cópia. O conceito é simples: se uma máquina está conectada à rede, pode ser comprometida; se está desconectada fisicamente ou isolada logicamente com controles fortes, risco diminui drasticamente. Air gap é prática com décadas, mas ganhou relevância crítica com aumento de ataques ransomware — estudos mostram que presença de backup isolado aumenta taxa de recuperação bem-sucedida de 40% para 90%[1].
Air gap físico vs. air gap lógico
Existem duas formas de isolar backup:
- Air gap físico: cópia é gravada em mídia removível (HD externo, fita tape, DVD) que é desconectada fisicamente da rede. Malware não pode alcançar — não há caminho de rede. Máquina com malware tentando deletar backup não consegue, pois mídia não está conectada. Vantagem: segurança absoluta. Desvantagem: não é automático — alguém precisa conectar mídia, fazer backup, desconectar, guardar. Custo operacional é alto.
- Air gap lógico: cópia é isolada via controles de rede e acesso (VLAN, firewall, credenciais separadas, MFA). Mídia está conectada ao sistema, mas acesso é protegido por controles. Máquina com malware tentando deletar backup não consegue porque firewall bloqueia. Vantagem: pode ser automatizado. Desvantagem: confiança em que controles funcionam — se firewall for misconfigured ou credencial vazada, proteção cai.
Na prática, muitas organizações combinam: ar gap lógico automatizado como primeira linha, ar gap físico ocasional para cópias críticas.
Por que air gap protege contra ransomware
Ransomware moderno não apenas criptografa dados produção — procura e deleta backups. Objetivo é forçar vítima a pagar resgate porque recuperação via backup não é opção. Sequência típica:
- Malware entra na rede (email malicioso, credencial comprometida, vulnerabilidade de software)
- Ator escalona privilégio, ganha acesso administrativo
- Procura backups acessíveis pela rede — storage, cloud, máquina de backup — e deleta ou criptografa
- Criptografa dados produção e deixa nota: "para recuperar, pague X"
Air gap quebra etapa 3: se backup está isolado fisicamente ou logicamente, malware não consegue alcançar. Resultado: vítima consegue recuperar de backup, não precisa pagar resgate. Por isto, air gap é defendido como "seguro contra ransomware".
Implementação prática de air gap: passo a passo
- Escolher tipo de isolamento: físico (mais seguro, mais trabalhoso) ou lógico (automático, menos seguro)? Para maioria de PME, início é air gap lógico via credenciais isoladas em nuvem.
- Selecionar mídia ou destino: HD externo, tape, nuvem dedicada, ou segunda infraestrutura. Nuvem é mais fácil (não precisa cuidar de mídia física), tape é mais antigo mas confiável.
- Configurar acesso isolado: se nuvem, criar conta separada com credenciais diferentes, sem permissão delete (apenas write/append). Se tape, máquina de backup tem firewall que apenas escreve, nunca deleta.
- Automatizar cópia: política de retenção: backup completo semanal + incrementais diários, com uma cópia semanal isolada por ar gap. Ferramenta de backup executa automaticamente.
- Testar restauração: regularmente (pelo menos trimestralmente), tentar restaurar a partir de backup isolado. Isto valida que backup funciona e processo de acesso está claro.
- Auditar acesso: registrar e revisar quem acessou backup isolado, quando, para qual ação. Frequência: mensal ou quando há indicativo de incidente.
Integração com regra 3-2-1: onde air gap encaixa
3-2-1 básico: cópia local em HD (acessível para recuperação rápida), cópia em nuvem (off-site), cópia em HD externo desconectado (ar gap). Processo manual — após backup completar, alguém conecta HD externo, faz cópia, desconecta e guarda.
3-2-1 com ar gap lógico: cópia local (armazenamento produção), cópia em nuvem com credenciais de acesso padrão, cópia em nuvem com credenciais isoladas (ar gap — acesso restritivo, apenas append, sem delete). Automatizado — ferramenta de backup faz tudo, humano não precisa intervir.
3-2-1+ com múltiplas camadas: local para RPO curto, nuvem primária para DR, vault isolado para ar gap (segunda nuvem ou infraestrutura dedicada com acesso super-restritivo), mais tape para arquivo de longa retenção. Cada cópia tem política própria de retenção e restaurabilidade.
Trade-offs: segurança vs. conveniência
Air gap não é "grátis" — adiciona complexidade e custo operacional:
- Latência de recuperação: se backup está isolado fisicamente, recuperação exige que alguém vá buscar mídia, conecte, e inicie restauração. Em emergência, pode ser horas. Se ar gap lógico, tempo é similar a backup produção — segundos a minutos.
- Overhead operacional: ar gap físico requer processo manual, cuidado com mídia (armazenamento, integridade, substituição). Air gap lógico requer monitoramento de credenciais isoladas, auditoria de acesso.
