Protege tus copias de seguridad frente al ransomware

Protege tus copias de seguridad contra el ransomware con el almacenamiento inmutable

El ransomware moderno elimina tus copias de seguridad antes de cifrar los sistemas de producción. Sin una copia limpia, solo quedan dos opciones: pagar el rescate o reconstruirlo todo desde cero. OVHcloud Object Storage con Object Lock impide eliminar las copias de seguridad hasta que finaliza el periodo de retención, incluso si las credenciales de administrador están comprometidas.
Descubrir Object StorageLeer la documentación
Ilustración de nombres de dominio

Los atacantes desactivan las copias de seguridad antes de encriptar los datos

Los operadores de ransomware localizan tu repositorio de copias de seguridad, roban credenciales y borran las copias antes de activar la carga maliciosa en los sistemas de producción. Si puedes restaurar tus datos, no tienes por qué pagar. Pero si han borrado tus copias de seguridad, no tienes otra opción. Con una sola cuenta con acceso de escritura, alguien puede borrarlo todo en minutos, salvo que la capa de almacenamiento rechace esa instrucción.
[object Object]

Object Lock: copias de seguridad blindadas contra el borrado

WORMCompatible con S3
Object Lock se aplica en la capa de almacenamiento, no en tu software de backup. Hasta que no termina el periodo de retención, se rechaza cualquier intento de borrar o sobrescribir datos, aunque se haga con credenciales de administrador válidas.

Con el versionado se guardan todas las versiones anteriores, de modo que, aunque un objeto se haya alterado antes de aplicarse el bloqueo, podrás recuperar una versión limpia. Activa las dos opciones al crear el bucket.
Descubrir Object StorageLeer la documentación
Ilustración isométrica de almacenamiento de copias de seguridad en la nube inmutable con contenedores de objetos bloqueados, nodos regionales replicados y escudos de seguridad, azul y cian

Modelo de protección en cuatro capas

Object Lock (WORM)

Rechaza cualquier borrado o sobrescritura hasta que vence el periodo de retención, incluso desde cuentas de administrador. Una vez configurado, es irreversible. Con Legal Hold, además, puedes bloquear objetos concretos de forma indefinida.

Versionado

Conserva todas las versiones anteriores en lugar de sobrescribirlas. Si un archivo se modifica antes del bloqueo, sigue teniendo un historial limpio que puedes restaurar. Es imprescindible para que Object Lock funcione.

Replicación asincrónica S3

Disfruta de copias automáticas en otra región, independientes de las credenciales principales, sin transferencias manuales. Cada objeto conserva su bloqueo en la región de destino.

Cifrado de datos en reposo

Con SSE-C, gestionas tus propias claves; con SSE-OVHcloud Managed Keys, OVHcloud se encarga de su ciclo de vida. Los objetos cifrados son ilegibles aunque llegue un posible ataque a la capa de almacenamiento.

Cuatro razones para elegir el almacenamiento inmutable

Todas las capas trabajan juntas para que un credencial comprometido no pueda poner en peligro tu restauración.
[object Object]
Backup protegido incluso con un administrador comprometido
Copias de seguridad inmutables, con Object Lock activado
[object Object]
Copia aislada en una región separada
Backup 3-2-1 sobre almacenamiento de objetos inmutable
[object Object]
Sin costes de salida al restaurar
Restaura tras un ransomware con un coste predecible
[object Object]
Infraestructura europea soberana, al margen del CLOUD Act
Backup inmutable en almacenamiento soberano de la UE
Object Storage de OVHcloud cuenta con la certificación Veeam Ready; HYCU, Cohesity y Veritas NetBackup son compatibles mediante la API de S3. Configurar la inmutabilidad en tu herramienta: Object Lock aplica la retención directamente en la capa de almacenamiento, de forma independiente, incluso si la aplicación se ve comprometida. Para Kubernetes, tanto Velero como CloudCasa son compatibles. La integración consiste en cambiar un endpoint, no en rediseñar la arquitectura.
Utiliza awscli, Rclone, Restic, Duplicati o Plakar. Un pipeline probado localmente pasa a producción con solo cambiar el endpoint. Activa Object Lock y el versionado al crear el bucket; la capa de almacenamiento aplica la retención de forma independiente a tu script.
Velero y CloudCasa son compatibles con Object Storage de OVHcloud como destino de copias de seguridad mediante la API de S3. Los volúmenes persistentes están protegidos mediante la inmutabilidad configurada directamente en el bucket. Object Lock aplica la retención en la capa de almacenamiento, de forma independiente de la aplicación. Compatible con Managed Kubernetes Service de OVHcloud.
Object Storage de OVHcloud cuenta con la certificación Veeam Ready; HYCU, Cohesity y Veritas NetBackup son compatibles mediante la API de S3. Configurar la inmutabilidad en tu herramienta: Object Lock aplica la retención directamente en la capa de almacenamiento, de forma independiente, incluso si la aplicación se ve comprometida. Para Kubernetes, tanto Velero como CloudCasa son compatibles. La integración consiste en cambiar un endpoint, no en rediseñar la arquitectura.

