Como uma cadeia incremental funciona
Na cadeia incremental do Veeam, o primeiro backup gera o VBK, completo, e cada execução seguinte gera um VIB com o que mudou desde a anterior. Para restaurar a máquina como estava numa terça-feira, o Veeam usa o VBK e todos os VIB até aquele dia. Pela documentação, a falta de qualquer arquivo da cadeia impede voltar ao estado desejado.
Na modalidade reversa, a lógica se inverte: o VBK é sempre o ponto mais recente, e os arquivos .vrb guardam o caminho de volta para datas anteriores. Em qualquer modalidade, os incrementais não são cópias independentes. Um VIB isolado tem os blocos alterados, não a máquina inteira.
O que muda conforme o elo atingido
Se o ataque cifrou só os VIB mais recentes, os pontos de restauração anteriores a eles podem continuar disponíveis a partir do VBK e dos incrementais intactos. Se cifrou um VIB no meio da cadeia, os pontos depois dele ficam sem caminho. Se cifrou o VBK, todos os incrementais perdem a base.
Incrementais tendem a ser menores, e a cifragem parcial, quando existe, tem menos espaço para deixar sobras. Ainda assim, os VIB de máquinas com muita alteração diária, como servidores de banco ou de arquivos, podem ser grandes. Nesses casos, a cifragem intermitente descrita pela CISA no alerta sobre o Play torna os trechos íntegros uma possibilidade a avaliar.
A avaliação de incrementais pela Data Rescue
Informe quantos pontos de restauração havia, quais arquivos foram cifrados, se a cadeia era direta ou reversa e qual data você precisa recuperar. O envio é combinado por escrito, antes de qualquer remessa. Contenção e investigação do ataque não fazem parte do trabalho da Data Rescue, que atua depois do isolamento.
Nas cópias, cada arquivo da cadeia é classificado como íntegro, parcialmente legível ou perdido. A partir disso, busca-se o ponto de restauração mais recente que ainda pode ser montado e, se for o caso, os blocos legíveis dos VIB cifrados entram para complementar arquivos. Sem promessa: o laudo diz até onde a cadeia pôde ser refeita.