Nuestro servidor recibió una alerta de riesgo de ransomware, ¿qué debemos preparar antes de que nos pase?

Mover el puerto RDP del 3389 a otro puerto no aporta seguridad, solo entretiene a los bots automáticos unas horas. Solución: cierren RDP por completo al internet público, den acceso solo por VPN con restricción de IP y doble verificación (MFA). Solo este paso ya reduce seriamente su riesgo de ataque.

Hacer copias de seguridad en un NAS de la misma red local es casi lo mismo que no hacer ninguna. Los ransomware, tras entrar al servidor, escanean la red, encuentran los recursos compartidos de Windows y primero borran o cifran los archivos de respaldo que hay allí. Su unidad de respaldo no debe tener ninguna conexión directa con la red de producción.

El año pasado entraron igual, por RDP, al servidor de almacén de un cliente. Empezaron a las 02:00 de la noche; cuando llegó contabilidad por la mañana toda la base de datos de facturas tenía extensión '.locked'. También borraron el respaldo del último año en el NAS. Estuvieron 4 días sin poder enviar nada las pérdidas llegaron a cientos de miles de riyales.

Lo que deben hacer hoy mismo: hagan una imagen completa del sistema y un respaldo de la base de datos en un disco USB externo, luego guarden ese disco bajo llave en un armario. Esa es la única garantía de poder volver con una pérdida máxima de 1 día de datos incluso si su sistema sufre un ataque esta noche.

si llegó la alerta, los atacantes probablemente ya descubrieron el puerto y están probando contraseñas. en fin sin perder tiempo cambien las contraseñas de admin por unas complejas de al menos 16 caracteres y cambien el nombre del usuario 'administrator' que viene por defecto en el sistema.

Nota: esto es mi experiencia, puede no aplicar a todos.

Como parte de la preparación corporativa se debe crear un Plan de Respuesta a Incidentes dentro de la empresa. Hay que dejar por escrito de antemano qué personal tiene autoridad ante una sospecha de infección, cómo se cortará la conexión a internet y el protocolo de recuperación de datos.

No se confíen ni se relajen pensando que el antivirus basta. Los ransomware modernos actúan después de obtener los privilegios para desactivar el antivirus en el servidor sin hacer ruido. El software de seguridad es un escudo, pero si dejan la puerta abierta ningún escudo sirve.

Hay algo que no entiendo. Las decisiones apresuradas son las que hay que corregir seis meses después.

También me gustaría saber si alguien lo hace de otra manera.

Gracias, me ha servido de mucha ayuda. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Eso es todo, disculpa si me he extendido demasiado.

El camino que parece barato suele salir caro a la larga. Las decisiones apresuradas son las que hay que corregir seis meses después.

Ánimo.

A nosotros también nos pasa. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Hay que ir paso a paso. Una copia de seguridad no probada no es una copia de seguridad.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Resumen breve para nuevos usuarios: Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Ánimo.

yo tamibén tengo curiosidad.

Muchas gracias, lo probaré hoy.

Gracias, me ha servido de mucha ayuda.

Voy a contar mi experiencia. El tiempo que tardas en detectar un problema determina directamente su coste.

Entrando en detalle: Intentar hacerlo solo es la vía más cara.