Principais Novidades do Veeam Backup & Replication 13.1

A Veeam lançou a versão 13.1 do Veeam Data Platform. Apesar da versão parecer pequena visto é apenas um update, a versão 13 em si já se mostrava robusta, trazendo mudanças estruturais importantes na plataforma. Porém agora, a versão 13.1 vai além de simples correções. Diversos novos recursos e melhorias chegaram e que reforçam o direcionamento estratégico já apresentado na versão anterior, consolidando funcionalidades que antes estavam em estágio inicial e adicionando capacidades que ampliam ainda mais o alcance da plataforma.

Realmente são diversos novos recursos e que não vou conseguir mostrar todo eles em um único artigo. Sendo assim vou dar o abordar esta atualização em três grandes frentes de abordagem:

• Proteção da camada de identidade
• Expansão da cobertura de hypervisors
• Reforço da postura de segurança

Neste artigo, vou resumir os pontos mais relevantes do documento oficial What’s New da versão 13.1 para quem administra e projeta ambientes de backup, segurança e recuperação de desastres no dia a dia.

Recuperação de floresta Active Directory

Recuperar florestas completas de AD sempre foi uma dor de cabeça e um processo bem manual. São diversas etapas manuais que a Microsoft recomenda fazer nesse tipo de cenário onde uma floresta de AD é comprometida seja por um ataque de ransomware ou uma falha crítica.

Com o 13.1, esse processo passa a ser guiado por um wizard que conduz o administrador por todas as etapas: seleção do ponto de recuperação, definição dos controladores de domínio de cada domínio, escolha dos backups de origem e configuração do destino. Durante o backup, um componente guest coleta e preserva automaticamente os metadados da floresta AD, garantindo que as informações necessárias para a reconstrução estejam sempre disponíveis.

Um ponto importante a se destacar é que essa recuperação é suportada apenas em ambientes VMware vSphere e Microsoft Hyper-V até esse momento.

Outro ponto é que se o seu ambiente de AD já possui falhas crônicas de Kerberos/SPN ou zonas reversas mal configuradas, o recuperação não fará milagres corrigindo o passado, mas certamente eliminará 90% do trabalho braçal da reconstrução inicial.

Microsoft Entra ID

A proteção nativa para Microsoft Entra ID também ganhou recursos novos. O foco aqui foi garantir que a restauração dos itens do Entra ID não apresenta falhas de quebras de permissões.

• Persistent original ID: relações entre objetos complexos (grupos, aplicações, usuários) são preservadas e recriadas automaticamente na restauração, evitando quebras causadas por novos identificadores.
• Exportação para JSON: qualquer objeto protegido pode ser exportado com todas as propriedades, relacionamentos e o schema exato da época do backup.
• Organization Contacts: novo tipo de objeto protegido, com backups incrementais (delta).
• Restauração de aplicações com chave pública: o wizard agora detecta quando um objeto precisa de dado complementar (como certificado) e solicita durante a restauração.
• Dispositivos e chaves BitLocker: metadados de dispositivo e chaves de recuperação BitLocker podem ser visualizados e exportados (não há restauração completa do objeto, já que dispositivos não podem ser recriados no Entra ID).
• RBAC para Entra ID: controle de acesso baseado em papéis, com permissões granulares por operação.

Expansão de Hypervisors

O cenário dos data centers está mudando. As migrações de cargas de trabalho entre ambiente estão cada vez mais comuns no dia a dia da operação e a Veeam identifica e acompanha esse movimento. O lançamento da versão 13.1 ampliou bastante o portifólio de hypervisors com suporte nativo:

• Sangfor aSV
• Citrix XenServer
• XCP-ng
• Platform 9
• VergeOS

Todos esses virtualizadores chegam com o mesmo conjunto de capacidades já conhecido em outras plataformas. Jobs de backup com os recursos de Changed Block Tracking (CBT), Backup Scan (Threat Hunter e scan YARA), restauração completa de VM entre qualquer hypervisor ou nuvem suportada (AWS, Azure, GCP), Instant Recovery para vSphere, Hyper-V, Nutanix AHV e Proxmox VE, disk mount, file level restore e exportação para VHD/VHDX/VMDK.

Platform 9 e VergeOS chegam integrados via Universal Hypervisor API (UHAPI). Esse é um caminho padronizado que a Veeam abriu para que fabricantes de hypervisors certifiquem a compatibilidade sem depender de desenvolvimento proprietário da Veeam para cada plataforma de maneira separada.

Faço ainda um destaque adicional para os seguintes fabricantes:

• Nutanix AHV: cobertura completa via Web UI, RBAC avançado, injeção automática de driver VirtIO e Instant Disk Recovery.
• Proxmox VE: replicação de VM nativa (host-to-host e cross-datacenter), Instant VM Recovery (em suporte experimental) e VLAN tagging.
• VMware: suporte a VDDK 9 e VMware Cloud Foundation (VCF) 9.1, além de mount cluster-wide do datastore vPowerNFS durante Instant Recovery.
• Hyper-V: suporte nativo a SCVMM implantado em cluster de failover do Windows Server.

Lembrando também que cada um desse hypervisors necessitam de workers dentro do ambiente produtivo. Porém agora existe uma imagem de worker unificada para todos os hypervisors, compatível com FIPS e DISA STIG, simplificando manutenção e patching de SO.

Detecção de malware

Anteriormente, investigar eventos de detecção de malware baseados em entropia exigia o uso de ferramentas externas, o que limitava a visibilidade e tornava mais lentos os fluxos de trabalho de detecção e resposta a incidentes.

