Guía · Seguridad
Analizar copias en busca de virus: restaurar limpio, no reinfectado
En resumen: el malware se detecta a menudo semanas después de la infección, y para entonces hace tiempo que está en las copias. Quien analiza las copias con regularidad y con firmas actuales sabe desde cuándo está un hallazgo en las copias y cuál es la última copia limpia. Así, al restaurar no vuelve también el malware.
Por qué no basta con el antivirus del servidor
El antivirus de servidores y puestos de trabajo analiza con las firmas de hoy. Lo que hace tres semanas, en el momento de la copia, aún era desconocido puede detectarse hoy, pero en la copia sigue pasando desapercibido. Como muy tarde al restaurar tras un ataque, esto se convierte en un problema: si se restaura una versión infectada, el atacante vuelve a estar en la red.
Analizar las copias no sustituye al antivirus de los sistemas. Lo complementa con una mirada atrás.
Dónde y cómo analizar
- No en el sistema productivo. Analizar grandes volúmenes de datos consume tiempo de CPU y accesos a disco. Corresponde al servidor de copias, que ya tiene la copia.
- Solo lectura. El análisis no debe modificar la copia, ni «desinfectando» ni moviendo archivos a cuarentena. Una copia de seguridad es una prueba.
- Con firmas actuales. También un servidor de copias sin acceso a internet necesita firmas recientes; de lo contrario, analiza con los conocimientos de ayer.
- Con regularidad, no una sola vez. Volver a analizar compensa sobre todo cuando hay firmas nuevas. Los archivos sin cambios no tienen que leerse cada vez, pero sí de vez en cuando.
Qué significa un hallazgo
| Pregunta | Por qué importa |
|---|---|
| ¿Qué archivo, qué firma? | Indica si se trata de un único documento sospechoso o de malware en el sistema |
| ¿Desde qué copia está ahí? | Acota el momento de la infección, algo importante para el análisis y para las obligaciones de notificación |
| ¿Cuál es la última copia sin él? | Es la versión desde la que se restaura en caso de emergencia |
| ¿Es un falso positivo? | Los falsos positivos ocurren. Una vez comprobados y marcados, no deberían reaparecer en cada análisis |
Un hallazgo en la copia casi siempre significa que también sigue en el sistema copiado. Allí se examina y se elimina con el antivirus habitual; la copia se queda como está.
Análisis de virus y rastros de ransomware
Las firmas encuentran malware conocido. El ransomware suele delatarse de otra manera: por archivos cuyo contenido no encaja con la extensión o parece aleatorio, por extensiones típicas y por notas de rescate. Ambas cosas juntas, dentro de una prueba de restauración periódica, dan una imagen más completa.
Cómo analiza AegisGrid las copias en busca de virus
El servidor de copias de AegisGrid analiza las copias en la restauración de comprobación con ClamAV, en solo lectura y sin carga para el sistema copiado. Ante un hallazgo indica el archivo y la firma afectados, la primera copia que lo contiene y la última sin él; el hallazgo aparece en el informe de comprobación, sale un aviso y, en las copias de archivos y de unidades, el planificador del equipo copiado también muestra una indicación. Los falsos positivos pueden marcarse. Los análisis posteriores pueden limitarse a los archivos modificados y revisarlo todo a intervalos fijos. Los servidores de copias sin acceso a internet reciben las firmas a través de un servidor de sede o mediante importación. Además, la restauración de comprobación busca rastros de ransomware.
Preguntas frecuentes sobre el análisis de virus en las copias
¿Se borra o se desinfecta una copia infectada?
No. El análisis solo lee. La copia sigue sin cambios y puede seguir usándose, por ejemplo para extraer de ella archivos limpios o para reconstruir la infección.
¿Ralentiza el análisis mis servidores?
No. Se analiza en el servidor de copias, no en el sistema copiado. Allí pueden limitarse el tiempo de CPU, la memoria y los accesos a disco de la tarea de análisis.
¿Sustituye el análisis de las copias al antivirus?
No. Lo complementa: el antivirus protege los sistemas en funcionamiento; el análisis de las copias muestra si un hallazgo detectado más tarde ya está en versiones anteriores y qué versión está limpia.
Copias de seguridad en las que puede confiar
En un proyecto piloto configuramos con usted la restauración de comprobación y el análisis de virus en su servidor de copias.