Protección contra ransomware y recuperación rápida con datos inmutables

Entender el ransomware

El ransomware es un software diseñado para llevar a cabo un secuestro digital de los datos de una empresa u organización, tomándolos como rehenes y exigiendo el pago de un rescate para devolverlos sanos y salvos.

Su objetivo es conseguirlo cifrando los datos de forma tan eficaz que llegue a creer que no puede volver a acceder a sus archivos sin que se los desbloqueen.

O que restaurar el acceso a los archivos limpios va a ser tan lento, tan perturbador y tan cargado de pérdida de datos que puede que creas que no tienes otras opciones.

Su capacidad para evitar el pago de un rescate depende de poder restaurar el acceso a sus datos, sin depender de su atacante para descifrarlos. Por eso, los atacantes suelen atacar primero las copias de seguridad y las instantáneas, para limitar tus opciones.

Confiar en copias de seguridad antiguas y quizá incompletas puede provocar una enorme pérdida de datos, y es un proceso tan lento que la restauración puede tardar semanas o incluso meses.

Es cuándo. No si.

Los ataques son tan frecuentes que debe asumir que su organización será atacada en algún momento.

Defensa de datos

La defensa contra el ransomware es reactiva por su propia naturaleza, y aunque el software defensivo hace un excelente trabajo a la hora de repeler múltiples ataques, el número de posibles puntos de entrada a la red de una organización hace que sea prácticamente imposible evitar todos los intentos.

Independientemente de la rapidez con la que reaccionen las soluciones defensivas ante una variante conocida de ransomware, aún pueden producirse daños considerables antes de poder controlar un ataque.

Esto significa que la defensa por sí sola no es una solución completa, aunque sigue siendo una parte esencial de su estrategia de seguridad.

Protección de datos

Asumiendo que no es completamente posible mantener el ransomware fuera, mitigar un ataque de ransomware depende de la protección de los datos. Esto significa que los datos deben estar estructurados de tal forma que, aunque se vean comprometidos, no puedan fallar.

Al almacenar datos que deben ser editables, los sistemas de archivos heredados son intrínsecamente vulnerables al ransomware. Cuando son atacados, hacen exactamente aquello para lo que fueron diseñados y permiten modificar los archivos.

La arquitectura de datos inmutable cambia su postura frente al ransomware y el malware porque es fundamentalmente resistente a los ataques. En lugar de ser simplemente una solución para ayudar a defender o proteger, reduce el impacto de un ataque en su organización al no verse afectada.

Panzura CloudFS hace que el almacenamiento de objetos en la nube sea inmutable y, por tanto, inmune al ransomware.

Para un usuario, CloudFS se ve y se siente como cualquier otro sistema de archivos. Los archivos pueden abrirse, editarse y guardarse, copiarse o borrarse -por cualquier usuario autorizado, en cualquier lugar- en tiempo real.

Mantener un conjunto de datos prístino

Entre bastidores hay una estructura de almacenamiento radicalmente diferente, mucho más sencilla e infinitamente más robusta.

CloudFS es un sistema global de archivos en la nube que almacena los datos de los archivos como bloques en el almacenamiento de objetos en la nube, como un único conjunto de datos autorizado a partir del cual trabajan todos los usuarios de la organización.

Estos bloques de datos son inmutables: se almacenan en un formato de escritura única y lectura múltiple, de modo que, una vez almacenados, no pueden modificarse, editarse ni sobrescribirse. Por consiguiente, no se ven afectados por el malware.

Los punteros de metadatos se utilizan para registrar qué bloques componen un archivo en un momento dado, y CloudFS utiliza estos punteros de metadatos para saber qué bloques ensamblar para abrir la versión actual de un archivo.

A medida que los usuarios crean o editan archivos, los datos modificados se trasladan al almacenamiento de objetos cada 60 segundos, almacenándose como nuevos bloques de datos y dejando intactos los bloques existentes. Al mismo tiempo, los punteros de metadatos se actualizan para reflejar los nuevos bloques que forman el archivo.

Por ejemplo, un documento de Microsoft Word fileone.docx se compone de los bloques A, B y C. Se realizan algunas ediciones en el contenido del documento que se encuentra en el bloque C.

El bloque C es inmutable, por lo que las ediciones se capturan en un nuevo bloque - C1, y los punteros de metadatos del archivo muestran que fileone.docx se compone ahora de los bloques A, B y C1.

Estos bloques de datos inmutables están protegidos además por instantáneas de sólo lectura en todo el sistema de archivos que se toman a intervalos configurables, siendo el predeterminado de 60 minutos.

Además, cada 60 segundos se toman instantáneas de sólo lectura a nivel de nodo local, que se utilizan para transferir datos nuevos y modificados al almacén de objetos.

Cada vez que se toman instantáneas, se capturan los punteros de metadatos que han registrado qué bloques de datos componen los archivos en ese momento concreto.

