Estrategias de copia de seguridad: regla 3-2-1 y copias inmutables

Las copias de seguridad no son solo una cuestión operativa de TI: son un control de seguridad crítico que permite recuperarse directamente de ataques de ransomware, eliminaciones accidentales, fallos de hardware y sabotajes internos. Sin copias de seguridad probadas y fiables, los operadores de ransomware tienen todo el poder: pagar o perder los datos. Con copias de seguridad sólidas y protegidas, las organizaciones pueden recuperarse sin pagar el rescate. El examen Security+ incluye explícitamente la estrategia de copias de seguridad como parte de los requisitos de continuidad del negocio y protección de datos.

La regla de copias de seguridad 3-2-1 es la base estándar del sector para la resiliencia de las copias de seguridad. Deben existir 3 copias de los datos (el original y 2 copias de seguridad). Deben utilizarse 2 tipos diferentes de medios de almacenamiento (por ejemplo, disco local y cinta, o NAS local y la nube). 1 copia debe almacenarse fuera de las instalaciones o en una ubicación geográficamente separada. Esta configuración garantiza que ningún fallo individual —un fallo de disco, un desastre en el sitio o un robo— elimine todas las copias de los datos. La regla 3-2-1 ha sido el estándar de oro de las copias de seguridad durante dos décadas.

El ransomware ha puesto de manifiesto las deficiencias de la regla 3-2-1 clásica: si las tres copias son accesibles a través de la red, el ransomware las cifra todas. La regla mejorada 3-2-1-1-0 añade lo siguiente: una copia debe estar sin conexión o aislada físicamente de la red (air-gapped), y debe haber cero errores en las copias de seguridad (todas las copias deben probarse sin ningún fallo en las pruebas de restauración). La copia sin conexión garantiza que el ransomware —incluso con acceso de administrador del dominio— no pueda alcanzar y cifrar todas las copias de seguridad.

Las copias de seguridad inmutables se almacenan de forma que resulta imposible modificarlas o eliminarlas durante un periodo de retención especificado, incluso para administradores con acceso total. Los proveedores de nube implementan la inmutabilidad mediante políticas de object lock (WORM — Write Once, Read Many). AWS S3 Object Lock, el almacenamiento inmutable de Azure Blob y funciones similares impiden que cualquier llamada a la API elimine o sobrescriba objetos antes de que expire el periodo de bloqueo. Los grupos de ransomware que obtengan acceso de administrador del dominio no pueden eliminar las copias de seguridad inmutables, ni siquiera con el nivel más alto de credenciales de nube.

Los tres tipos de copias de seguridad equilibran la integridad de los datos con el coste de almacenamiento y la duración de la ventana de copia. Una copia de seguridad completa copia todos los datos cada vez: ofrece la restauración más rápida, pero consume más almacenamiento. Una copia de seguridad incremental copia únicamente los datos modificados desde la última copia de seguridad de cualquier tipo: es la más rápida de crear y la que menos almacenamiento ocupa, pero para restaurarla se necesita la última copia completa y todas las incrementales. Una copia de seguridad diferencial copia todos los datos modificados desde la última copia completa: el almacenamiento crece de forma moderada y para restaurarla solo se necesita la última copia completa y la diferencial más reciente.

Los archivos de copia de seguridad deben estar cifrados: las cintas enviadas a un almacenamiento externo o las copias de seguridad en la nube son objetivos para los atacantes que buscan datos confidenciales. Utilice cifrado AES-256 para los datos de las copias de seguridad en reposo. Es fundamental que las claves de cifrado de las copias de seguridad se almacenen por separado de las propias copias: cifrar las copias con una clave de la que también se ha hecho una copia en la misma ubicación anula el propósito de la medida. Almacene las claves de cifrado en un Hardware Security Module (HSM) o en un servicio de gestión de claves independiente del sistema de copias de seguridad.

