Backup Inmutable 3-2-1 con Repositorios Linux (Veeam)

El paradigma tradicional del backup ha quedado obsoleto ante la sofisticación del ransomware moderno, el cual busca activamente y destruye los repositorios de copias de seguridad antes de cifrar el entorno de producción. Para mitigar este riesgo, la industria ha adoptado y evolucionado la regla de oro 3-2-1 (3 copias, 2 soportes, 1 offsite) añadiendo el factor de la inmutabilidad (3-2-1-1-0).

En el ecosistema de Veeam Backup & Replication (VBR), la implementación más robusta y coste-eficiente para el almacenamiento inmutable on-premise es el Veeam Hardened Repository (VHR) basado en Linux.

Arquitectura del Veeam Hardened Repository#

El VHR aprovecha atributos extendidos del sistema de archivos de Linux, específicamente el flag de inmutabilidad (+i), para evitar que cualquier usuario (incluido root) modifique o elimine los archivos de backup durante un período de retención especificado.

La arquitectura se fundamenta en tres pilares técnicos:

1. Single-Use Credentials: Veeam solo requiere credenciales SSH temporalmente para el despliegue de los componentes. Posteriormente, la comunicación se realiza mediante certificados.
2. Sistema de Archivos XFS con Block Cloning: Crucial para el rendimiento y la eficiencia del almacenamiento. Utiliza reflinks para realizar copias sintéticas completas (Synthetic Fulls) sin mover bloques de datos, ahorrando IOPS y capacidad.
3. Daemon Veeam Transport Service: Se ejecuta bajo un usuario no privilegiado.

Nota Importante: Para garantizar la máxima seguridad, el servidor Linux que actuará como repositorio debe ser una máquina física (Bare Metal). Si se virtualiza, un atacante con acceso al hipervisor podría eliminar la VM entera, invalidando la inmutabilidad a nivel de OS.

Preparación del Entorno Linux (Ubuntu/RHEL)#

Antes de agregar el servidor a Veeam, debemos particionar y formatear los volúmenes con XFS habilitando reflink.

# Identificar el disco objetivo
lsblk

# Crear la partición (ej. /dev/sdb)
parted /dev/sdb mklabel gpt
parted /dev/sdb mkpart primary xfs 0% 100%

# Formatear con CRC y reflink habilitados (requerido para Fast Clone)
mkfs.xfs -b size=4096 -m reflink=1,crc=1 /dev/sdb1

# Crear punto de montaje y montar
mkdir -p /mnt/veeam_repo
mount /dev/sdb1 /mnt/veeam_repo

# Añadir a fstab para persistencia
echo "/dev/sdb1 /mnt/veeam_repo xfs defaults 0 0" >> /etc/fstab

Configuración de Permisos y Usuario de Servicio

Debemos crear un usuario dedicado y ajustar los permisos del punto de montaje para que Veeam pueda gestionar la inmutabilidad.

# Crear grupo y usuario
groupadd veeam_grp
useradd -m -d /home/veeam_svc -s /bin/bash -g veeam_grp veeam_svc

# Asignar password temporal (necesario solo para el despliegue inicial en VBR)
passwd veeam_svc

# Ajustar permisos en el repositorio
chown -R veeam_svc:veeam_grp /mnt/veeam_repo
chmod 700 /mnt/veeam_repo

Despliegue en Veeam Backup & Replication#

Una vez preparado el servidor Linux, la integración en VBR sigue un flujo estricto:

1. Añadir Servidor Linux: En Backup Infrastructure > Managed Servers, añade el servidor seleccionando la opción Single-use credentials for hardened repository. Veeam usará SSH para inyectar el servicio de transporte y el certificado, desvinculando las credenciales inmediatamente después.
2. Configurar el Repositorio: Crea un nuevo Backup Repository de tipo Direct attached storage -> Linux.
3. Habilitar Inmutabilidad y Fast Clone:
   • Marca la casilla Make recent backups immutable for X days. Se recomienda al menos 7 a 14 días (cubriendo el ciclo de retención corto).
   • Asegúrate de que la opción Use fast cloning on XFS volumes esté habilitada en las opciones avanzadas.

Verificación de la Inmutabilidad

Puedes comprobar desde la consola de Linux que el flag de inmutabilidad ha sido aplicado por el demonio de Veeam a un archivo .vbk (Full Backup):

# Listar atributos extendidos
lsattr /mnt/veeam_repo/My_Backup_Job/*.vbk
# Salida esperada: ----i---------e---- /mnt/veeam_repo/My_Backup_Job/backup.vbk

Si intentas eliminar el archivo incluso como root, el sistema operativo lo denegará: rm: cannot remove 'backup.vbk': Operation not permitted.

Conclusión Estratégica#

Integrar un repositorio Linux inmutable es un paso crítico en la estrategia de resiliencia de cualquier infraestructura IT. No solo proporciona una capa de defensa impenetrable a nivel lógico contra cifrados maliciosos, sino que, combinado con XFS Fast Clone, reduce drásticamente las ventanas de backup y la huella de almacenamiento. Este enfoque garantiza que, ante un incidente crítico, el "Día Cero" de la recuperación tenga cimientos sólidos.