Copias inmutables: el control que el ransomware no puede rodear
Los operadores de ransomware aprendieron hace años que cifrar datos no sirve de nada si la víctima puede restaurar sin más. Por eso atacan primero las copias.
Cómo transcurre realmente el ataque
El patrón es constante:
- Acceso inicial, normalmente por una contraseña robada o un servicio sin parchear
- Semanas de reconocimiento silencioso
- Escalada hasta administrador de dominio
- Trabajos de copia desactivados, repositorios borrados, instantáneas eliminadas
- Solo entonces, el cifrado
Cuando algo se hace visible, la vía de recuperación ya está desmontada, y con credenciales válidas, que es la razón de que nada saltara.
Qué significa inmutable
Una copia inmutable no puede modificarse ni borrarse durante un periodo de retención definido, por nadie, incluido un administrador. La prohibición la impone la capa de almacenamiento y no los permisos, así que unas credenciales robadas no la levantan.
Implementaciones habituales:
- Almacenamiento de objetos con bloqueo en modo cumplimiento
- Appliances de copia con repositorios reforzados
- Cinta, inmutable por el hecho de estar en un cajón
- Servicios de copia en la nube con un nivel de retención bloqueado
Acertar con la retención
La retención tiene que superar su tiempo de detección. Los atacantes suelen permanecer semanas dentro de una red antes de lanzar el cifrado, y un bloqueo de siete días no sirve de nada si la intrusión empezó hace cuatro semanas.
Treinta días es un mínimo razonable. Noventa es mejor si el volumen lo permite.
El resto del cuadro
La inmutabilidad protege la copia. No protege las credenciales:
- Una cuenta separada para copias, no la de administrador de dominio
- Doble factor en la propia consola de copias
- Alertas cuando se desactiva un trabajo o se cambia la retención
- El sistema de copias fuera del dominio, para que comprometer el dominio no lo comprometa
Pruébelo a propósito
Intente borrar una copia bloqueada. Debe fallar. Si funciona, la configuración no es la que usted cree, y averiguarlo ahora no cuesta nada.
Nuestros diseños de copias y recuperación parten de que el atacante llegará al sistema de copias.