Los sistemas de copias de seguridad deben estar aislados de la red de producción. Si los servidores de copias de seguridad están unidos al dominio de Active Directory de los servidores de producción, el ransomware con credenciales de administrador del dominio puede acceder al almacenamiento de copias y cifrarlo. Entre las prácticas recomendadas se incluyen: colocar los servidores de copias de seguridad en un segmento de red independiente sin acceso desde los servidores de producción, utilizar credenciales específicas para las copias de seguridad que no sean cuentas de administrador del dominio, implementar MFA en el servidor de copias de seguridad para el acceso administrativo y considerar un dominio de copias de seguridad independiente que no tenga una relación de confianza con el dominio de producción.

Los servicios de copias de seguridad en la nube proporcionan almacenamiento externo con opciones de inmutabilidad y simplifican la implementación de la regla 3-2-1. AWS Backup, Azure Backup y Google Cloud Backup and DR se integran con servicios en la nube y proporcionan una gestión centralizada de políticas. Servicios de terceros como Veeam, Rubrik y Cohesity ofrecen copias de seguridad nativas de la nube con repositorios inmutables, copias en bóvedas aisladas y detección de ransomware que analiza los datos de las copias para identificar anomalías de entropía relacionadas con el cifrado, y envía alertas antes de que finalice un ataque de ransomware a gran escala.

Muchas organizaciones descubren durante un incidente de ransomware que sus copias de seguridad están dañadas o no se pueden restaurar: un descubrimiento catastrófico en el peor momento posible. Las pruebas de las copias de seguridad deben ser una actividad programada y periódica. Entre los métodos de prueba se incluyen: verificación automatizada de la restauración (restaurar diariamente una muestra de archivos y verificar las sumas de comprobación), restauraciones completas periódicas en un entorno de pruebas aislado (restaurar trimestralmente una base de datos y probar el inicio de la aplicación) y simulacros de DR, en los que el equipo sigue el DRP desde la copia de seguridad hasta la ejecución de la producción en una infraestructura alternativa. Documente el resultado de cada prueba.

El esquema de retención Grandfather-Father-Son (GFS) organiza la retención de las copias de seguridad en distintos horizontes temporales. Las copias Son son diarias (se conservan durante 1 semana y después se sobrescriben). Las copias Father son copias completas semanales (se conservan durante 1 mes). Las copias Grandfather son copias completas mensuales (se conservan durante 1 año o más). GFS permite restaurar los datos del día anterior, de la semana pasada o del mes pasado, equilibrando la flexibilidad de recuperación con el coste de almacenamiento. Muchos marcos de cumplimiento exigen una retención de estilo GFS para mantener la pista de auditoría.

Los fallos de las copias de seguridad son desastres silenciosos: un trabajo de copia que falla silenciosamente durante semanas implica que no existe protección cuando más se necesita. La supervisión de las copias de seguridad debe realizar un seguimiento de los siguientes aspectos: si cada trabajo de copia programado se completó correctamente, si el tamaño de la copia está dentro del intervalo esperado (una copia sospechosamente pequeña puede indicar un fallo parcial), si el acceso a la clave de cifrado de la copia se realizó correctamente y si la copia se transfirió a todos los destinos necesarios (local y externo). Las alertas deben activarse inmediatamente ante cualquier trabajo fallido, con una escalada si los fallos persisten más allá de un solo intento. Trate una copia de seguridad fallida como un incidente de prioridad 2.

Ponga a prueba su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que: la regla 3-2-1 exige 3 copias en 2 tipos de medios, con 1 copia externa; la regla mejorada 3-2-1-1-0 añade una copia sin conexión o inmutable y exige cero fallos de restauración; y el almacenamiento inmutable/WORM impide que el ransomware destruya las copias de seguridad, incluso con credenciales administrativas completas. A continuación, exploraremos las pruebas de conmutación por error mediante ejercicios de simulación y simulacros de DR para validar que los planes de recuperación funcionan en la práctica.