Módulo 6 · 6.2
Copias de seguridad que sobreviven al ransomware
Módulo 6: Copias de seguridad · Tiempo de lectura: 10 minutos
Objetivo de aprendizaje: Después de esta lección sabrá configurar una copia de seguridad que un atacante no pueda cifrar ni borrar, eligiendo una copia offline, almacenamiento inalterable, versiones con un plazo de conservación adecuado y un inicio de sesión aparte para la copia de seguridad.
Conceptos clave: copia de seguridad offline, air gap, inalterable (immutable), object lock, control de versiones, inicio de sesión aparte para la copia de seguridad, plazo de conservación
Por qué una copia de seguridad normal a menudo no basta
En la lección 1.3 vio cómo funciona el ransomware: alguien entra, mira a su alrededor y después cifra de una sola vez todo lo que puede alcanzar. "Todo lo que puede alcanzar" es el problema central. Si su copia de seguridad está en una unidad de red que siempre aparece como una letra de unidad conectada a su PC, esa copia de seguridad es, para el ransomware, simplemente una carpeta con archivos. Se cifra con la misma facilidad que el original.
La agencia estadounidense de ciberseguridad CISA escribe en su guía sobre ransomware que muchos tipos de ransomware buscan activamente copias de seguridad accesibles para eliminarlas o cifrarlas. Además, un atacante que tenga su cuenta de administrador puede iniciar sesión en su programa de copias de seguridad o en su servicio en la nube y eliminar allí las copias de seguridad. Por eso, una copia de seguridad resistente al ransomware requiere más que "existe una copia". Debe estar fuera del alcance de cualquiera que haya tomado el control de su ordenador o de su cuenta.
Hay tres formas de conseguirlo, y lo ideal es combinarlas:
- la copia de seguridad no está conectada (offline);
- la copia de seguridad no se puede modificar ni borrar, ni siquiera por un administrador (inalterable);
- la copia de seguridad está protegida por un inicio de sesión distinto al de su trabajo diario.
Offline: el disco en el cajón
Una copia de seguridad offline es una copia que se desconecta después de crearse. Un disco externo que desconecta del portátil después de hacer la copia de seguridad y guarda en un cajón o una caja fuerte es el ejemplo más sencillo. El ransomware solo puede cifrar lo que es accesible, y un disco en un cajón no lo es. El término en inglés es air gap: literalmente hay aire entre la copia de seguridad y su red.
El NCSC neerlandés recomienda lo mismo: no mantenga la copia de seguridad conectada a su ordenador, porque de lo contrario el ransomware también podría cifrarla.
Trampas habituales en las copias de seguridad offline:
- Olvidarla. Una copia de seguridad que hace manualmente se acaba saltando tras unas semanas ajetreadas. Fije un día fijo en su agenda y alterne dos discos, de modo que siempre haya uno fuera del local.
- Dejarla siempre conectada. Un disco que se queda conectado "por comodidad" deja de ser una copia de seguridad offline.
- No cifrarla. Un disco suelto con toda su contabilidad es una filtración de datos si se lo roban. Active el cifrado (véase la lección 5.2) y guarde la clave en un lugar distinto del disco.
Inalterable: immutable y object lock
Una copia de seguridad inalterable (en inglés: immutable) no puede ser modificada ni eliminada por nadie durante un período establecido. Tampoco por quien tenga su contraseña. Tampoco por el administrador.
En el almacenamiento en la nube, esta técnica suele llamarse object lock. La documentación de un gran proveedor lo describe como write once, read many: escribe un archivo una vez y, a partir de entonces, solo puede leerlo hasta que finalice el plazo de conservación. Normalmente hay dos modos:
| Modo | Qué significa | Cuándo elegirlo |
|---|---|---|
| Modo estricto (en ese proveedor, compliance mode) | Nadie puede borrar la copia antes de que finalice el plazo ni acortarlo, ni siquiera la cuenta principal | Quiere tener la certeza de que, incluso si toman el control de una cuenta de administrador, no se podrá borrar nada |
| Modo flexible (governance mode) | Solo las cuentas con un permiso especial pueden levantar la protección | Para hacer pruebas, o si quiere conservar la posibilidad de eliminar algo |
Muchos programas y servicios de copias de seguridad ofrecen almacenamiento inalterable, con nombres como "copia de seguridad inmutable", "copia de seguridad bloqueada" o "WORM". Al elegir, fíjese en tres cosas:
- ¿Cuánto dura el bloqueo? Un bloqueo de 7 días no le protege si descubre el ataque solo después de tres semanas.
- ¿Quién puede levantar el bloqueo? Si puede hacerlo con la misma cuenta con la que inicia sesión a diario, un atacante también podrá.
- ¿Qué coste tiene? Inalterable también significa que no puede eliminarlo. CISA advierte de que una configuración incorrecta puede generar costes elevados. Empiece con algo pequeño y pruebe.
Versiones y plazo de conservación: ¿hasta dónde puede retroceder?
Una copia de seguridad de ayer solo ayuda si ayer todavía todo estaba bien. El ransomware a veces espera un tiempo antes de actuar, y un error (una carpeta eliminada, una lista de precios sobrescrita) a veces no se nota hasta semanas después. Por eso necesita versiones: varios momentos de copia de seguridad guardados en paralelo. El plazo de conservación (también llamado retención) determina hasta dónde puede retroceder. El NCSC neerlandés lo expresa así: la retención indica hasta dónde puede retroceder en el historial de una copia de seguridad.
Un patrón habitual es el de ir reduciendo la frecuencia: una copia de seguridad diaria que conserva unas semanas, una semanal que conserva unos meses y una mensual que conserva más tiempo. Así puede retroceder bastante sin necesidad de guardar cientos de copias completas.
