Backup à prova de ransomware: por que escolhemos Kopia e Backblaze B2

Um backup que um atacante de ransomware consegue criptografar ou apagar não vale nada. Esse foi o único requisito que ditou toda a escolha — e ele nos levou a uma conclusão inequívoca depois de compararmos 11 motores de backup open-source e quatro provedores de armazenamento.

Qual é realmente o problema — "extrair e depois criptografar"

Num ataque de ransomware moderno, o atacante ganha privilégios no dispositivo e então faz duas coisas: criptografa os arquivos e apaga ou criptografa os backups também, para que você não consiga restaurar. Se o seu agente de backup guarda as chaves de armazenamento, o atacante que assumiu o dispositivo as guarda também — e apaga o backup. Portanto, a primeira pergunta não é "com que rapidez você faz backup", mas "o backup pode ser apagado, afinal?"

O que comparamos — 11 motores open-source

Pesquisamos todo o panorama: restic, BorgBackup, Kopia, Duplicati, Duplicacy, rclone, UrBackup, Bareos, Proxmox Backup Server, ZFS e Clonezilla. Para cada um, verificamos: dedup + criptografia no lado do cliente, suporte a Windows (incluindo VSS para arquivos abertos), escrita direta em S3 e, acima de tudo — Object-Lock real.

Por que escolhemos o Kopia

O Kopia é o único motor hoje que faz tanto dedup + criptografia no lado do cliente quanto suporta Object-Lock em modo Compliance contra armazenamento S3. O restic é excelente e popular, mas o suporte dele a Object-Lock ainda não foi lançado. O Borg é forte no Linux, mas não tem suporte real a Windows nem Object-Lock contra S3. O Duplicacy está desqualificado pelo licenciamento (não pode ser embutido num produto comercial). O veredito técnico foi claro.

Além disso: o Kopia é um binário único (Go), roda em Windows (com VSS), Mac e Linux — então gerenciamos um só motor em toda a frota, com saída JSON fácil de orquestrar a partir do agente.

E por que Backblaze B2 — e não Cloudflare R2

Já trabalhamos na Cloudflare, então o R2 era a escolha óbvia. Mas investigamos a fundo e descobrimos: os "bucket locks" do R2 não são a API Object-Lock do S3, e eles não têm garantia comprovada de conformidade de que "uma chave comprometida não consegue apagar". Isso não atende ao nosso patamar WORM.

O B2 oferece WORM real, o armazenamento mais barato e egresso gratuito via CDN da Cloudflare — de modo que as restaurações são quase gratuitas. O R2 permanece conosco para dados da aplicação e uma cópia secundária barata, mas não para a perna imutável.

Como testamos — não confiamos no marketing

Toda afirmação foi verificada contra uma fonte primária: a documentação oficial de cada motor, as discussões da comunidade sobre Object-Lock e as licenças. Dois achados críticos que descobrimos precisamente por meio dessa leitura: (1) o restic ainda não é livre de lock, e (2) o Proxmox Backup pode corromper o datastore se você habilitar o Object-Lock nele. Sem essa verificação, teríamos escolhido errado.

Onde somos honestos: restauração completa para um servidor virtual

Motores de arquivos (Kopia/restic) restauram dados, não uma máquina inicializável. "Suba todo o ambiente numa VM com um clique" é exatamente onde Veeam/Datto/Proxmox superam o open source. Nossa decisão: construir os arquivos + o núcleo imutável sobre Kopia + B2 (onde ganhamos em preço e soberania), e para a restauração de servidor completo — integrar/revender um motor comercial em vez de construir do zero. A honestidade supera as promessas.

Este artigo descreve considerações de projeto e escolhas de tecnologia. Preços e capacidades de licenciamento são precisos até meados de 2026 e podem mudar. Não há aqui chaves, segredos ou detalhes de configuração sensíveis.