Cópia de segurança e recuperação de perfis: o que as equipas devem testar

Defina uma recuperação utilizável

Uma cópia de segurança responde à pergunta «foi copiado alguma coisa?». Um exercício de recuperação responde a «a pessoa certa consegue retomar o trabalho aprovado em segurança?»

Defina dois objetivos antes do exercício:

• Ponto de recuperação: o estado mais recente que é aceitável. Por exemplo, a equipa pode aceitar perder alterações posteriores à última captura aprovada, mas não um dia inteiro de trabalho autorizado.
• Tempo de recuperação: o intervalo máximo aceitável entre declarar o perfil indisponível e confirmar uma substituição utilizável e segura.

Estes objetivos devem resultar do impacto operacional e das obrigações perante os clientes. Não copie um número genérico de outra equipa.

Defina «utilizável» com verificações observáveis. Uma janela do navegador que abre não basta se os cookies estiverem corrompidos, forem carregadas as extensões erradas, faltar uma credencial vinculada ao dispositivo ou um operador cessante recuperar o acesso.

O Guia para a recuperação de eventos de cibersegurança do NIST recomenda cenários de teste realistas, funções definidas, resultados registados e melhorias baseadas no que o exercício refuta. Esta abordagem aplica-se bem à recuperação de perfis.

Inventarie o conjunto de recuperação

O estado do navegador atravessa vários limites. Decida o que deve ser restaurado, reconstruído, novamente autorizado ou deliberadamente excluído.

Classe de estado	Exemplos	Pergunta de recuperação
Conteúdo do perfil	Marcadores, histórico, cookies, armazenamento de sites, permissões, estado da sessão	Que elementos são necessários e quais criam uma exposição inaceitável se forem copiados?
Contexto do navegador	Compilação exata do navegador, formato do perfil, políticas, extensões aprovadas, auxiliares nativos	O perfil restaurado pode ser executado numa compilação suportada e atual?
Dependências do sistema operativo	Elementos do Porta-chaves, certificados, fornecedor de palavras-passe, passkeys, registo do dispositivo	A recuperação exige o mesmo utilizador do macOS, um utilizador migrado ou um novo registo?
Estado de controlo da equipa	Proprietário, funções, bloqueios, histórico de auditoria, versão, cursor de sincronização, dispositivos revogados	O restauro consegue recriar os dados sem reativar autorizações obsoletas?
Serviços externos	Fornecedor de identidade, proxy, aplicação do cliente, sistema de aprovação	O operador consegue autenticar-se novamente sem copiar uma sessão ativa?

O Chromium documenta que um diretório de dados do utilizador contém subdiretórios de perfis e estado local relativo à instalação. No macOS, também deriva um percurso de cache separado. Analise a estrutura de diretórios a montante em vez de presumir que uma pasta visível constitui todo o conjunto de recuperação.

O âmbito mais seguro não é necessariamente o maior. Uma cópia de segurança que contenha cookies ativos ou credenciais de proxy pode proporcionar uma continuidade mais rápida e criar um alvo mais valioso. Registe por que razão cada classe sensível está incluída, quem a pode restaurar, como é encriptada e quando expira.

Capture um ponto coerente no tempo

Prefira a operação de cópia de segurança ou exportação suportada pela aplicação. Se não existir um mecanismo suportado, feche ou coloque o perfil em repouso antes de uma captura ao nível dos ficheiros e documente a limitação. Não copie repetidamente um diretório de perfil ativo e presuma que o resultado é coerente.

Muitos armazenamentos do navegador utilizam SQLite, mas uma base de dados coerente não torna coerente um perfil com vários ficheiros. A API de cópia de segurança online do SQLite pode produzir uma captura de uma base de dados ativa enquanto trata o acesso simultâneo. Esta garantia não abrange automaticamente outras bases de dados, ficheiros, elementos do Porta-chaves, estado de extensões ou um registo do plano de controlo. Uma cópia de segurança de perfis do navegador precisa de um limite de coerência ao nível da aplicação ou de um procedimento testado com o perfil parado.

Registe com cada ponto de recuperação:

• o identificador do perfil sem incorporar um segredo ou um nome de cliente desnecessário;
• a hora de criação e o estado de conclusão;
• as versões do navegador, sistema operativo, esquema, arquivo e chave;
• as classes de dados incluídas e excluídas;
• informações de integridade e estado da encriptação autenticada;
• a data de retenção e eliminação;
• as funções e aprovações necessárias para a recuperação; e
• a versão anterior em bom estado conhecida.

