Come rendo immutabili i backup contro il ransomware sul mio server?

Cosa significa immutabile per un backup?

Un ransomware che prende il controllo di un server di solito prende anche le credenziali di backup salvate lì. Se quelle credenziali possono eliminare i vecchi backup, l'attaccante li elimina prima di cifrare qualsiasi cosa.

Un backup immutabile chiude quella porta. La macchina di cui si fa il backup può aggiungere nuovi dati, ma niente di ciò che contiene può rimuovere o riscrivere le vecchie versioni. Alcuni metodi lo impongono tramite diritti di accesso, altri tramite un blocco con una data di scadenza.

Se la macchina che proteggi può eliminare i propri backup, allora può farlo anche chiunque ne prenda il controllo.

Come funzionano restic e Borg in modalità append-only?

Il rest-server di restic ha un flag --append-only. Il suo README dice che la modalità consente nuovi backup ma impedisce l'eliminazione e la modifica di quelli esistenti. Esegui il prune da una macchina di amministrazione tramite una seconda istanza senza il flag, oppure sul server stesso.

Borg impone la modalità con un comando forzato in authorized_keys, oppure con append_only = 1 nella configurazione del repository. La sua documentazione elenca chiaramente i limiti:

• borg delete e borg prune funzionano comunque; si limitano a marcare i dati come eliminati.
• La scrittura successiva in modalità normale rimuove quei dati per sempre, quindi il pruning automatico rende la modalità inutile.
• Esegui borg check prima di fare il prune di un repository append-only.
• rm funziona ancora sui file, quindi i client devono raggiungere il repository solo tramite borg serve.

Confronto tra i due strumenti su restic o Borg per i backup offsite.

# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1

Come bloccano i backup Proxmox Backup Server e Veeam?

Proxmox Backup Server funziona per ruoli. Un utente con DatastoreBackup può fare il backup e il ripristino dei propri backup, ma il pruning richiede DatastorePowerUser. La garbage collection inoltre attende 24 ore e 5 minuti prima di rimuovere i chunk. Abbinala a un job di sync tirato dal server offsite, così casa non conserva alcun login offsite. La configurazione completa è su un Proxmox Backup Server offsite su un server in affitto.

Il repository hardened di Veeam funziona per tempo. I file restano immutabili da 7 a 9999 giorni, e le credenziali con cui sono stati installati i servizi di Veeam non sono mai state salvate. I passaggi per una macchina in affitto sono su un repository hardened di Veeam su un server Linux in affitto.

Posso usare S3 Object Lock sul mio server?

Solo se il tuo server S3 lo implementa, e le due opzioni open-source più note differiscono.

• MinIO documenta l'object locking su bucket con versioning, in modalità GOVERNANCE o COMPLIANCE. In modalità COMPLIANCE nessun utente può modificare una versione bloccata, root incluso. Ma il repository della community di MinIO è stato archiviato il 25 aprile 2026, non è più mantenuto e viene distribuito solo come codice sorgente.
• Garage elenca Object Lock e il versioning dei bucket come mancanti nella sua pagina di compatibilità S3.

Lato client, Kopia supporta Object Lock: il bucket deve averlo abilitato alla creazione, e Kopia consiglia la modalità compliance. L'altro suo consiglio vale ovunque: una chiave di accesso senza permessi di eliminazione. Altri server S3 sono confrontati su le migliori alternative a MinIO per S3 self-hosted.

Come proteggono le istantanee ZFS un backup dal proprio client?

Lascia che il client scriva via SFTP o rsync come account ordinario, e lascia che sia root a creare le istantanee. OpenZFS descrive un'istantanea come una copia di sola lettura di un file system. L'account del client non ottiene alcun diritto destroy tramite zfs allow, quindi non può rimuoverle.

Un hold aggiunge un secondo blocco. Finché un'istantanea ha un hold, zfs destroy su di essa fallisce con EBUSY finché qualcuno non rilascia l'hold.

Istantanee create da root, su un dataset su cui scrive il client, trasformano qualsiasi destinazione rsync o SFTP in una versione versionata e append-only.

snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep

Cosa riesce ancora a eliminare i backup immutabili su un server in affitto?

Due cose, ed entrambe stanno fuori dal software di backup.

• Root sul server di backup. Ogni metodo descritto sopra alla fine cede a root. Tieni root su una chiave che non risiede mai sulle macchine di cui fai il backup, e limita SSH al tuo indirizzo di amministrazione.
• L'affitto stesso. Ogni server viene pagato in anticipo dal tuo saldo in criptovalute, per 30 giorni, 3 mesi, 6 mesi o 12 mesi come scelto al checkout. Il rinnovo automatico addebita di nuovo la stessa durata al prezzo con cui hai iniziato, a meno che tu non imposti un'altra durata per il rinnovo successivo nella dashboard; quando il saldo non basta, il server si ferma alla fine del suo periodo, i suoi dischi vengono conservati per 7 giorni e poi cancellati. Riavvii, reinstallazioni e cancellazioni si richiedono nella dashboard e vengono gestiti dal team; una reinstallazione cancella ogni disco, dischi dati inclusi. Un blocco più lungo del periodo pagato non protegge nulla.

Un server di storage non è un backup di se stesso: non conserviamo alcuna copia dei tuoi dati altrove, quindi una seconda copia in un altro posto resta compito tuo. Inoltre le versioni bloccate non possono essere rimosse in anticipo con il prune, quindi il pool cresce di ogni versione conservata. L'indagine di Basalthold su 2 November 2026 ha rilevato che i server di storage da 72 TB o più costano una mediana di $4.86 per TB al mese presso host che accettano criptovalute senza KYC. Hold 100 costa $3.77/TB, a lordo. Termini fino a 12 mesi sono su il listino prezzi degli hold.