El ransomware moderno no cifra y confía en la suerte. Busca primero las copias, porque una víctima que puede restaurar no paga. Unidades asignadas, recursos de red montados, credenciales de nube tiradas en un archivo de configuración: todo eso se encuentra y se destruye antes de cifrar nada.

3-2-1, y por qué está cada número

  • 3 copias: los datos vivos y dos respaldos, para que perder uno deje todavía una copia.
  • 2 soportes o proveedores distintos: una caída de un proveedor o una cuenta suspendida no se lo lleva todo.
  • 1 fuera del sitio y fuera de alcance: la copia que el servidor comprometido no puede borrar.

Qué significa «fuera de alcance» en la práctica

# the server holds a key that can write and cannot delete
{
  "Effect": "Allow",
  "Action": ["s3:PutObject"],
  "Resource": "arn:aws:s3:::backups/*"
}
# object lock or versioning on the bucket, managed elsewhere

Una copia que el servidor puede borrar es una copia que el atacante puede borrar, porque en ese momento él es el servidor.

La trampa del recurso montado

Un recurso de red montado permanentemente en el servidor no es un destino de copias. Es una carpeta, y todo lo que llega a sus archivos llega a ella. Móntelo para la copia, desmóntelo después, o empuje hacia algo que solo acepte escrituras.

La retención tiene que durar más que el descubrimiento

El cifrado se dispara a menudo semanas después de la entrada. Siete días de retención significa que todas las copias que guarda se tomaron cuando ellos ya estaban dentro. Guarde copias mensuales durante un año.

Y pruebe la restauración

El momento en que la necesita es el peor posible para descubrir que el archivo está truncado o que el volcado no importa. Restaure una en una máquina de repuesto con regularidad: vea probar una restauración y cuando la copia también está corrupta.