Uma escrita interrompida deve deixar utilizável o ponto de recuperação anterior ou o novo. Um arquivo publicado pela metade nunca deve substituir a única cópia em bom estado conhecida.

Realize um exercício de recuperação num ambiente limpo

Utilize uma conta nova do macOS, um dispositivo de teste gerido e limpo ou uma máquina virtual de teste isolada que corresponda ao ambiente suportado. Restrinja o acesso à rede até o arquivo passar as verificações de formato, integridade, software malicioso e políticas. Trate todos os perfis, extensões e arquivos importados como dados não fidedignos.

Prepare provas sintéticas

Crie um perfil inofensivo com marcadores fáceis de verificar:

• uma pequena árvore de marcadores com títulos conhecidos;
• uma conta e um cookie sintéticos num site sem acesso à produção;
• um valor de armazenamento local numa origem de teste;
• uma extensão de teste aprovada com uma definição conhecida;
• um ficheiro não sensível transferido, com um resumo criptográfico registado;
• uma permissão explícita de um site; e
• uma conta sem sessão iniciada que deve permanecer nesse estado.

Não exporte palavras-passe nem tokens de sessão reais para tornar o exercício realista. É o processo de recuperação que precisa de realismo, não os dados.

Execute o restauro

1. Crie o ponto de recuperação através do percurso documentado.
2. Registe os respetivos metadados e confirme que continua a existir um ponto anterior em bom estado conhecido.
3. Remova o perfil de origem do ambiente de teste ou declare o dispositivo de origem indisponível.
4. Dê ao operador de recuperação apenas o material e a autoridade indicados no manual de procedimentos.
5. Restaure no destino limpo sem abrir serviços de produção.
6. Inicie numa versão suportada do navegador e verifique todos os marcadores.
7. Volte a autenticar-se no serviço sintético através do processo de identidade aprovado.
8. Meça o ponto e o tempo de recuperação alcançados.
9. Registe falhas, acessos inesperados, pedidos, trabalho manual e documentação em falta.
10. Destrua o perfil sintético recuperado e o material temporário de recuperação de acordo com o plano de testes.

A pessoa que realiza o exercício não deve depender de conhecimentos não documentados da pessoa que criou a cópia de segurança. Conhecimento oculto é uma dependência de recuperação.

Teste mais do que a perda do dispositivo

Um restauro bem-sucedido não cobre os principais modos de falha.

Cenário	Provas a exigir
Eliminação acidental de um perfil	Restaurar a versão anterior escolhida sem substituir um perfil mais recente que não foi afetado
Cópia de segurança interrompida	O ponto incompleto é rejeitado e o ponto anterior em bom estado conhecido permanece utilizável
Falha durante escritas no perfil	A recuperação alcança um estado coerente documentado sem combinar silenciosamente transações de momentos diferentes
Mac perdido ou substituído	Um dispositivo suportado e limpo consegue restaurar dentro do objetivo, ou o manual indica claramente que são necessárias reconstrução e nova autenticação
Porta-chaves ou segredo de recuperação perdido	Os dados sensíveis falham de forma fechada; o percurso de recuperação alternativo funciona sem expor a chave em registos ou resultados de apoio
Atualização do navegador	Um ponto de recuperação suportado e mais antigo é migrado uma vez, conserva uma cópia intacta da origem e passa as verificações semânticas
Reversão do navegador	A ferramenta bloqueia um restauro inseguro ou utiliza uma cópia isolada com um aviso de compatibilidade claro
Arquivo corrompido ou malicioso	As verificações de integridade, percurso, tamanho, esquema e extensões rejeitam-no sem escrever fora do destino nem iniciar código
Ransomware ou sistema anfitrião comprometido	Um ponto de recuperação protegido permanece inacessível ao dispositivo comprometido e pode ser restaurado num ambiente limpo
Membro cessante ou dispositivo revogado	A recuperação do conteúdo não restaura a qualidade de membro revogada, a confiança obsoleta no dispositivo nem direitos de exportação não autorizados
Falha da nuvem ou da rede	Os percursos locais e de recuperação documentados comportam-se como previsto, com uma regra clara para alterações em fila e conflitos

A política de armazenamento de dados do utilizador do Chromium exige que versões mais recentes leiam dados mais antigos, mas descreve comportamento degradado quando um navegador mais antigo encontra ficheiros escritos por uma versão mais recente. Mantenha imutável a única cópia de segurança e teste migrações numa cópia. Não resolva um problema de restauro executando permanentemente um navegador desatualizado.

