Ransomware, copias de seguridad y prueba de su plan

Últimamente, los titulares de las noticias parecen estar repletos de ataques de ransomware. Los empresarios están tomando nota y solicitando a sus proveedores de servicios gestionados (MSP) y departamentos de TI que mejoren sus programas de ciberseguridad y preparen planes de recuperación, a menudo denominados Continuidad de Negocio y Recuperación ante Desastres (BCDR), para recuperarse rápidamente de una brecha de seguridad. Sin embargo, la triste realidad es que muchos MSP y departamentos de TI solo hacen la mitad del trabajo.

Si bien las copias de seguridad son sin duda el primer paso para recuperarse de los ataques de ransomware , muchas empresas no comprenden la importancia de probar sus copias de seguridad y sus planes de continuidad del negocio y recuperación ante desastres (BCDR) para identificar las debilidades y los errores que suelen cometerse.

Las copias de seguridad son difíciles de hacer correctamente

Solo hay una manera de hacer copias de seguridad correctamente. Tienes los datos que quieres, accesibles cuando los necesitas, en el plazo que necesitas. Hay literalmente docenas de maneras de hacer copias de seguridad incorrectas. Sigue leyendo para descubrir muchos de los puntos de fallo más comunes.

Copias de seguridad no probadas

La triste realidad es que muchas empresas afectadas por ransomware creen tener copias de seguridad sólidas, pero no las probaron. Algunas se dan cuenta de que respaldaron datos incorrectos o pasaron por alto servidores críticos en ubicaciones inusuales.

Copias de seguridad exitosas que en realidad no funcionaron

Otros se dan cuenta recién cuando están restaurando desde una copia de seguridad que las copias de seguridad no funcionaron a pesar de informar que fueron exitosas. 

Restauraciones que tardan una eternidad

Finalmente, a medida que la cantidad de datos que todos usamos para administrar nuestros negocios crece exponencialmente, algunas empresas determinan que sus tiempos de restauración son inaceptablemente largos.

Según los expertos en ciberseguridad, la razón más común por la que las víctimas de ransomware pagan, incluso con copias de seguridad fiables, es que « nadie en la organización afectada se molestó en comprobar de antemano cuánto tiempo podría durar el proceso de recuperación de datos ». Demasiadas empresas dan por sentado que, simplemente por hacer copias de seguridad diarias, no corren el riesgo de pagar por la clave de descifrado. El problema es que no se dan cuenta de cuánto tiempo llevará la recuperación porque nunca han probado su procedimiento de copia de seguridad.

Cuando se le preguntó a Fabian Wosar, director de tecnología de Emsisoft, por qué las empresas tienen problemas para recuperar datos después de un ataque de ransomware:

De repente, la víctima se da cuenta de que tiene un par de petabytes de datos que restaurar por internet y se da cuenta de que, incluso con su rápida conexión, tardará tres meses en descargar todos los archivos de respaldo. Muchos equipos de TI ni siquiera calculan el tiempo que les tomaría restaurarlos desde el punto de vista de la velocidad de datos.

Fallas en la administración de claves de respaldo

Wosar continuó diciendo que la siguiente situación más común involucra a empresas que tienen copias de seguridad cifradas de sus datos fuera de sus instalaciones, pero se dan cuenta de que la clave digital necesaria para descifrar sus copias de seguridad estaba almacenada en la misma red local que fue cifrada por el ransomware.

Bill Siegel, director ejecutivo y cofundador de Coveware , una empresa que negocia los pagos de rescate para las víctimas de ataques de ransomware, dijo:

Puede ser que tengan 50 petabytes de copias de seguridad... pero están en unas instalaciones a 30 kilómetros de distancia... Y luego empiezan [a restaurar por cable de cobre desde esas copias de seguridad remotas] y va muy lento... y alguien saca una calculadora y se da cuenta de que va a tardar 69 años en restaurar lo que necesitan. O hay muchas aplicaciones de software que se usan para restaurar, y algunas de ellas están en la red cifradas. Entonces piensas: "Genial. Tenemos copias de seguridad, los datos están ahí, pero la aplicación para restaurar está cifrada". Así que hay un montón de pequeños detalles que pueden hacerte tropezar, que te impiden restaurar si no practicas.

Con tantas maneras de equivocarse con las copias de seguridad, ahora es el momento de poner orden antes de que un incidente crítico añada el estrés de una emergencia a tus esfuerzos para recuperar tus datos. Aquí tienes las recomendaciones de CyberHoot sobre copias de seguridad.

Entonces, ¿qué puede hacer?

Es vital que las organizaciones practiquen sus planes de Continuidad del Negocio y Recuperación ante Desastres (BCDR), utilizando simulacros para ensayar un escenario de copia de seguridad. Muchas víctimas se ven obligadas a reconstruir sus datos de una forma imprevista. Por ello, los simulacros son especialmente importantes. CyberHoot recomienda crear un Plan BCDR completo para definir el Objetivo de Punto de Recuperación (RPO) y el Objetivo de Tiempo de Recuperación (OTR). CyberHoot también recomienda el método de copia de seguridad 3-2-1 , que consiste en mantener tres copias de los datos (una principal y dos de respaldo), donde los archivos se guardan en dos tipos de soportes y una copia se almacena fuera de las instalaciones (puede ser en línea). Probar el plan BCDR al menos una vez al año ayudará a evitar muchos de los errores comunes que cometen las empresas.

Más allá de las copias de seguridad: consejos para prevenir el ransomware

Además de probar y documentar su BCDR con el método de respaldo 3-2-1, CyberHoot recomienda las siguientes prácticas recomendadas para proteger a las personas y las empresas contra los ataques cibernéticos en línea y limitar los daños que estos causan:

• Adoptar autenticación de dos factores en todos los servicios críticos accesibles a Internet
• Adopta un administrador de contraseñas para una mejor higiene de contraseñas personales y laborales
• Se requieren contraseñas de más de 14 caracteres en su Políticas de gobernanza
• Capacitar a los empleados Para detectar y evitar el correo electrónico phishing, ataques
• Verificar que los empleados Puede detectar y evitar correos electrónicos de phishing probándolos
• Lleve a cabo una evaluación de riesgos cada dos o tres años

Conclusiones sobre ransomware y copias de seguridad

El momento de resolver todos los problemas de tu plan de BCDR es cuando menos estrés sientes. Un ataque de ransomware es el momento menos apropiado para solucionar problemas de copias de seguridad. Probar tu plan de BCDR en tu tiempo, no en el de un hacker, es una muy buena idea. Te alegrarás de haberlo hecho.

Comience hoy mismo a construir su sólido plan de ciberseguridad con defensa en profundidad utilizando CyberHoot.

Para obtener más información sobre copias de seguridad y restauración de datos, mire este breve video:

Fuente: 

Krebs en Seguridad

Lecturas adicionales: 

El ransomware cierra el oleoducto

El Tesoro de EE. UU. prohíbe los pagos de ransomware