Una estrategia de copias de seguridad mal planteada podría exponerte al riesgo de sufrir una extorsión
En una entrada anterior del blog sobre la complacencia con la nube y los riesgos para Microsoft 365, hablamos de la peligrosa suposición de que, si los datos están «en la nube», automáticamente se guardan copias de seguridad y están protegidos.
Pero eso entra en conflicto con el modelo de responsabilidad compartida de los proveedores de servicios en la nube. Estos dejan claro que los clientes deben encargarse de organizar sus propias copias de seguridad.
Así que has hecho todo lo necesario. Entiendes el modelo, has puesto en marcha copias de seguridad y te sientes protegido. Ahora estás a salvo, ¿verdad?
Quizás no.
Los delincuentes están tras esas copias de seguridad y, debido a la evolución de las amenazas, la forma en que se realizan las copias de seguridad es igual de importante.
La nube se ha convertido en el centro de datos de las pymes
Durante años, las organizaciones han apostado por los servicios en la nube por su flexibilidad, escalabilidad y facilidad de gestión. Como resultado, las empresas no se han limitado a incorporar servicios en la nube, sino que, en la práctica, han trasladado allí su centro de datos. Según Cloudtech, más de dos tercios de las cargas de trabajo y los datos se encuentran ahora en la nube.
El problema es que los delincuentes lo saben y se han adaptado a ello.
Según el Informe sobre amenazas globales de CrowdStrike de 2024, se ha registrado un aumento del 75 % en las intrusiones en la nube, y el 62 % de ellas se deben al uso indebido de cuentas válidas.
La tendencia es clara. En lugar de recurrir únicamente al malware, los atacantes se centran cada vez más en las identidades y aprovechan el acceso legítimo. Y gracias a la inteligencia artificial, están acelerando y repitiendo estos ataques más rápido que nunca.
El objetivo ya no es simplemente cifrar datos. Se trata de hacerse con el control de los sistemas críticos de la empresa y crear una ventaja para la extorsión.
Los atacantes están rastreando los datos
A medida que los datos se han ido trasladando a plataformas en la nube y aplicaciones SaaS, la superficie de ataque ha cambiado con ellos. Hoy en día, los ciberdelincuentes adaptan cada vez más sus tácticas para atacar las identidades y, a continuación, comprometer las copias de seguridad, lo que significa que la estrategia de recuperación se vuelve tan crucial como la prevención.
Si un atacante consigue el control de una cuenta con privilegios, a menudo puede eludir los controles de seguridad tradicionales y acceder a los sistemas de producción, las herramientas administrativas y las copias de seguridad. A partir de ahí, puede desactivar, modificar o eliminar puntos de recuperación, lo que aumenta drásticamente el impacto de un incidente.
Los resultados son preocupantes: el 94 % de las víctimas ven cómo los atacantes se centran en sus copias de seguridad. Los delincuentes saben que, para muchas empresas, estas copias eran su «póliza de seguro» y que, si se las quitan, no tienen nada a lo que recurrir. Esto las deja vulnerables a la extorsión.
Si los atacantes controlan tu inquilino, controlan tus copias de seguridad
Como dice el viejo refrán: no pongas todos los huevos en la misma cesta.
Un error de diseño habitual en los entornos en la nube es almacenar las copias de seguridad dentro del mismo inquilino y del mismo perímetro de seguridad que las cargas de trabajo de producción. Cuando esto ocurre, las copias de seguridad suelen heredar las mismas identidades, permisos y controles administrativos que los sistemas que deben proteger. Si una cuenta se ve comprometida, también lo están las copias de seguridad.
No puedes confiar en que proveedores como Microsoft impidan este tipo de intrusiones. Es posible que te ayuden a implementar medidas para mitigar las violaciones de seguridad, pero, al fin y al cabo, solo son responsables de la disponibilidad de la plataforma. Los datos, las identidades, las configuraciones y el uso que se haga de esos servicios siguen siendo, en última instancia, responsabilidad del cliente.
Quizás lo más importante es que las plataformas en la nube no pueden determinar la intención. Si se realiza una solicitud utilizando credenciales válidas y permisos suficientes, la plataforma no tiene ninguna forma fiable de saber si la acción la está llevando a cabo un empleado autorizado o un atacante que utiliza credenciales robadas.
Construir para la resiliencia
Aquí es donde entra en juego la ciberresiliencia. No se trata solo de prevenir incidentes, sino de diseñar entornos de tal manera que, cuando ocurra algo, se pueda contener, recuperarse rápidamente y mantener el negocio en funcionamiento.
Cuando hablamos de ciberresiliencia en la nube, todo se reduce, en realidad, a unos pocos principios fundamentales.
Unos controles rigurosos de identidad y acceso reducen la probabilidad de que se produzca una violación de la seguridad, pero la resiliencia también exige proteger las propias copias de seguridad mediante la inmutabilidad y el aislamiento.
Una vez más, la formación 3-2-1-1-0 es la defensa más sólida:
- 3 copias de los datos (para protegerse contra la pérdida de datos)
- 2 formatos diferentes (almacenados en al menos dos tipos de soportes)
- 1 copia externa (para protegerse frente a desastres físicos)
- 1 copia inmutable (que garantiza copias de seguridad a prueba de ransomware)
- No hay duda de que podrás recuperarte (las pruebas periódicas garantizan la fiabilidad)
El uso de tecnologías como el almacenamiento WORM (write once read many) o las instantáneas inmutables implica que, aunque un atacante consiga privilegios de administrador, no podrá modificar ni eliminar fácilmente tus puntos de recuperación.
Es fundamental comprobar cómo va tu recuperación
Este es el «0» del enfoque 3-2-1-1-0. No se trata solo de tener copias de seguridad, sino de si eres capaz de recuperarte cuando algo sale mal. Si no lo has probado, validado y demostrado que puedes restaurar los datos rápidamente, en realidad solo estás cruzando los dedos para que funcione cuando más lo necesites.
Y ahí es donde empieza el reto. Muchas organizaciones dan por hecho que podrán recuperarse, pero sin un plan de recuperación ante desastres probado, esa suposición se convierte en una apuesta arriesgada. Las empresas que carecen de él suelen tardar semanas en recuperarse de un ataque.
Las tres preguntas que debes saber responder son:
- ¿Mis copias de seguridad son realmente útiles?
- ¿Dónde puedo restaurar mis cargas de trabajo si el entorno principal se ve comprometido?
- ¿En qué medida se puede automatizar el proceso de recuperación, en lugar de tener que reconstruirlo manualmente bajo presión?
Si no puedes responder a esas preguntas con seguridad, estás dejando tus datos expuestos a un ataque de rescate.
Lee «La guía definitiva sobre BCDR» de Datto : Por qué son importantes las copias de seguridad y la recuperación ante desastres