Preguntas para elegir su plazo de conservación:
- ¿Con qué rapidez suele notar que algo va mal? Fíjese en errores del pasado.
- ¿Existen obligaciones legales de conservación, como para su contabilidad? Una copia de seguridad es algo distinto de un archivo: un archivo se conserva durante años en un lugar fijo, una copia de seguridad rota.
- ¿Cuánto cuesta ese almacenamiento? Conservar durante más tiempo cuesta más.
Un inicio de sesión aparte para la copia de seguridad
La tercera medida es la más barata y la que más se olvida. Si su servicio de copias de seguridad, su almacenamiento en la nube y su correo funcionan todos con la misma cuenta, y esa cuenta es tomada por un atacante (lección 1.4), el atacante lo tiene todo de una sola vez.
- Utilice para el servicio o programa de copias de seguridad una cuenta propia con una contraseña propia y única de su gestor de contraseñas, y active la verificación en dos pasos.
- No utilice esa cuenta para el trabajo diario ni inicie sesión con ella en el ordenador con el que envía correos y navega.
- Cuando sea posible, configure el programa de copias de seguridad para que solo pueda escribir en el destino de la copia de seguridad, no borrar.
- Determine quién tiene acceso, tanto físicamente (quién tiene la llave del armario con el disco) como en el software. El NCSC neerlandés también lo menciona explícitamente.
En la práctica: así se ve
En el proveedor de ejemplo WebOké, las copias de seguridad nocturnas de un paquete de alojamiento se guardan en servidores de almacenamiento aparte, en otro centro de datos, separados del servidor donde se ejecuta el sitio web. Según la base de conocimientos, usted mismo no puede eliminar esas copias de seguridad nocturnas: permanecen para que siempre haya un punto de restauración, y desaparecen automáticamente después de 30 días. Solo puede eliminar una copia de seguridad adicional que haya creado usted mismo, y para ello el panel le pedirá su contraseña.
Lo que usted mismo puede añadir para cumplir el esquema 3-2-1 y conseguir la copia offline: descargar de vez en cuando una copia de seguridad (que queda disponible 48 horas) y guardarla en un disco que después desconecte. Un snapshot de un VPS, según la misma base de conocimientos, expresamente NO es una copia de seguridad, porque se encuentra en el mismo almacenamiento que el propio VPS.
En otros proveedores puede ser parecido o muy distinto. Pregunte concretamente a su proveedor: ¿están las copias de seguridad separadas de mi cuenta?, ¿puedo yo, o alguien con mi contraseña, borrarlas?, ¿y hasta cuándo retroceden en el tiempo?
Resumen
- El ransomware cifra todo lo que alcanza, también las copias de seguridad conectadas, y los atacantes buscan activamente las copias de seguridad.
- Offline: desconecte el disco de la copia de seguridad y alterne discos, con cifrado.
- Inalterable (immutable, object lock): nadie puede borrar la copia hasta que finalice el plazo.
- Las versiones y un plazo de conservación adecuado determinan hasta dónde puede retroceder; elíjalos según cuánto suele tardar en descubrir problemas.
- Utilice un inicio de sesión aparte y bien protegido para su copia de seguridad, separado de su cuenta diaria.
Cuestionario
Ejercicio
Ejercicio D6.2: Haga que una copia de seguridad sea resistente al ransomware. Elija sus datos más importantes (por ejemplo, su contabilidad o su sitio web) y configure una copia que quede fuera de alcance: un disco externo que desconecte y guarde en otro lugar después de hacer la copia de seguridad, o un servicio de copias de seguridad con almacenamiento inalterable. Asigne a la copia de seguridad un inicio de sesión propio con verificación en dos pasos, compruebe hasta dónde puede retroceder y anote quién tiene acceso. Por último, responda a las preguntas de reflexión.
Ejercicio D6.2: Haga que una copia de seguridad sea resistente al ransomware
Así se hace: (1) Elija los datos que menos puede permitirse perder (por ejemplo, su contabilidad o su tienda online). (2) Elija una de estas dos rutas: (3) Dé a la copia de seguridad un acceso propio: una cuenta separada con una contraseña única de su gestor de contraseñas y verificación en dos pasos, que no utilice para el correo ni el trabajo diario. (4) Compruebe hasta qué punto puede retroceder (plazo de conservación) y anótelo. (5) Anote quién puede acceder físicamente (disco, caja fuerte) y en el software a la copia de seguridad. (6) Pregunte a su proveedor de alojamiento o a su proveedor de informática: ¿las copias de seguridad están separadas de mi cuenta, puede alguien con mi contraseña borrarlas, y cuánto tiempo atrás llegan? Anote la respuesta.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de los artículos de WebOké son válidos para el entorno de WebOké; en otros proveedores puede funcionar de forma parecida o distinta. Consúltelo con su proveedor.
- Manual de DirectAdmin 16.2: Copia de seguridad y restauración: crear usted mismo una copia de seguridad en DirectAdmin
- Manual de Nextcloud 6.2: Restaurar una versión anterior y asignar un nombre a las versiones
- Manual de Nextcloud 6.3: ¿Cuánto tiempo conserva Nextcloud las versiones y los archivos eliminados?
- Snapshots y backups de su VPS
- WebOké Backups: ver, restaurar o descargar una copia de seguridad
- NCSC neerlandés, Ransomware explicado: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
- NCSC neerlandés, Elaborar una estrategia de copias de seguridad: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
- CISA, #StopRansomware Guide (en inglés): https://www.cisa.gov/stopransomware/ransomware-guide
- Estrategia de copias de seguridad: la regla 3-2-1 para su propia empresa