¿Qué es un punto de restauración limpio?
Un punto de restauración limpio es una copia de seguridad que puede restaurarse sin traer de vuelta malware, cuentas creadas por el atacante u otros rastros de un compromiso. Tras un incidente de ransomware suele ser el punto de restauración más reciente anterior al inicio de la intrusión, que a menudo no es el más reciente que existe.
¿Por qué el punto de restauración más reciente no siempre está limpio?
El tiempo entre el primer acceso de un atacante y el ataque visible se conoce como tiempo de permanencia, y suele ir de días a semanas. Cada copia hecha en esa ventana registra el sistema tal como lo dejó el atacante. Restaurar una de ellas recupera a la vez los datos y el punto de apoyo del atacante. El punto de restauración que importa es el último anterior al primer acceso, o el último del que pueda demostrarse que está libre de los cambios del atacante.
¿Cómo se identifica un punto de restauración limpio?
Ninguna prueba por sí sola demuestra que un punto de restauración está limpio. Los equipos combinan varias fuentes de evidencia.
| Evidencia | Qué aporta |
|---|---|
| Cronología de la investigación del incidente | Fecha estimada del primer acceso |
| Análisis de malware | Herramientas conocidas halladas o no en cada punto |
| Historial de entropía y de tasa de cambio | Cuándo empezó el cifrado en cada sistema |
| Indicadores de compromiso | Archivos, cuentas o tareas concretos que buscar |
| Restauración de prueba en aislamiento | Si el sistema arranca y se comporta con normalidad |
¿Sirve el mismo punto para todos los sistemas?
Normalmente no. Los sistemas se comprometen en momentos distintos, y los datos y el código ejecutable conllevan riesgos diferentes. Un enfoque habitual restaura los sistemas operativos y las aplicaciones desde antes del primer acceso, o los reconstruye a partir de medios de confianza, y restaura los datos de negocio desde el punto más reciente, ya que los archivos de datos rara vez contienen las herramientas del atacante. Así la pérdida de datos es pequeña y se elimina el punto de apoyo. Exige poder restaurar los datos por separado de la imagen del sistema, por ejemplo mediante la restauración a nivel de archivo o la recuperación a nivel de base de datos.
¿Qué exige esto al almacenamiento de copias?
Encontrar un punto limpio solo sirve si ese punto todavía existe. La retención tiene que llegar más atrás que el tiempo de permanencia probable, lo que aconseja semanas de historial y no días. Los puntos de restauración tienen que ser inmutables, porque los atacantes intentan borrar las copias antes de atacar. Y restaurar primero en un entorno aislado, una sala limpia, permite inspeccionar antes de que nada toque producción. El artículo Elegir un punto de recuperación limpio describe el proceso de decisión.
Preguntas frecuentes
¿Cuánto hay que retroceder para encontrar un punto de restauración limpio?
Depende del tiempo que el intruso estuvo presente. Planificar varias semanas de puntos de restauración retenidos e inmutables cubre la mayoría de los casos.
¿Se puede limpiar un punto de restauración en lugar de retroceder más?
A veces. Un sistema puede restaurarse en aislamiento, sanearse y devolverse después a producción, pero eso depende de encontrar todo lo que cambió el atacante.
¿Quién decide qué punto de restauración usar?
El responsable de la respuesta al incidente, con la aportación del equipo forense, del equipo de copias y de los responsables de los sistemas afectados.