Copias de seguridad inmutables contra el ransomware

El patrón de ataque deliberado: cifrar o eliminar las copias de seguridad, y luego la producción

Los operadores de ransomware moderno han profesionalizado su manual de estrategias. Antes de activar la carga útil de cifrado en la producción, los atacantes pasan días mapeando la red en busca de brechas en la seguridad de la red: identificando el servidor de copia de seguridad, las credenciales de los empleados y las contraseñas dejadas en scripts, y la política de acceso que protege cada repositorio. Una vez que obtienen acceso y están en posición, primero desactivan o eliminan esas copias, y luego cifran los datos de producción.

La secuencia es deliberada. Una empresa que puede restaurar en pocas horas tiene pocos incentivos para pagar; una cuyas copias fueron eliminadas días antes no tiene tal opción, y el atacante cuenta con ello. Un ataque de este tipo no consiste solo en cifrar datos, sino en eliminar todas las rutas de restauración que tiene una empresa.

Por esto, una única credencial comprometida es ahora el mayor riesgo en una estrategia de protección. El control de acceso y sus protecciones de identidad, seguridad y operaciones son la primera línea de defensa, pero los piratas informáticos y los intentos de acceso no autorizado no se detienen ahí: una cuenta con acceso de escritura a un bucket de almacenamiento puede eliminar cada objeto y cada fecha de retención en cuestión de minutos, a menos que algo en la propia capa de almacenamiento rechace esa instrucción.

Cerrad la ruta de acceso: MFA, concienciación sobre phishing y simulacros de restauración

La inmutabilidad protege la copia, pero no protege la puerta por la que entró el atacante. Casi todos los incidentes comienzan con una credencial robada, y el phishing sigue siendo el método de entrega más común, generalmente un correo electrónico que parece rutinario. Tres controles son importantes en torno a la propia capa de almacenamiento.

Exigid MFA en la consola de almacenamiento y en cada cuenta que pueda cambiar una política de retención. La autenticación multifactor es el control de mayor valor aquí, porque el MFA rompe el paso de repetición de credenciales del que dependen los ciberataques de este tipo, y el MFA en la consola es rápido de implementar. Guardad las credenciales de servicio en un gestor de contraseñas, no en scripts, y comprobad que la rotación de contraseñas realmente ocurre. Ofreced al personal sesiones de formación periódicas sobre correos electrónicos sospechosos y gestores de contraseñas, para que un empleado que reciba uno lo notifique en lugar de abrirlo. El personal que conoce el modelo de amenazas es una defensa más barata que cualquier producto, y las amenazas que llegan a un empleado informado suelen detenerse ahí, y un informe del empleado es a menudo la señal más temprana que un empleado os da. Y ejecutad un simulacro de restauración de forma periódica: la única manera de identificar una ruta de recuperación rota es ejercitarla antes de que lo haga un incidente. Haced un seguimiento también de los intentos de eliminación en el bucket: un pico en las eliminaciones rechazadas es una señal temprana fiable de que las credenciales han sido comprometidas. Haced un seguimiento también de las actualizaciones de las políticas, ya que las actualizaciones de retención son lo primero que intenta un atacante.

Nada de esto sustituye a la segmentación de red o a la protección de endpoints en el lado de la producción, y no es un marco de ciberseguridad completo. Es la capa que evita que una sola cuenta de empleado comprometida se convierta en una interrupción de toda la empresa.

El ciberseguro y las auditorías ahora requieren copias inmutables demostrables

Las aseguradoras que renuevan las pólizas cibernéticas ahora hacen preguntas directas: ¿son esas copias inmutables?, ¿están aisladas lógicamente de la producción? y ¿podéis demostrar una prueba de restauración exitosa? Las empresas que no pueden responder con pruebas se enfrentan a primas más altas o a una póliza denegada. La mayoría de las empresas descubren esto en la renovación, no antes. El primer paso es establecer y documentar vuestros procesos de restauración de copias de seguridad, luego realizad pruebas de restauración periódicas y un seguimiento continuo para asegurar que sigan funcionando a medida que vuestro entorno cambia.

Los requisitos de cumplimiento han avanzado en la misma dirección, y también los cuestionarios de seguridad de datos de los clientes. Ya provenga de controles ISO 27001, auditorías específicas del sector o de la propia evaluación de riesgos de un cliente, "tenemos copias de seguridad" ya no es una respuesta aceptable. Toda organización que se enfrenta a las amenazas de ciberataques modernas necesita cada vez más demostrar que una copia de seguridad no puede ser alterada ni eliminada durante un periodo de retención definido, independientemente de qué empleados o cuentas lo intenten.

Esa evidencia es importante porque una copia de seguridad inmutable reduce de forma medible la posibilidad de que una credencial comprometida destruya tanto la producción como su ruta de restauración. El listón ha pasado de "existe una copia de seguridad" a "podemos demostrar una ruta de restauración que un atacante no puede destruir fácilmente".

