Copias de seguridad que sobreviven al ransomware

Módulo 6: Copias de seguridad · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: Después de esta lección podrá configurar una copia de seguridad que un atacante no pueda cifrar ni borrar, optando por una copia offline, almacenamiento inmutable, versiones con un plazo de conservación adecuado y un inicio de sesión aparte para la copia de seguridad.
Conceptos clave: copia de seguridad offline, air gap, inmutable (immutable), object lock, control de versiones, inicio de sesión aparte para la copia de seguridad, plazo de conservación

Por qué una copia de seguridad normal a menudo no basta

En la lección 1.3 vio cómo funciona el ransomware: alguien entra, observa el entorno y después cifra de una sola vez todo lo que puede alcanzar. "Todo lo que puede alcanzar" es el problema central. Si su copia de seguridad está en una unidad de red que siempre aparece como letra de unidad en su ordenador, para el ransomware esa copia de seguridad es simplemente una carpeta con archivos más. Se cifrará con la misma facilidad que el original.

La agencia estadounidense de ciberseguridad CISA señala en su guía sobre ransomware que muchos tipos de ransomware buscan activamente copias de seguridad accesibles para eliminarlas o cifrarlas. Además, un atacante que ha obtenido su cuenta de administrador puede iniciar sesión en su programa de copias de seguridad o en su servicio en la nube y eliminar allí las copias. Por eso, una copia de seguridad resistente al ransomware exige más que "existe una copia". Debe estar fuera del alcance de quien haya tomado el control de su ordenador o de su cuenta.

Hay tres formas de conseguirlo, y lo ideal es combinarlas:

1. la copia de seguridad no está conectada (offline);
2. la copia de seguridad no se puede modificar ni borrar, ni siquiera por un administrador (inmutable);
3. la copia de seguridad está protegida con un inicio de sesión distinto al de su trabajo diario.

Offline: el disco en el cajón

Una copia de seguridad offline es una copia que se desconecta después de crearse. Un disco externo que desconecta del portátil tras hacer la copia y guarda en un cajón o una caja fuerte es el ejemplo más sencillo. El ransomware solo puede cifrar lo que es accesible, y un disco guardado en un cajón no lo es. El término en inglés es air gap: literalmente hay aire entre la copia de seguridad y su red.

INCIBE recomienda lo mismo: no mantenga la copia de seguridad conectada a su ordenador, ya que de lo contrario el ransomware también podría cifrarla.

Trampas habituales en las copias de seguridad offline:

• Olvidarse de hacerla. Una copia de seguridad que hace manualmente se acaba saltando después de unas semanas ajetreadas. Fije un día fijo en su agenda y alterne dos discos, de modo que siempre haya uno fuera del local.
• Dejarla siempre conectada. Un disco que se queda conectado "por comodidad" deja de ser una copia de seguridad offline.
• No cifrarla. Un disco suelto con toda su administración supone una filtración de datos si se lo roban. Active el cifrado (véase la lección 5.2) y guarde la clave en un lugar distinto al disco.

Inmutable: immutable y object lock

Una copia de seguridad inmutable (en inglés: immutable) no puede ser modificada ni eliminada por nadie durante un periodo establecido. Ni siquiera por alguien que tenga su contraseña. Ni siquiera por el administrador.

En el almacenamiento en la nube, esta técnica suele llamarse object lock. La documentación de un gran proveedor lo describe como write once, read many: escribe un archivo una vez y después solo puede leerlo hasta que finalice el plazo de conservación. Normalmente hay dos modos:

Muchos programas y servicios de copias de seguridad ofrecen almacenamiento inmutable, bajo nombres como "immutable back-up", "copia de seguridad bloqueada" o "WORM". Al elegir, fíjese en tres cosas:

• ¿Cuánto dura el bloqueo? Un bloqueo de 7 días no le protege si descubre el ataque tres semanas después.
• ¿Quién puede levantar el bloqueo? Si puede hacerlo con la misma cuenta con la que inicia sesión a diario, un atacante también podrá.
• ¿Qué cuesta? Inmutable también significa que no puede limpiarlo. CISA advierte de que una configuración incorrecta puede generar costes elevados. Empiece a pequeña escala y pruebe.

Versiones y plazo de conservación: ¿hasta dónde puede retroceder?

Una copia de seguridad de ayer solo sirve si ayer todo estaba todavía bien. El ransomware a veces espera un tiempo antes de actuar, y un error (una carpeta eliminada, una lista de precios sobrescrita) a veces no se nota hasta semanas después. Por eso necesita versiones: varios momentos de copia de seguridad en paralelo. El plazo de conservación (también llamado retención) determina hasta dónde puede retroceder. INCIBE lo explica así: la retención indica hasta qué punto puede retroceder en el historial de una copia de seguridad.