- Custo de infraestrutura: se usar segunda nuvem ou vault dedicado, adiciona custo mensal. Tape tradicional é barato por GB, mas requer jukebox e manutenção.
- Risco de falha silenciosa: ar gap pode parecer estar funcionando, mas se não é testado regularmente, pode estar corrompido e ninguém descobre até precisar restaurar.
Decisão típica em PME: ar gap lógico automatizado (via credenciais isoladas em nuvem) oferece bom balanço — relativamente automático, baixo custo, satisfaz maioria de requisitos regulatórios.
Sinais de que você precisa implementar air gap em backup
Se você se reconhece em dois ou mais cenários, ar gap deve estar no roadmap.
- Não existe cópia de backup isolada — todas cópias são acessíveis da rede produção
- Backup é automático, mas todas cópias usam mesmas credenciais — se credencial é comprometida, todas cópias podem ser deletadas
- Não há teste regular de recuperação a partir de backup antigo — não é conhecido se backup funciona
- Em caso de ransomware, recuperação dependeria de pagar resgate ou re-entrada manual de dados
- Requisitos regulatórios ou de cliente exigem backup isolado e sua empresa não tem
- Incidente recente (mesmo em outra empresa do setor) envolveu deletamento de backup — faz você questionar se está protegido
Caminhos para implementar air gap
Viável para organizações com expertise em backup e segurança.
- Opção 1 (física): HD externo, backup manual semanal, desconectar e guardar. Custo: $100-500, tempo: 1-2h mensal
- Opção 2 (lógica): nuvem com credenciais isoladas, ferramenta de backup automatiza. Custo: $50-200/mês, tempo: 4-8h setup
- Testar: restauração trimestral a partir de backup isolado para validar
Provedor dedica-se a gestão de ar gap.
- Tipo: Backup as a Service com ar gap incluído, ou consultoria de backup design ar gap
- Custo: $100-500/mês dependendo de volume, incluindo monitoramento e testes
- Vantagem: especialista cuida, testes automáticos, compliance documentado
Precisa desenhar estratégia de ar gap para backup?
Se backup ainda não tem isolamento ou isolamento é inadequado, o oHub conecta você gratuitamente a consultores especializados em backup, disaster recovery e ar gap. Em menos de 3 minutos, descreva sua infra e receba propostas personalizadas, sem compromisso.
Encontrar fornecedores de TI no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
O que é air gap em backup?
Air gap é isolamento físico ou lógico de cópia de backup que impede acesso não autorizado — especialmente de malware ou ator comprometido. Cópia isolada não pode ser deletada, criptografada ou modificada mesmo que infraestrutura produção seja comprometida. Air gap é defesa crítica contra ransomware.
Como implementar air gap em backup?
Opção física: HD externo, backup semanal, desconectar e guardar. Opção lógica: nuvem com credenciais isoladas (sem permissão delete), firewall que bloqueia acesso não autorizado. Automatizar cópia, testar restauração regularmente, auditar acesso. Pequena empresa: HD externo é suficiente. Média/grande: nuvem com credenciais isoladas é mais prático.
Qual é a diferença entre air gap físico e lógico?
Físico: mídia desconectada fisicamente (HD externo, tape). Malware não pode alcançar porque sem conexão física/rede. Segurança absoluta, mas não automático. Lógico: mídia conectada, mas acesso protegido por firewall/credenciais isoladas/controles. Malware tenta acessar, mas firewall bloqueia. Automático, menos seguro absolutamente, mas prático.
Air gap protege contra ransomware?
Sim. Ransomware tenta deletar backups acessíveis para forçar pagamento de resgate. Air gap isola backup — malware não consegue deletar. Resultado: vítima recupera de backup, não precisa pagar. Air gap aumenta taxa de recuperação bem-sucedida significativamente.
Como combinar air gap com regra 3-2-1?
3-2-1: 3 cópias, 2 mídias, 1 off-site. Air gap é terceira cópia isolada. Exemplo: cópia local (rápida recuperação), nuvem (off-site), nuvem com credenciais isoladas (air gap). Ou: local, nuvem, HD externo desconectado (air gap físico).
Qual é o custo de implementar air gap?
Air gap físico (HD externo): $50-500 inicial, custo operacional baixo. Air gap lógico (nuvem isolada): $50-200/mês. Não é caro, mas requer disciplina operacional — testes regulares, auditoria, documentação. ROI é alto se previne pagamento de resgate ransomware ($10k-$1M+).
Referências
- Veeam: "Ransomware Trends 2024" — estatísticas de recuperação com e sem backup isolado. Disponível em: https://www.veeam.com
- NIST SP 800-34: Contingency Planning (inclui backup isolation). Disponível em: https://csrc.nist.gov/pubs/sp/800/34/rev1/final
- ISO 27001:2022 — A.12.3.1: Backup. Recomenda isolamento de cópias. Disponível em: https://www.iso.org/standard/27001