Agora os eventos de detecção incluem o contexto de investigação, permitindo que os administradores identifiquem os arquivos específicos que geraram níveis elevados de entropia durante as verificações em nível de bloco. Essa funcionalidade melhora a visibilidade sobre atividades suspeitas, possibilitando uma investigação mais rápida e precisa diretamente no ambiente de backup sem ter que recorrer ao ambiente de produção.

Outras melhorias interessantes:

• Análise de índice por volume (em vez de por job) em clusters de failover, reduzindo falsos positivos.
• Exclusões por máquina individual, permitindo ajuste fino sem afetar o restante do ambiente.
• Cobertura completa via Web UI para gestão de eventos, exclusões e investigação.
• Redução de até 90% no consumo de RAM durante a análise de índice guest em determinados cenários

Segurança: criptografia pós-quântica e endurecimento

Um dos pontos técnicos mais interessantes da 13.1 é a introdução de um modelo híbrido FIPS + PQC (Post-Quantum Cryptography), alinhado aos padrões NIST FIPS 203, 204 e 205: algoritmos pós-quânticos cuidam do handshake e da troca de chaves, enquanto o AES certificado FIPS segue responsável pela criptografia dos dados.

Outras mudanças relevantes na camada de segurança:

• MFA obrigatório para qualquer alteração em Usuários e Papéis (quando habilitado).
• Integração com Windows Event Log para achados do Security & Compliance Analyzer, facilitando envio a SIEM/Syslog.
• Transporte em porta única: o backup deixa de depender de uma faixa dinâmica de portas (2500–3300), reduzindo a superfície de ataque e simplificando regras de firewall em ambientes segmentados.
• REST API na porta 443, sem precisar mais de porta dedicada (a 9419 permanece disponível por compatibilidade, mas será descontinuada).
• Migração para .NET 10 nos componentes do backup server.

Veeam Software Appliance (VSA) e Veeam Infrastructure Appliance (VIA)

A plataforma do Veeam Software Appliance (VSA) e do Veeam Infrastructure Appliance (VIA) também teve melhorias direcionadas em eficiência operacional, hardening de segurança e flexibilidade de implantação.

As mudanças relevantes foram:

• Expansão de disco pós-instalação: é possível adicionar discos a um VSA já implantado, seja para estender um Scale-out Backup Repository existente ou criar novos repositórios.
• Suporte a Fibre Channel e iSCSI (com multipathing) nos appliances Veeam.
• HotAdd estendido para backups vSphere em implantações all-in-one, útil inclusive em ambientes VMware Cloud.
• Upgrade para Veeam Enterprise Linux JeOS 9.6, com melhor compatibilidade de hardware.
• Métricas compatíveis com Prometheus via Node Exporter (requer Veeam Universal License) e suporte a Syslog para eventos do appliance.
• Alta disponibilidade cross-subnet: os nós HA agora podem ficar em redes ou sites diferentes, mantendo uma única identidade de cluster, relevante para arquiteturas com múltiplos ambientes
• MFA opcional no momento da implantação, o que facilita automação de instalação em ambientes sem acesso imediato a app autenticador (pode ser habilitado depois pelo Host Management Console).

Ponto de destaque em especial para o Veeam Infrastructure Appliance, já que agora suporta a implantação com um disco único, muito útil para os proxy de backup. Anteriormente era obrigatório ter 2 discos de 240GB pelo menos.

Repositórios de Objetos com acesso somente-leitura

Uma novidade bem interessante é a possibilidade ter um segundo servidor de backup Veeam, localizado em um site de disaster recovery por exemplo, conectado a um repositório de objeto imutáve, que já é gerenciado pelo servidor de produção, sem assumir a propriedade do repositório e com o acesso somente de leitura.

No modo somente leitura, o segundo servidor não consegue gravar nem modificar os dados. Apenas operações de restore podem ser feitas. Dessa forma é possível executar restaurações, verificações de recuperabilidade e varreduras forenses ou de ransomware.

Repositório de Aplicação

O Veeam Infrastructure Appliance, operando no modo Hardened Repository, introduz agora o novo tipo de repositório que é o Application Backup Repository (ABR), um recurso que transforma o armazenamento local em um pool gerenciado de volumes virtuais, cada um disponibilizado como um destino NFS individual.

Isso é muito util para aquelas aplicações e ou dispositivos de rede onde o Veeam não consegue alcançar e proteger. Sendo assim é possível oferecer um alvo NFS para esses dispositivos onde eles vão poder gerar dumps das suas aplicações. Depois disso o Veeam vai cuidar dessa armazenamento aplicando os seguintes recursos:

• Criar snapshots dos dados gravados no NFS
• Fazer cópias de backup desses snapshots
• Aplicar imutabilidade
• Controlar acesso

Isso proporciona uma base com segurança e atribuindo concepção secure-by-design para todos os dados de backup, sejam eles backups feitos pelo através do Veeam ou da exportação de dumps gerados por aplicações.

Conclusão

A versão 13.1 do Veeam Backup & Replication confirma uma tendência que já vinha se desenhando desde o lançamento da versão 13. A Veeam está tratando a camada de identidade como parte central da estratégia de resiliência cibernética, e não mais como um complemento. Junto a isso, vêm a expansão agressiva de hypervisors, o avanço em segurança e o amadurecimento operacional com o conceito de appliances.

Dessa forma fica claro que esta é uma atualização relevante o suficiente para justificar planejamento do processo de upgrade especialmente para ambientes que já sofreram ou temem incidentes envolvendo ransomware e active directory.

---

Caso você queira ver cada um dos itens dessa atualização em detalhes, vou deixar os links do fabricante:

What’s New – https://www.veeam.com/veeam_backup_13_1_whats_new_wn.pdf

Release Notes – https://helpcenter.veeam.com/rn/veeam_backup_13_1_release_notes.html