Qué capas son realmente imprescindibles contra un ataque de ransomware — ¿prioridad en una pequeña empresa?

Abandonad esta misma noche el método de respaldar a mano en un disco externo una vez por semana. En la mayoría de los casos que vemos, ese disco externo suele quedarse olvidado conectado al servidor y en el momento del ataque se cifra junto con la base de datos principal. El entorno de respaldo tiene que estar totalmente desconectado del sistema operativo, lógica o físicamente. Cuando el atacante entra en tu sistema, lo primero que busca son las unidades de respaldo conectadas.

El lunes por la mañana hay tres cosas q puedes hacer sin gastar ni un céntimo: 1) No dejes puertos abiertos al exterior en el servidor, cierra el puerto de escritorio remoto desde el módem. 2) Quita los permisos de administrador a los usuarios. 3) Activa la verificación en dos pasos como obligatoria en todas las cuentas de correo. La mayoría de los ransomware se cuelan usando estos tres agujeros.

El año pasado pasamos por algo parecido en nuestra oficina de 18 personas. Gastamos 52.000 TL en total: compramos un dispositivo de almacenamiento en red independiente de dos bahías, espacio de copia de seguridad en nube en frío y licencia de antivirus centralizado para 20 usuarios. Limitamos el acceso al servidor de contabilidad solo a los 3 ordenadores correspondientes. Hace dos meses un empleado ejecutó un archivo de factura malicioso, pero como no tenía permisos locales, el cifrado se quedó limitado a unos pocos archivos temporales de su propio escritorio, a la base de datos principal no le pasó nada.

Nosotros sincronizamos la carpeta de contabilidad a una unidad en la nube compartida. Si entra un virus al ordenador y cifra esos archivos ¿la nube lo detecta como versión nueva y guarda la versión cifrada, o eso cuenta como copia de seguridad?

Respondo a la pregunta del miembro novato: Sí, las herramientas de sincronización detectan el archivo cifrado como un cambio nuevo y lo suben a la nube al instante. Aunque los proveedores de nube permiten recuperar versiones anteriores desde el historial, para miles de archivos ese proceso tarda días y a veces las versiones tb se corrompen. Copia de seguridad y sincronización no son lo mismo; contra el ransomware hace falta una copia de seguridad unidireccional con 'bloqueo de versión' donde solo el software de backup pueda escribir.

Desconfía de la propuesta de los consultores de enterrar tus 80.000 liras ya mismo en dispositivos y cajas caras. Por mucho hardware avanzado q compres, cuando alguien de dentro aprueba un correo falso desde una cuenta con permisos, la mayoría de esos dispositivos se saltan. En equipos pequeños la verdadera inversión en seguridad no es hardware caro, sino autorización estricta y backup offline.

lo q le pasó a tu vecino ha sido toda una lección, se puede decir q salisteis baratos pero hasta q no te pasa a ti sigues confiando en el disco externo. el presupuesto para 22 personas es más q suficiente en realidad, no te asustes. en vez de ahogarte en hadrware primero asegura los datos lo demás viene paso a paso.

El consenso colectivo es claro: 1) Dejar de hacer copias manuales al disco externo y montar un backup independiente e inmutable es la mayor prioridad. 2) Cerrar las conexiones de escritorio remoto abiertas al exterior y activar la verificación en dos pasos es el primer escudo sin coste. 3) Quitar los permisos de administrador local evita q se propague la infección. Con el presupuesto restante tb hay q completar la segmentación básica de red y la licencia de protección centralizada.

Yo pasé por esto, déjenme contarlo. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Si decidimos sin medir, siempre acabamos en el mismo punto. Eso es todo, disculpa si me he extendido demasiado.

Tienes razón, yo también pasé por lo mismo. Si no lo pones por escrito desde el principio, luego surgen discusiones.

Por supuesto, cambia si tu situación es diferente.

Le agradecería que compartiera el resultado.

Os explico cómo se hace en la práctica. Una copia de seguridad no probada no es una copia de seguridad.

Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción. Eso es todo, disculpa si me he extendido demasiado.

tema muy oportuno.

¿Podría ampliar un poco esto? La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

No tengáis miedo de preguntar, quien no pregunta siempre paga más caro. Eso es todo, disculpa si me he extendido demasiado.

Si lo ves como un proceso, el panorama cambia. El error cometido por medida contra ransomware suele ser reversible, pero caro.

Yo seguiría por ese camino.

Gracias por escribir esto, es lo correcto. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Lo dejo como nota, por si sirve.

Tiene razón. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Comprobado por experiencia.

Resumen breve para nuevos usuarios: Las decisiones apresuradas son las que hay que corregir seis meses después.

Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola. Si tenéis dudas, escribid, os responderé en la medida de lo posible.