Tres copias, dos tipos de soporte, una fuera de las instalaciones (y una inmutable)

La regla 3-2-1, tres copias en dos tipos de soporte con una fuera de las instalaciones, ha sido la base de la protección de datos durante una década, y la lógica se mantiene: si un sistema o ubicación falla, queda otra vía.

El ransomware cambia el cálculo. Si un atacante puede acceder a todas las copias a través de las mismas credenciales o la misma ruta de red, el «fuera de las instalaciones» por sí solo no protege vuestro negocio; simplemente traslada el riesgo a otro lugar. Es por eso que muchas empresas y equipos de copia de seguridad tratan ahora la regla como 3-2-1 más una copia inmutable: una copia de seguridad que sobrevive incluso después de que el resto del entorno haya sido comprometido.

Qué significa realmente «inmutable» en la capa de almacenamiento de objetos

La inmutabilidad no es un ajuste dentro de vuestro software, es una garantía aplicada por la capa de almacenamiento. Con Object Lock activado y un periodo de retención establecido, el sistema rechaza cualquier eliminación o sobrescritura hasta que expire dicho periodo, incluidas las solicitudes realizadas con acceso de administrador válido.

No importa si la solicitud utiliza una contraseña de empleado válida, una cuenta comprometida o el propio payload del ransomware: el sistema, por diseño, no permitirá el cambio. Eso protege la copia de la técnica exacta en la que se basa este malware, utilizando el acceso robado para modificar o borrar todo lo que puede alcanzar.

11 nueves de durabilidad y un SLA de disponibilidad del 99,99% en 3 AZ

Una copia de seguridad que no podéis restaurar rápidamente no es de mucha utilidad. Toda la infraestructura de Object Storage de OVHcloud está diseñada para ofrecer once nueves de durabilidad (99,999999999%), no solo en las regiones de 3 AZ, por lo que la pérdida de datos por fallo de hardware es extraordinariamente improbable dondequiera que resida la copia. El SLA de disponibilidad del 99,99% se aplica al modo de despliegue de 3 AZ. Los administradores necesitan que el destino de restauración esté disponible cuando se produzca un incidente de seguridad, no solo una prueba de que los datos estaban seguros de antemano. Es también la dimensión que los clientes valoran más alto: Estabilidad con 4,51/5 y disponibilidad con 4,50/5 en las puntuaciones NPS.

Sin tarifas de salida en la restauración entre servicios de OVHcloud

Restaurar un gran volumen de datos tras un incidente no debería añadir una factura impredecible a un evento ya de por sí costoso. No existen tarifas de salida entre los servicios de OVHcloud, por lo que restaurar en una instancia de Public Cloud, un servidor Bare Metal o cualquier otro recurso de OVHcloud no conlleva gastos de transferencia adicionales, y el coste de una restauración sigue siendo predecible. Eso facilita la presupuestación de la recuperación cuando el tiempo es lo más importante.

Estratifique su retención para controlar los costes: Standard → Active Archive → Cold Archive

No todas las copias necesitan la misma clase de almacenamiento durante el mismo periodo de tiempo. Las políticas de ciclo de vida mueven los objetos de Standard a Active Archive para una retención a medio plazo, y luego a Cold Archive para la retención normativa, mientras que Object Lock permanece vigente en todas las clases.
Active Archive cuesta alrededor de 4,5 € por TiB y Cold

Archive alrededor de 1,7 € por TiB, ambos muy por debajo de Standard para datos que rara vez restaura. Esa estratificación permite a su empresa mantener una política de retención inmutable de varios años para el cumplimiento normativo, ajustándose a la mayoría de los requisitos del sector, sin pagar tarifas de almacenamiento premium todo el tiempo. Revise y actualice periódicamente la política de ciclo de vida a medida que cambien los requisitos de retención o los volúmenes de datos.

Soberanía y cumplimiento: RGPD, HDS, ISO 27701, sin exposición a la CLOUD Act

Los datos de copia de seguridad suelen contener parte de la información más valiosa y sensible de una empresa: volcados de bases de datos, estado de aplicaciones, propiedad intelectual, instantáneas completas del sistema y, a veces, datos personales cubiertos por el RGPD. Dónde residen esos datos y qué jurisdicción legal se aplica es importante para la soberanía digital, la protección de datos y para los requisitos específicos del sector, como HDS o ISO 27701, incluso para operadores de infraestructuras críticas e industrias reguladas.

OVHcloud Object Storage está alojado y operado en centros de datos europeos, sin exposición a la CLOUD Act, ya que OVHcloud no es una empresa sujeta a los requisitos de divulgación de dicha ley. Las certificaciones actuales incluyen ISO 27001, 27017, 27018 y 27701 para la gestión de la privacidad, con la cualificación SecNumCloud para Object Storage en la hoja de ruta. Eso convierte este almacenamiento en parte de la gestión de riesgos, la postura de cumplimiento y las operaciones empresariales más amplias de la organización, no solo en una utilidad operativa.