¿Qué es el análisis de malware en copias de seguridad?
El análisis de malware en copias de seguridad es la inspección de los datos de copia en busca de software malicioso, ya sea al escribirlos o antes de restaurarlos. Su finalidad es evitar que una infección vuelva a producción junto con los datos y ayudar a identificar qué puntos de restauración son anteriores a un compromiso.
¿Por qué analizar las copias?
Los atacantes suelen estar dentro de una red días o semanas antes de actuar. Las copias hechas durante ese tiempo recogen fielmente todo lo que el atacante ha instalado: herramientas de acceso remoto, tareas programadas, archivos de sistema alterados. Restaurar la copia más reciente tras un ataque puede devolver el entorno a un estado que el atacante todavía controla. El análisis añade una comprobación entre la copia y su reutilización.
¿Cuándo y cómo se analizan las copias?
Los análisis pueden ejecutarse en varios momentos, cada uno con una cobertura y un coste distintos.
| Cuándo | Cómo | Ventaja | Límite |
|---|---|---|---|
| Durante la copia | Comprobaciones en línea sobre los datos a medida que se leen | Aviso temprano sin un trabajo adicional | Profundidad limitada, no debe ralentizar la copia |
| Después de la copia | Se monta el punto de restauración y se analiza con firmas antivirus | Aplica firmas actuales a datos antiguos | Lleva tiempo y cómputo |
| Antes o durante la restauración | Análisis integrado en el flujo de restauración | Impide que vuelva el malware conocido | Añade tiempo cuando el tiempo escasea |
| En una sala limpia | Restauración en una red aislada y posterior inspección | La inspección más profunda | La más lenta, requiere un entorno preparado |
¿Qué puede detectar el análisis y qué se le puede escapar?
El análisis basado en firmas encuentra el malware que ya se conoce. Por eso es valioso volver a analizar puntos de restauración antiguos con firmas nuevas: una herramienta desconocida el día de la copia puede reconocerse una semana después. Los indicadores que aporta un equipo de respuesta a incidentes pueden buscarse del mismo modo. Lo que se le escapa es todo lo que no tiene firma: herramientas a medida, software de administración legítimo usado con fines maliciosos y cambios de configuración. Por eso se combina con la detección de entropía y otras comprobaciones de anomalías, y con la investigación de cuándo empezó la intrusión.
¿Cómo encaja el análisis en la recuperación?
El resultado práctico del análisis es un juicio sobre cada punto de restauración: limpio hasta donde se puede saber, sospechoso o infectado. Ese juicio alimenta la elección de un punto de restauración limpio. Para que funcione, el historial de análisis debe guardarse donde el atacante no pueda alterarlo, y las propias copias deben ser inmutables, de modo que un punto que se sabe bueno siga ahí cuando haga falta. El artículo Elegir un punto de recuperación limpio trata la decisión.
Preguntas frecuentes
¿El análisis de las copias sustituye a la protección de los equipos?
No. La protección de los equipos busca detener una infección. El análisis de las copias busca evitar restaurarla.
¿Se pueden analizar copias cifradas?
Sí, lo hace el software de copia que tiene la clave, normalmente montando el punto de restauración. Un almacenamiento que solo ve datos cifrados no puede inspeccionar su contenido.
¿Un análisis sin hallazgos demuestra que un punto de restauración es seguro?
No. Muestra que no se ha encontrado malware conocido. Pueden seguir presentes herramientas desconocidas y cambios de configuración.