O Guia StopRansomware da CISA recomenda cópias de segurança encriptadas e sem ligação, bem como testes regulares de disponibilidade e integridade. «Sem ligação» é uma propriedade relativa à ameaça: um ponto de recuperação que o sistema anfitrião comprometido consegue eliminar ou reescrever não proporciona a separação pretendida.

Teste a autenticação separadamente dos ficheiros do perfil

O acesso aos sites pode depender de um gestor de palavras-passe, Porta-chaves do sistema operativo, fornecedor de passkeys, chave física, certificado do dispositivo ou registo no fornecedor de identidade que fica fora do arquivo do perfil do navegador.

A atual Recomendação WebAuthn Nível 3 distingue credenciais de um único dispositivo de credenciais de vários dispositivos e define a elegibilidade e o estado das cópias de segurança. Não fornece um protocolo geral para copiar chaves privadas. A Recomendação Web Authentication Level 3 avisa que perder um autenticador pode impedir o acesso quando este contém a única credencial registada na entidade utilizadora. Teste as opções documentadas de registo e recuperação da entidade utilizadora independentemente do arquivo do perfil.

Para cada conta sintética crítica, teste pelo menos um autenticador alternativo ou percurso de recuperação de conta aprovado. A revogação também deve funcionar: restaurar os dados com êxito não deve reativar um dispositivo antigo nem um antigo membro da equipa.

Compreenda o que demonstram as ferramentas de cópia de segurança do macOS

O Time Machine pode criar automaticamente cópias de segurança de ficheiros e restaurá-los no mesmo Mac ou noutro. A Apple também permite encriptar uma cópia de segurança do Time Machine, exigindo a palavra-passe para o restauro posterior. Consulte as orientações atuais de configuração e restauro do Time Machine para a versão do macOS abrangida.

Estas capacidades não demonstram, por si só, que um perfil do navegador é semanticamente utilizável. O procedimento Verificar cópias de segurança da Apple verifica o estado de uma cópia em rede. As equipas continuam a ter de abrir o perfil restaurado num ambiente limpo e verificar o conteúdo, as credenciais, as versões, o isolamento e a autorização.

Na substituição completa de um dispositivo, o Assistente de Migração pode transferir documentos, aplicações, contas de utilizador e definições de um Mac ou de uma cópia do Time Machine. A Apple observa que alguns serviços, como o e-mail, podem continuar a exigir configuração. Trate a migração como um percurso de recuperação a testar, não como prova de que todas as dependências do navegador ou do Porta-chaves funcionarão.

Registe um pacote de provas

Um registo de exercício que possa ser revisto deve incluir:

• cenário, data, operador, observador e aprovações;
• versões do navegador e do macOS na origem e no destino;
• objetivo do ponto de recuperação e antiguidade alcançada;
• objetivo do tempo de recuperação e duração alcançada;
• versão, tamanho, resultado de integridade e versão da chave do arquivo, sem material de chave;
• aprovação ou reprovação de cada classe de dados esperada e deliberadamente excluída;
• prova de que nenhum segredo apareceu em registos, capturas de ecrã, diagnósticos ou resultados de automação;
• prova de que os outros perfis e clientes não foram alterados;
• resultados de nova autenticação, funções, dispositivos, bloqueios e revogações;
• todos os passos manuais não documentados ou dependências externas; e
• um responsável identificado e um prazo para cada ação corretiva.

O exercício termina quando o ambiente restaurado cumpre os critérios de aceitação declarados e a equipa tratou ou aceitou cada risco restante. Um painel de cópias de segurança verde não constitui, por si só, prova de recuperação.

Escolha uma cadência de testes orientada pelas alterações

Defina a frequência com base no impacto e no ritmo de alterações. Realize um exercício após alterações significativas ao formato dos perfis do navegador, à matriz de suporte do macOS, à encriptação ou recuperação de chaves, ao fornecedor de identidade, ao gestor de palavras-passe, ao protocolo de sincronização, à política de extensões, ao fornecedor de cópias de segurança ou ao modelo de autorização da equipa. Teste também antes de uma migração e após um incidente de recuperação significativo.

Os exercícios de rotina devem alternar cenários e operadores. Repetir apenas o restauro de ficheiros mais simples prepara a equipa para uma única falha.