Empresa de servicios. Hacían copias de seguridad cada noche. Correctamente. Estaban tranquilos.
Tener copias que no sirven es peor que no tenerlas, porque da una tranquilidad falsa. Este caso es de los que más se repiten.
Detección
En la auditoría preguntamos dónde iban las copias. A un disco de red. ¿Con qué usuario? El de administrador, el mismo que se usa para todo. ¿Y quién más llega a ese disco? Cualquier equipo de la red.
Un ransomware que entrara en el servidor habría cifrado las copias en la misma pasada. Y había otra pregunta que nadie había hecho: ¿cuándo fue la última vez que restaurasteis una? Hacía tres años. No sabían si funcionaban ni cuánto tardaría.
Actuación
Esa misma semana:
- Montamos una copia fuera de la red, en un destino al que el servidor no puede escribir ni borrar.
- Hicimos una restauración completa de prueba en un entorno aparte. Funcionó. Y ahora sabemos cuánto tarda: ese dato es el que decide si un ataque es un susto o un cierre.
Mitigación
La regla es simple y la aplicamos entera:
- Tres copias de los datos.
- Dos soportes distintos.
- Una fuera de la red y no modificable, para que un ransomware no llegue a ella.
- Usuario específico para las copias, sin permisos para nada más.
- Alerta si una copia falla o no se hace.
- Documentado quién restaura, cómo y en cuánto tiempo, en una página que cualquiera puede seguir.
Acompañamiento
- Prueba de restauración cada trimestre. La primera la hicimos nosotros. Las siguientes las hace su equipo y nosotros comprobamos el resultado.
- Revisión anual de qué se está copiando, porque la empresa cambia y aparecen datos nuevos que nadie añadió a la copia.
- Cuando cambian de servidor o de proveedor, se revisa la copia antes que nada.
Resultado
De una tranquilidad falsa a poder recuperarse en horas. Esta empresa habría pagado el rescate o cerrado.
¿Te puede pasar?
- ¿Tus copias están en la misma red que tu servidor?
- ¿Habéis restaurado alguna en el último año?
- ¿Sabes cuánto tardaríais en volver a funcionar?