¿Qué es la detección de entropía?
La detección de entropía es una técnica para descubrir ransomware midiendo la aleatoriedad de los datos. Los datos cifrados son estadísticamente casi aleatorios, así que un aumento repentino de la aleatoriedad de archivos o de bloques de copia indica que algo los está cifrando.
¿Qué es la entropía en este contexto?
La entropía es una medida de la imprevisibilidad de una secuencia de bytes. El texto, las bases de datos y la mayoría de los documentos contienen patrones y repeticiones, lo que les da una entropía baja o moderada. Los datos comprimidos y cifrados han perdido sus patrones y puntúan cerca del máximo. Un servidor de archivos cuyos documentos pasan de una entropía moderada a una casi máxima de la noche a la mañana ha sido cifrado con toda probabilidad.
¿Cómo se usa la detección de entropía con las copias de seguridad?
El software de copia ve cada noche todos los bloques modificados, lo que lo convierte en un buen lugar para vigilar el cifrado. Suelen combinarse varias señales.
| Señal | Qué indica |
|---|---|
| Aumento de la entropía de los bloques modificados | Los datos se están sustituyendo por contenido cifrado |
| Incremental inusualmente grande | Han cambiado muchos más datos que en un día normal |
| Caída de la ratio de compresión o deduplicación | Los datos nuevos ya no se reducen, como ocurre con los datos cifrados |
| Renombrados masivos de archivos o extensiones nuevas | Típico del ransomware que cifra archivos |
| Notas de rescate o nombres de archivo conocidos | Indicador directo hallado al inspeccionar el contenido |
¿Cuáles son los límites de la detección de entropía?
La entropía por sí sola no distingue el cifrado malicioso de los datos legítimos de alta entropía. Los archivos comprimidos, las imágenes, el vídeo y los archivos cifrados a propósito tienen el mismo aspecto. Un sistema que empieza a almacenar ese tipo de datos dispara una alerta sin que haya ningún ataque. Además, algunos ransomware cifran solo una parte de cada archivo, o trabajan despacio, precisamente para quedar por debajo de los umbrales. La detección de entropía es, por tanto, un aviso para investigar y es más sólida cuando coinciden varias señales. También informa de un cifrado que ya se ha producido, lo que la convierte en un control de detección y no de prevención.
¿Cómo ayuda a la recuperación?
Su valor para la recuperación es el momento. Un registro de cuándo empezó a subir la entropía en cada sistema señala el último punto de restauración tomado antes de que comenzara el cifrado, lo que acota la búsqueda de un punto de restauración limpio. Combinada con el análisis de malware en copias de seguridad y con las conclusiones de la investigación del incidente, ayuda a decidir desde dónde restaurar. El registro de detección debe guardarse donde un atacante no pueda borrarlo, y los puntos de restauración a los que se refiere deben ser inmutables.
Preguntas frecuentes
¿Una entropía alta significa siempre ransomware?
No. Los archivos comprimidos, cifrados y multimedia tienen una entropía alta por naturaleza. La señal relevante es un cambio inesperado.
¿Puede el almacenamiento detectar la entropía en copias cifradas?
No de forma útil. Si el software de copia cifra los datos antes de escribirlos, todo lo que recibe el almacenamiento parece aleatorio. La detección tiene que hacerse antes de ese cifrado.
¿La detección de entropía detiene un ataque?
Genera una alerta. Detener el ataque depende de la respuesta posterior.