Un patrón muy utilizado es el escalonado: una copia de seguridad diaria que conserva unas semanas, una semanal que conserva unos meses, y una mensual que conserva más tiempo. Así puede retroceder mucho sin tener que guardar cientos de copias completas.

Preguntas para elegir su plazo de conservación:

• ¿Con qué rapidez suele notar que algo va mal? Fíjese en errores anteriores.
• ¿Existen obligaciones legales de conservación, por ejemplo para su contabilidad? Una copia de seguridad es algo distinto de un archivo: un archivo se conserva durante años en un lugar fijo, una copia de seguridad rota.
• ¿Cuánto almacenamiento cuesta? Conservar durante más tiempo cuesta más.

Un inicio de sesión aparte para la copia de seguridad

La tercera medida es la más económica y la que más se olvida. Si su servicio de copias de seguridad, su almacenamiento en la nube y su correo funcionan todos con la misma cuenta, y esa cuenta es tomada por un atacante (lección 1.4), el atacante lo obtiene todo de una sola vez.

• Use para el servicio o el programa de copias de seguridad una cuenta propia con una contraseña única propia guardada en su gestor de contraseñas, y active la verificación en dos pasos.
• No use esa cuenta para el trabajo diario ni inicie sesión con ella en el ordenador con el que envía correos y navega.
• Cuando sea posible, configure el programa de copias de seguridad para que solo pueda escribir en el destino de la copia, no borrar.
• Determine quién tiene acceso, tanto físicamente (quién tiene la llave del armario donde está el disco) como en el software. INCIBE también lo menciona explícitamente.

En la práctica: así se ve

En el proveedor de ejemplo WebOké, las copias de seguridad nocturnas de un paquete de alojamiento se guardan en servidores de almacenamiento aparte, en otro centro de datos, separados del servidor donde se ejecuta el sitio web. Según la base de conocimientos, usted mismo no puede eliminar esas copias de seguridad nocturnas: permanecen para que siempre haya un punto de restauración, y desaparecen automáticamente después de 30 días. Solo puede eliminar una copia de seguridad adicional que haya creado usted mismo, y para eso el panel le pedirá su contraseña.

Lo que usted mismo añade para cumplir el esquema 3-2-1 y conseguir la copia offline: descargar de vez en cuando una copia de seguridad (que queda disponible 48 horas) y guardarla en un disco que luego desconecta. Según la misma base de conocimientos, una instantánea (snapshot) de un VPS no es, en absoluto, una copia de seguridad, porque se guarda en el mismo almacenamiento que el propio VPS.

En otros proveedores puede ser similar o muy distinto. Pregunte concretamente a su proveedor: ¿están las copias de seguridad separadas de mi cuenta, puedo borrarlas yo o alguien con mi contraseña, y cuánto tiempo atrás llegan?

Resumen

• El ransomware cifra todo lo que alcanza, también las copias de seguridad conectadas, y los atacantes buscan copias de seguridad de forma activa.
• Offline: desconecte el disco de la copia de seguridad y alterne discos, con cifrado.
• Inmutable (immutable, object lock): nadie puede borrar la copia hasta que finalice el plazo.
• Las versiones y un plazo de conservación adecuado determinan hasta dónde puede retroceder; elíjalos en función de cuándo suele descubrir los problemas.
• Use un inicio de sesión aparte y bien protegido para su copia de seguridad, separado de su cuenta diaria.

Cuestionario

Ejercicio

Ejercicio D6.2: Haga que una copia de seguridad sea resistente al ransomware. Elija sus datos más importantes (por ejemplo, su contabilidad o su sitio web) y configure una copia que quede fuera de alcance: un disco externo que desconecte tras hacer la copia y guarde en otro lugar, o un servicio de copias de seguridad con almacenamiento inmutable. Asigne a la copia de seguridad un inicio de sesión propio con verificación en dos pasos, compruebe hasta dónde puede retroceder y anote quién tiene acceso. Por último, responda a las preguntas de reflexión.

Para saber más

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores puede funcionar de forma parecida o distinta. Consúltelo con su proveedor.

• Manual de DirectAdmin 16.2: Copia de seguridad y restauración: crear usted mismo una copia de seguridad en DirectAdmin
• Manual de Nextcloud 6.2: Restaurar una versión anterior y asignar un nombre a las versiones
• Manual de Nextcloud 6.3: ¿Cuánto tiempo conserva Nextcloud las versiones y los archivos eliminados?
• Snapshots y copias de seguridad de su VPS
• WebOké Backups: ver, restaurar o descargar una copia de seguridad
• INCIBE, el ransomware explicado: https://www.incibe.es/empresas
• INCIBE, cómo elaborar una estrategia de copias de seguridad: https://www.incibe.es/empresas
• CISA, #StopRansomware Guide (en inglés): https://www.cisa.gov/stopransomware/ransomware-guide