Última línea de defensa
Backup inmutable: copias que nadie puede borrar
El ransomware moderno no se limita a cifrar los datos: antes busca y elimina las copias de seguridad para que no exista alternativa a pagar el rescate. La inmutabilidad basada en tecnología WORM y object lock impide ese borrado, incluso si el atacante llega a controlar credenciales administrativas válidas.
Por qué el backup se ha convertido en el primer objetivo
En los ataques de ransomware con más impacto, el cifrado de los ficheros de producción es la última fase, no la primera. Antes de llegar a ese punto, el atacante suele dedicar tiempo a localizar los repositorios de backup, hacerse con credenciales con permisos suficientes y eliminar o cifrar también esas copias. El objetivo es sencillo: si no queda ninguna copia recuperable, la negociación del rescate se vuelve mucho más favorable para el atacante.
La inmutabilidad rompe ese plan. Cuando una copia se escribe con un bloqueo WORM activo, ningún usuario, ni siquiera uno con privilegios de administrador total sobre el sistema de backup, puede modificarla o eliminarla antes de que expire el periodo de retención configurado. La protección no depende de un permiso que se pueda escalar, sino de una restricción aplicada a nivel del propio almacenamiento.
Cómo se implementa la inmutabilidad
El mecanismo se apoya en almacenamiento de objetos con capacidad de bloqueo, integrado con la herramienta de backup existente.
- 01
Repositorio de objetos con object lock
El destino de backup se configura sobre almacenamiento que soporta bloqueo WORM a nivel de objeto.
- 02
Definición del periodo de retención
Se establece durante cuánto tiempo cada copia permanece inmutable antes de poder expirar de forma natural.
- 03
Escritura bloqueada
Cada copia enviada queda protegida contra modificación y borrado desde el mismo instante en que se completa.
- 04
Verificación de restauración
Se comprueba periódicamente que las copias inmutables son recuperables, no solo que existen y están bloqueadas.
La regla 3-2-1-1-0 explicada
3 copias
El dato original más al menos dos copias adicionales, para no depender nunca de una única versión.
2 soportes distintos
Almacenamiento de tipo diferente, de forma que un fallo específico de una tecnología no afecte a todas las copias.
1 copia fuera de sitio
Al menos una copia alojada fuera de las instalaciones donde está el dato original.
1 copia inmutable o desconectada
Una copia que ni un ataque en curso ni un administrador comprometido puedan eliminar.
0 errores verificados
Restauraciones de prueba periódicas que confirmen que las copias funcionan de verdad, sin errores pendientes.
Aplicación conjunta
Las cinco condiciones se cumplen a la vez, no de forma alternativa, para tener una garantía real de recuperación.
Backup convencional frente a backup inmutable
| Escenario | Repositorio convencional | Repositorio inmutable |
|---|---|---|
| Credenciales de administrador comprometidas | El atacante puede borrar las copias | El borrado queda bloqueado durante la retención |
| Ransomware con cifrado de red completa | Riesgo de que la copia también se cifre o borre | La copia permanece intacta y disponible |
| Error humano de un operador | Un borrado accidental puede ser irreversible | El bloqueo evita el borrado incluso accidental |
| Cumplimiento de la regla 3-2-1-1-0 | No cubre el requisito de copia inmutable | Cumple directamente ese requisito |
| Negociación en un incidente de ransomware | Posición débil si no hay copias disponibles | Posición sólida: existe una vía de recuperación real |
Dónde se aplica en la práctica
La inmutabilidad tiene sentido sobre cualquier destino de backup crítico: la copia de un NAS, la réplica de máquinas virtuales enviada mediante Veeam Cloud Connect, el backup de servidores físicos o las copias transaccionales de una base de datos. El principio es el mismo en todos los casos: la copia más reciente y las de los días previos deben quedar fuera del alcance de cualquier borrado, autorizado o no.
La inmutabilidad no sustituye a la vigilancia
Tener copias inmutables garantiza que existirá una vía de recuperación, pero no evita que el ataque ocurra ni acorta el tiempo que los sistemas de producción permanecen afectados. Por eso conviene combinarla con vigilancia continua que detecte el intento de ataque en sus primeras fases, antes de que llegue a intentar tocar siquiera el backup.
Preguntas frecuentes
Dudas habituales de los responsables de IT y dirección antes de contratar.
¿Qué significa que una copia sea inmutable?
Que durante un periodo determinado no puede ser modificada, cifrada ni eliminada por nadie, ni siquiera por un administrador con credenciales válidas o por el propio proveedor del servicio, gracias a un bloqueo aplicado a nivel de almacenamiento.
¿Qué es la tecnología WORM aplicada al backup?
WORM significa 'write once, read many': una vez escrito el dato, solo puede leerse, nunca sobrescribirse ni borrarse hasta que expire el periodo de retención configurado, lo que ofrece una garantía técnica y no solo un permiso de usuario.
¿En qué se diferencia de object lock?
Object lock es el mecanismo concreto que implementan los sistemas de almacenamiento de objetos para aplicar la inmutabilidad WORM sobre cada objeto guardado, definiendo una fecha hasta la cual ese objeto no puede alterarse.
¿Qué es la regla 3-2-1-1-0?
Una evolución de la clásica regla 3-2-1: al menos tres copias de los datos, en dos soportes distintos, una de ellas fuera de las instalaciones, una de ellas inmutable o desconectada, y cero errores verificados en las restauraciones de prueba.
¿La inmutabilidad protege frente a un administrador con credenciales robadas?
Sí, y ese es precisamente su propósito principal: si un atacante obtiene credenciales administrativas y trata de eliminar las copias antes de lanzar el cifrado, el bloqueo de inmutabilidad impide ese borrado durante el periodo configurado.
¿Se puede aplicar inmutabilidad a cualquier tipo de copia?
Se aplica de forma más habitual sobre repositorios de almacenamiento de objetos usados como destino de backup de servidores, máquinas virtuales o bases de datos, y también sobre réplicas offsite como las de Veeam Cloud Connect.
¿Cuánto tiempo debe durar el periodo de inmutabilidad?
Debe ser al menos superior al tiempo medio que un atacante permanece dentro de una red antes de lanzar el cifrado, de forma que exista siempre una copia anterior al ataque que no haya podido eliminarse.
¿La inmutabilidad sustituye a otras medidas de seguridad?
No. Es una capa adicional que actúa como última línea de defensa cuando las medidas preventivas han fallado; sigue siendo necesario el control de accesos, la vigilancia continua y la verificación periódica de restauraciones.
Servicios relacionados
- Backup para empresasLa estrategia general sobre la que se aplica la inmutabilidad.
- Veeam Cloud ConnectRepositorio externo donde activar el bloqueo de inmutabilidad.
- Backup de servidoresProtección con imagen completa combinada con retención inmutable.
- Backup de máquinas virtualesRéplicas de VM que también pueden protegerse con object lock.
- SOC gestionadoVigilancia continua que detecta el ataque antes de que llegue al backup.
- Disaster RecoveryEl plan que se activa cuando hace falta restaurar desde la copia inmutable.
Comprobemos si tus copias resistirían un ataque de ransomware
Revisamos tu esquema de retención actual frente a la regla 3-2-1-1-0 y qué falta para activar inmutabilidad real. Sin compromiso de contratación.
También puedes escribir a info@backupnube.es