Tras un ataque no se reconstruye sobre las mismas máquinas
Al día siguiente de un ataque de ransomware la pregunta no es si existe la copia, sino sobre qué la restaura. El entorno existente es prueba y sospechoso a la vez; restaurar encima es el error que provoca la segunda caída. Esta página trata del equipo que hace falta entonces y de con qué rapidez puede estar ahí.
Cuatro razones para no restaurar sobre el entorno existente
Las cuatro han sido alguna vez el motivo de que una recuperación hubiera que rehacerla.
- El entorno es pruebaPara la investigación de lo ocurrido, y para su aseguradora y su supervisor, los sistemas afectados deben quedar como están. Sobrescribirlos con una restauración borra la respuesta a cómo se entró.
- El atacante puede seguir dentroUn ataque empieza semanas antes del momento en que se nota. Restaurar sobre las mismas máquinas, con las mismas cuentas de administración, es restaurar en un entorno del que otro también tiene la llave.
- Aún no sabe qué ha sido tocadoEn los primeros días no se conoce el alcance. El equipo limpio es el único sitio donde tiene certeza de que lo que construye empieza limpio.
- El reloj correEsperar a que llegue hardware nuevo son días o semanas, y ese es justo el tiempo del que no dispone. Por eso esto se organiza de antemano y no el mismo día.
Del aviso a un entorno limpio
Cuatro pasos. El primero no es técnico y condiciona el resto.
Aislar y registrar
El entorno afectado sale de la red y se queda como está. Lo que hacemos a partir de ese momento queda registrado, porque después es el expediente para la aseguradora y la notificación.
Levantar equipo limpio
Servidores, almacenamiento y puestos que nunca han estado en ese entorno, montados en una red separada. Ahí empieza la recuperación.
Restaurar y verificar
Desde una copia de la que se ha establecido que es anterior a la infección, sistema por sistema, con verificación antes de que nada toque la red.
Migrar y recoger
Cuando el entorno funciona y ha sido liberado, el equipo temporal vuelve o se queda como nueva base. El equipo antiguo solo se borra cuando la investigación lo permite.
Tres cosas que convierten esto de días en horas
Ninguna de las tres cuesta mucho y ninguna se puede organizar después.
- Saber cuál es su mínimoQué sistemas deben volver primero y qué máquinas exige eso. Es una lista de media página que puede escribir hoy y no el día del incidente.
- Una copia que no se pueda alterarUna copia alcanzable desde el entorno afectado estaba, en ese momento, también afectada. Sin copia inmutable, el equipo limpio es una caja vacía.
- Entrega acordada de antemanoQuién suministra qué, en qué plazo y en qué condiciones. Negociar eso el mismo día cuesta las horas que podría haber dedicado a recuperar.
Lo que va con esto
El equipo de emergencia es el último paso de un plan que debe existir antes.
Preguntas que nos hacen sobre esto
Las más habituales, respondidas en breve.
¿Con qué rapidez puede haber equipos disponibles?
Depende por completo de lo que se haya organizado antes. Con un acuerdo por escrito y una lista de su mínimo, es cuestión de horas a un día. Sin esas dos cosas se empieza por inventariar y negociar, y entonces hablamos de días.
¿Por qué no podemos restaurar sobre nuestros propios servidores?
Por dos razones a la vez. El entorno afectado es prueba para la investigación, su aseguradora y la notificación, y sobrescribirlo la borra. Y el atacante puede seguir dentro: un ataque empieza semanas antes de que se note.
¿Hacen también la investigación de lo ocurrido?
No, el análisis forense es un oficio propio y colaboramos con él. Lo que hacemos es aislar el entorno sin dañar la prueba, levantar equipo limpio y ejecutar la recuperación, para que pueda seguir trabajando mientras la investigación avanza.
Organícelo antes de necesitarlo
Cuéntenos qué sistemas deben volver primero y dónde están sus copias. Recibirá una lista del equipo que hará falta y del plazo en que puede estar disponible.
Conocimiento práctico de TI en tu bandeja
Nuevas guías sobre gestión, seguridad y el puesto de trabajo, escritas por quienes hacen el trabajo. Sin discursos comerciales, y puedes darte de baja con un clic.