En un ataque de ransomware moderno, el cifrado de los servidores es el último paso. Antes, el atacante obtiene credenciales privilegiadas, recorre la red durante días y busca la consola de respaldo para borrar o cifrar las copias. Si lo logra, la empresa queda sin alternativas.
Por eso, la pregunta correcta ya no es si tenemos respaldo, sino si nuestro respaldo resiste a un administrador comprometido.
La regla 3-2-1, actualizada
La regla clásica 3-2-1 (tres copias, en dos medios distintos, una fuera del sitio) sigue siendo la base. Frente al ransomware se amplía a 3-2-1-1-0:
- 3 copias de los datos, incluida la de producción.
- 2 tipos de almacenamiento diferentes.
- 1 copia fuera del sitio.
- 1 copia inmutable o desconectada (air-gapped).
- 0 errores en las verificaciones de restauración.
Los dos últimos números son los que realmente protegen ante un ataque.
Inmutabilidad: que nadie pueda borrar, ni siquiera usted
Una copia inmutable no puede modificarse ni eliminarse durante su período de retención, aunque el atacante tenga credenciales de administrador de la consola. Opciones habituales:
- Veeam con repositorio Linux reforzado (Hardened Repository): servidor Linux dedicado, sin acceso SSH permanente, con credenciales de un solo uso al configurarlo y bandera de inmutabilidad sobre los archivos de respaldo.
- Almacenamiento de objetos con Object Lock compatible con S3, en modo de cumplimiento, como destino de la copia fuera del sitio.
- Acronis Cyber Protect con almacenamiento inmutable en la nube de Acronis.
- Proxmox Backup Server con sincronización en modo pull hacia un segundo servidor fuera del sitio, de modo que el servidor de producción no tenga credenciales para borrar la copia remota; complementado con cinta o con un destino inmutable para la copia aislada.
Aísle la infraestructura de respaldo
La inmutabilidad pierde valor si el servidor de respaldo cae con el resto del dominio. Buenas prácticas:
- Servidores de respaldo fuera del dominio de Active Directory de producción, con cuentas locales y MFA en la consola.
- Red de respaldo segmentada: solo los puertos necesarios desde los orígenes, sin acceso de administración desde la red de usuarios.
- Cuentas de servicio con el mínimo privilegio y contraseñas que no se repiten en ningún otro sistema.
- Alertas ante borrados masivos, cambios de retención o trabajos fallidos, enviadas fuera de la plataforma de correo principal.
- Cifrado de los respaldos, con la clave custodiada fuera del propio sistema de respaldo.
Defina RPO y RTO con el negocio
- RPO (punto de recuperación): cuántos datos puede perder cada sistema. Define la frecuencia de respaldo.
- RTO (tiempo de recuperación): cuánto tiempo puede estar detenido. Define la arquitectura de restauración.
Un sistema transaccional con RPO de minutos no puede compartir la política diaria de un servidor de archivos. Clasifique los sistemas por criticidad y asigne a cada grupo su política de respaldo y su procedimiento de recuperación.
El cero: restaure antes de necesitarlo
Un respaldo que nunca se ha restaurado es una hipótesis. Establezca:
- Verificación automática de la integridad de cada copia.
- Restauraciones de prueba periódicas de servidores completos, no solo de archivos sueltos, en un entorno aislado.
- Un ejercicio anual de recuperación ante desastres, con tiempos medidos frente al RTO acordado.
- Evidencia documentada de cada prueba, útil también ante auditores y reguladores.
Conclusión
El respaldo es la última línea de defensa frente al ransomware y, por eso mismo, es el primer objetivo del atacante. Copias inmutables, infraestructura aislada y pruebas de restauración regulares convierten un incidente grave en una interrupción controlada.
En BCTech diseñamos estrategias de respaldo y recuperación con Veeam, Acronis y Proxmox Backup Server, y las probamos con usted. Conozca el servicio de respaldo y continuidad.