Por qué un respaldo en una unidad de red mapeada muere con el equipo
Una unidad de red mapeada es, para el sistema operativo, una carpeta más sobre la que el usuario ya tiene permiso de escritura. El proceso que cifra los archivos del equipo no distingue entre el disco local y esa letra de unidad: recorre todo lo que puede escribir y lo cifra igual. El respaldo desaparece junto con el original.
El mismo razonamiento aplica a casos que muchas empresas consideran seguros. Un disco USB conectado permanentemente al servidor es un disco local. Un NAS compartido por SMB con las credenciales del administrador reutilizadas es un recurso de red escribible. Una carpeta sincronizada propaga el cifrado hacia la nube, que guarda fielmente la versión cifrada. Y el ransomware suele empezar borrando las copias de volumen de Windows, precisamente porque son lo primero que intentaría usar quien responde al incidente.
Una copia sobrevive a un cifrado por una sola razón: porque en el momento del ataque nadie podía escribir sobre ella. Eso se logra de dos formas, y ambas son técnicas, no de disciplina.
Inmutabilidad y aislamiento: las dos defensas que sí funcionan
- Almacenamiento inmutable. La copia se escribe una vez y el propio almacenamiento impide modificarla o eliminarla hasta que vence el plazo configurado, incluso para una cuenta de administración. No es un permiso revocable: es una condición del almacén. Si el plazo es de treinta días, esa copia existe treinta días pase lo que pase en la red.
- Copia aislada o air-gapped. Vive en un medio que no está conectado a la red o que sólo se conecta en una ventana controlada: cinta, disco que se desmonta y se guarda, o un repositorio al que únicamente el agente de respaldo escribe por un protocolo propio, nunca por un recurso compartido.
- Credenciales separadas. La consola de respaldo no se administra con la cuenta del dominio, ni con la misma contraseña, ni desde el mismo equipo, y lleva segundo factor obligatorio. Es lo que impide que un juego de credenciales robado abra a la vez la operación y su respaldo.
- Retención suficiente. Un ataque puede haber empezado semanas antes de notarse, y con retención de pocos días todas las copias disponibles pueden contener ya el daño. Las copias semanales y mensuales son las que permiten retroceder hasta un punto limpio.
- Alertas sobre el comportamiento del respaldo. Un crecimiento súbito del volumen respaldado, fallas en serie o intentos de borrar puntos de recuperación son señales tempranas de un incidente en curso, y hay que verlas el mismo día.
3-2-1, y por qué hoy se escribe 3-2-1-1-0
La regla clásica pide tres copias de la información, en dos tipos de medio distintos, con una fuera del sitio. Resuelve bien la pérdida de hardware, el error humano y el siniestro físico, que eran los riesgos para los que se formuló.
La versión actual añade dos dígitos que responden específicamente al ransomware. El uno extra pide que una de esas copias sea inmutable o esté aislada de la red. El cero pide que la verificación arroje cero errores: nada de advertencias toleradas ni de cadenas incrementales a medias.
Leída así es una lista de comprobación que cualquier dirección puede exigir sin conocimientos técnicos: tres copias, dos medios, una fuera, una intocable, cero errores. Sin el cuarto dígito, el esquema protege del disco que se quema, no del ataque.
Qué sí se puede hacer el día del incidente
- Aislar, no borrar. Desconectar de la red los equipos afectados y las copias que aún no se sabe si están limpias, y conservar la evidencia: los registros y los archivos cifrados sirven para identificar la variante y para la denuncia y el seguro.
- No restaurar sobre la infraestructura comprometida. Si el atacante todavía tiene acceso, lo recuperado se vuelve a cifrar. Primero se cierra la entrada y se rotan las credenciales; después se restaura.
- Buscar el último punto limpio, que no es necesariamente el más reciente: hay que ubicar la fecha en que empezó el daño y restaurar desde antes, asumiendo que se pierde el trabajo intermedio.
- Restaurar en orden. Identidad y accesos, correo, archivos compartidos, sistemas de línea de negocio y por último los equipos de los usuarios. Cada capa depende de la anterior.
- Rotar todo secreto que pudo quedar expuesto. Contraseñas, llaves de servicio, tokens y certificados. Si el atacante estuvo dentro, hay que asumir que los vio.
Qué aporta Acronis Cyber Protect en este escenario
Acronis Cyber Protect combina en un solo agente el respaldo y la protección contra software malicioso, que es justamente la combinación que este escenario exige. Lo relevante frente al cifrado de respaldos es concreto:
- Detección de ransomware por comportamiento, que corta el proceso cuando empieza a cifrar y revierte los archivos que alcanzó a modificar.
- Autoprotección del agente y de las copias locales: impide que un proceso ajeno altere o elimine sus propios puntos de recuperación.
- Almacenamiento en la nube con retención inmutable, de modo que ni una cuenta comprometida borre las copias antes de que venza el plazo.
- Verificación automática de integridad y restauración de prueba, para que el cero de la regla sea un dato medido y no una suposición.
- Restauración completa de la máquina, incluso a hardware distinto o a una máquina virtual, que es lo que acorta el tiempo de recuperación.
- Evaluación de vulnerabilidades y gestión de parches, porque la vía de entrada habitual sigue siendo un sistema sin actualizar o un acceso remoto expuesto.
El punto de partida
Antes de comprar nada vale la pena responder tres preguntas con nombres y fechas: ¿cuál de nuestras copias es inmutable o está aislada?, ¿se administra el respaldo con credenciales distintas de las del dominio?, ¿hasta qué fecha podríamos retroceder hoy?
En igeckoo implementamos ese esquema con Acronis Cyber Protect: copia inmutable fuera del sitio, credenciales de respaldo separadas con segundo factor, retención por capas y verificación de restauración documentada.