Guía · Seguridad
Ransomware: copias de seguridad que sobreviven a un ataque
En resumen: los atacantes modernos buscan y destruyen primero las copias de seguridad, antes de cifrar. Solo sobrevivirá al ataque una copia que no se pueda borrar desde la red de la empresa (bloqueada en un servidor de copias separado, fuera de la empresa o sin conexión) y cuya restauración se haya ensayado antes.
Cómo se desarrolla un ataque contra las copias
- Entrada: mediante un correo de phishing, una vulnerabilidad o credenciales robadas.
- Propagación: los atacantes reúnen derechos de administrador, a menudo durante semanas sin ser detectados.
- Búsqueda de las copias: se buscan servidores de copias, recursos compartidos del NAS, instantáneas y accesos a la nube.
- Destrucción de las copias: se borran o se cifran junto con lo demás, con los derechos obtenidos.
- Cifrado y extorsión: solo ahora se hace visible el ataque, normalmente de noche o en fin de semana.
De ello se deduce que cualquier copia que un administrador de la red de la empresa pueda borrar también puede borrarla un atacante con esos derechos.
Cinco medidas que de verdad ayudan
| Medida | Qué consigue |
|---|---|
| Copia inmutable | Las copias están bloqueadas contra cambios y borrado hasta una fecha, también para los equipos protegidos y sus credenciales |
| Servidor de copias separado | Credenciales propias, sin pertenencia al dominio de Windows, solo los puertos necesarios abiertos |
| Copia fuera de la empresa | Una segunda copia en otro lugar, con otras credenciales |
| Copia sin conexión | Una exportación periódica a disco USB o cinta, guardada después desconectada de la red |
| Restauración ensayada | Las restauraciones de comprobación periódicas demuestran que las copias están limpias y completas |
Proteger el propio servidor de copias
Un bloqueo de conservación solo es tan fuerte como el servidor que lo impone. Por eso, para el servidor de copias rige: una cuenta propia del sistema operativo para la administración, sin pertenencia al dominio, sin inicios de sesión con las mismas contraseñas que en el resto de la red, actualizaciones puntuales y acceso solo por las interfaces necesarias. Quien además conserva una copia sin conexión tiene una reserva incluso para el peor caso.
Tras el ataque: restaurar de forma limpia
- Elegir la versión correcta: los atacantes suelen estar en la red semanas antes del cifrado. Conservar muchas versiones permite volver a un momento anterior a la intrusión.
- Comprobar primero y restaurar después: arrancar primero los sistemas restaurados de forma aislada y examinarlos, para que el malware no vuelva con ellos.
- Conocer el orden: primero el servicio de directorio y la red, después las aplicaciones de negocio, ensayado y no improvisado.
Cómo protege AegisGrid frente al ransomware
AegisGrid cifra los datos en el sistema protegido y los escribe en hasta ocho destinos en una sola ejecución. En un almacenamiento WORM del servidor de copias, cada copia está bloqueada contra cambios y borrado hasta que vence su bloqueo: el servidor de copias impone el bloqueo frente a todos los equipos protegidos y todas las interfaces, y sus claves de acceso solo valen para sus propios directorios. En el propio servidor, el procesamiento de datos se ejecuta con una cuenta propia sin privilegios. Para la copia sin conexión, AegisGrid exporta copias concretas como archivo a disco USB o cinta. Las restauraciones de comprobación arrancan las VM restauradas en un entorno aislado sin conexión al exterior y leen cada archivo de la copia: si se acumulan archivos que parecen cifrados o notas de rescate, el servidor de copias lo notifica mientras todavía hay versiones limpias. Cada supresión queda anotada en el registro de evidencias firmado.
Preguntas frecuentes sobre copias de seguridad y ransomware
¿Bastan las instantáneas y un NAS contra el ransomware?
Normalmente no. Un ransomware con derechos de administrador borra las instantáneas en segundos, y un recurso compartido del NAS en el que se puede escribir desde la red también se cifra. Hace falta al menos una copia que no se pueda borrar con los derechos de la red de la empresa.
¿Cuánto debe durar el bloqueo?
Más que el tiempo que un ataque puede pasar inadvertido: en la práctica, al menos de 14 a 30 días para la copia diaria, además de versiones mensuales más antiguas con un bloqueo más largo. Lo importante es que se conserven varias versiones antiguas.
¿Detecta AegisGrid si el ransomware ya está en la copia?
La restauración de comprobación del servidor de copias lee cada archivo de la copia restaurada y busca indicios de cifrado: contenido que no corresponde a su extensión o parece aleatorio, extensiones típicas de ransomware y notas de rescate. Si hay claramente más que en la última comprobación, se emite un aviso; así se detecta un ataque antes de que caduque la última copia limpia. En las copias de archivos, el propio agente comprueba cada ejecución: si cambian muchos más archivos de lo habitual o aparecen muchas extensiones típicas, la ejecución se marca, se envía un aviso y las versiones anteriores no se eliminan durante un plazo. Si se desea, la restauración de comprobación analiza además las copias con ClamAV en busca de virus e indica la última copia sin el hallazgo. Esto no sustituye a un antivirus en los sistemas.
¿Ayuda el cifrado de la copia contra el ransomware?
Protege la confidencialidad: las copias robadas no revelan nada. No protege contra el borrado ni contra un nuevo cifrado; para eso se necesitan la copia inmutable y la copia sin conexión.
¿Resistiría su copia un ataque?
Comprobamos con usted, en inglés o en alemán, si sus copias sobrevivirían a un ataque.