Una segunda copia en una región separada, fuera de alcance

AntiafinidadBackup 3-2-1Backup remoto
Una copia de seguridad almacenada junto a producción comparte las mismas credenciales y queda expuesta al mismo radio de impacto.

La replicación asíncrona S3 mantiene una copia automatizada en una región de OVHcloud independiente de las credenciales primarias. Combinado con Object Lock, un atacante tendría que comprometer dos regiones para eliminar todas las opciones de recuperación. No es necesario realizar ninguna transferencia manual.
Descubrir Object Storage
[object Object]

Buenas prácticas operativas para proteger tu vía de recuperación

Activa la MFA en todas las cuentas que puedan cambiar una política de retención

La MFA impide el uso de credenciales robadas, un paso clave del que depende el ransomware. Exígela en la consola de almacenamiento y en todas las cuentas que puedan modificar una política de retención. Guarda las credenciales de servicio en un gestor de contraseñas. Supervisa los intentos de eliminación: un aumento repentino de las eliminaciones rechazadas puede ser una primera señal de que se ha producido una intrusión.

Haz pruebas de recuperación antes de que un incidente te obligue a hacerlo

Pon a prueba tu vía de recuperación antes de que lo haga un incidente. Programa pruebas de recuperación periódicas y documenta los resultados. Cada vez más aseguradoras solicitan estas pruebas como parte de la renovación de las pólizas. Una copia de seguridad que no se ha probado es una suposición, no una garantía.

Clases de almacenamiento en niveles para controlar los costes de retención a largo plazo

Las políticas de ciclo de vida trasladan los objetos de Standard a Active Archive y, posteriormente, a Cold Archive, mientras que Object Lock se mantiene activo en todos los niveles. Mantén una política de retención inmutable durante varios años sin asumir tarifas premium de forma permanente.

Protege tus datos en cuatro pasos

Crear un bucket con Object Lock activado

El Object Lock debe activarse cuando se crea un bucket y no se puede añadir más tarde. Activar el versionado al mismo tiempo. Establece el periodo de retención por defecto para que coincida con tus objetivos de recuperación.

Apuntar tu herramienta de backup al endpoint

Con Veeam, Rclone o awscli solo es necesario cambiar el endpoint. La capa de almacenamiento aplica la política de retención de forma independiente.

Activar la replicación entre regiones

La replicación asíncrona S3 mantiene una copia automatizada en una segunda región sin transferencia manual ni credenciales compartidos entre regiones.

Realizar una prueba de restauración y documentar el resultado

Restaura una copia de seguridad real desde el bucket inmutable y registra el resultado. Así validas el proceso de recuperación y cumples los requisitos de auditoría.

Demuestra la inmutabilidad ante aseguradoras y auditores

A la hora de renovar un ciberseguro, las aseguradoras ya preguntan directamente: ¿las copias son inmutables y están aisladas? ¿Puedes demostrar que has realizado una prueba de restauración? No poder aportar pruebas puede traducirse en primas más elevadas o incluso en la denegación de cobertura. Las auditorías de ISO 27001 y los cuestionarios de clientes siguen la misma lógica. OVHcloud Object Storage está alojado en infraestructura europea, cuenta con las certificaciones ISO 27001, ISO 27017, ISO 27018 e ISO 27701 y no está sujeto al CLOUD Act.
[object Object]
Empieza gratis y prueba la restauración antes de dar el paso
Activa Object Lock, realiza una copia de seguridad y restáurala. La prueba gratuita incluye tanto la prueba como la demostración.
Empezar prueba gratis