Al ser de sólo lectura, estas instantáneas también son inmunes al ransomware, y proporcionan una forma granular -y muy rápida- de restaurar los datos a cualquier versión anterior.

Datos inmutables y ataques de ransomware

En caso de ataque de ransomware, se inserta un código malicioso en sus archivos, modificándolos.

Un sistema de almacenamiento heredado permite editar un archivo a medida que se inserta este código, modificando el propio archivo. Por el contrario, cuando un archivo es atacado por ransomware en CloudFS, ahora está compuesto por bloques de datos completamente nuevos.

Panzura reconoce el cifrado como datos de archivo modificados, y los archivos cifrados resultantes se escriben en el almacén de objetos como nuevos bloques de datos.

En este ejemplo, archivouno.docx ha cambiado sustancialmente y ahora está compuesto por los bloques D, E y F. Este punto en el tiempo también se captura mediante una instantánea.

Dado que CloudFS conserva los datos existentes como objetos originales en el almacén de objetos, cualquier archivo cifrado por el código ransomware puede revertirse inmediatamente a su estado anterior a la infección, utilizando instantáneas.

Esto puede hacerse fácilmente para un solo archivo, directorios enteros o incluso todo el sistema de archivos global.

Con los datos inmutables de Panzura, tus archivos no están cifrados en absoluto. En su lugar, los punteros de los archivos apuntan ahora a bloques de datos que contienen cifrado. Al volver a la instantánea anterior al ataque, se recuperan los bloques de datos limpios... y se restauran los archivos limpios. A diferencia de la restauración a partir de una copia de seguridad, este enfoque permite la restauración granular de archivos, con un objetivo de punto de recuperación cercano a cero, para minimizar cualquier pérdida de datos.

Detección y restauración rápidas

PanzuraLa potente solución SaaS de gestión de datos Data Services ofrece una visión y gestión únicas y unificadas de sus datos. Data Services ayuda a la rápida recuperación del ransomware al permitir a los administradores encontrar rápidamente los datos afectados.

Las alertas sobre una carga inesperadamente alta de la CPU, la memoria o la memoria caché, que indican que se está accediendo a un número inusualmente alto de archivos poco utilizados, avisan a los administradores de que puede estar produciéndose un ataque. Los informes sobre los usuarios más activos y los directorios más visitados pueden ayudar a localizar el núcleo del ataque.

La auditoría es una búsqueda flexible y acelerada que funciona basándose en las similitudes entre las consultas de búsqueda y los datos indexados. El uso de acciones de auditoría, como la escritura en archivos, el cambio de nombre o la configuración de atributos de archivos, puede acotar una búsqueda para encontrar archivos dañados, así como la cuenta de usuario comprometida. Los resultados de la búsqueda también ofrecen acceso con un solo clic a una pista de auditoría completa, para permitir la identificación de las acciones que dañan los datos y su cronología.

La búsqueda permite encontrar archivos en CloudFS, y otros recursos compartidos de archivos NFS y SMB conectados, en cuestión de segundos. Una vez localizados los archivos o bloques de datos sospechosos, pueden comenzar las acciones de mitigación.

La recuperación permite revertir rápidamente cualquier archivo individual infectado a una versión "limpia" anterior, con lo que el ataque de ransomware queda inofensivo.

Los análisis proporcionan información sobre los cambios en los sistemas de archivos, incluidos los deltas de tamaño de archivo, los datos calientes, calientes y fríos a los que se ha accedido o que se han modificado, y los cambios diarios de los datos almacenados.

Restauración masiva de archivos

Panzura CloudFS proporciona a los administradores de TI la capacidad de restaurar directorios enteros, y todo el contenido asociado, a un punto en el tiempo capturado por instantánea antes del ataque. Mientras que la restauración a partir de copias de seguridad implica mover datos y, en consecuencia, puede tardar bastante tiempo en completarse, el uso de instantáneas para restaurar archivos a un estado anterior simplemente implica mover metadatos.

Los metadatos son una fracción del tamaño de los archivos que representan, por lo que se tarda una fracción del tiempo en moverlos. Como resultado, restaurar incluso un gran volumen de archivos de tamaño considerable lleva sólo unos instantes.

Panzura Servicios globales

El equipo de servicios de Panzura ofrece recuperación asistida de ransomware como parte de nuestro paquete de servicios premier. Trabajan en estrecha colaboración con los equipos de TI para ayudarles a saber cuándo están controlando los ataques, deteniendo la propagación de los archivos afectados y ayudando a restaurar copias limpias de los archivos rápidamente y sin perder ningún dato.

Protección más allá del sistema de archivos

Aunque un sistema de archivos no almacena datos estructurados (bases de datos), almacenar copias de seguridad de bases de datos en CloudFS le proporciona una copia de seguridad inmutable desde la que restaurar. Además, los datos de copia de seguridad de otros sistemas de archivos menos resistentes pueden resistir el ransomware si se almacenan de forma inmutable en CloudFS.