Readiness ante el ransomware: seis pasos para proteger tu organización contra el ransomware

La prevención y la protección frente al ransomware requieren un enfoque multicapa que incluya las mejores prácticas y procesos, forme a las personas y aproveche las últimas tecnologías para proteger a una organización frente a los atacantes. Una estrategia de seguridad multicapa es fundamental, y la Readiness para la Recovery es crucial.

1. Formar y capacitar a los empleados de forma periódica.
Las empresas pueden protegerse contra el ransomware impartiendo formación periódica a los empleados para ayudarles a identificar los ataques maliciosos. Por ejemplo, los intentos de phishing suelen basarse en técnicas de ingeniería social que tratan de engañar a los usuarios finales para que revelen información confidencial. Forma a los empleados, socios y clientes sobre los indicios de este tipo de intentos de ingeniería social para evitar que sean víctimas de un ataque.

Informa a los empleados sobre los hábitos de navegación seguros y explícales por qué es importante no hacer clic en enlaces sospechosos, reforzando esta información con conocimientos sobre cómo detectar y evitar posibles amenazas. La formación permitirá a los empleados actuar como primera línea de defensa frente a los ataques de ransomware, tomando decisiones más acertadas en Internet y evitando los riesgos conocidos.

2. Aplicar una estrategia de copias de seguridad inalterable.
Las estrategias de copia de seguridad deben ser tan sofisticadas como el mejor intento de los ciberdelincuentes a la hora de lanzar un ataque de ransomware. Una práctica de protección de datos ampliamente aceptada consiste en mantener tres copias de los datos, almacenarlas en dos tipos diferentes de soportes y conservar una copia en un lugar seguro fuera de las instalaciones.

Este enfoque 3-2-1 reduce los riesgos de pérdida de datosfrente al ransomware, diversificando las ubicaciones de almacenamiento y los tipos de soportes. Crea tres copias de los datos críticos, incluyendo los datos originales en el sistema principal y dos copias de seguridad. Almacena las copias de seguridad en dos tipos distintos de soportes de almacenamiento, como un disco duro local y un almacenamiento en la nube, para evitar un único punto de fallo.

Los expertos recomiendan que las empresas almacenen una copia de sus datos en un soporte secundario, como una Appliance de hiperescala, una cinta o un servicio de almacenamiento en la nube. Este tipo de soportes puede ayudar a almacenar los datos en modo de protección contra el ransomware, al que los ataques de este tipo no pueden acceder fácilmente. Asegúrate de que una de las copias de seguridad se almacene en una ubicación remota, separada del centro de datos principal, paraprevenir los desastres naturales locales.

También es fundamental invertir en copias de seguridad inmutables. Una copia de seguridad inmutable es una copia de un archivo o de datos que no puede alterarse ni modificarse de ninguna manera, lo que significa que permanece inalterada incluso ante la intervención de administradores o actores maliciosos. Las copias de seguridad inmutables protegen contra la eliminación de datos y proporcionan una copia de seguridad segura que puede restaurarse incluso si el sistema principal se ve comprometido por un ransomware. Una vez que la copia de seguridad se ha convertido en inmutable, no puede eliminarse, sobrescribirse ni modificarse de ninguna manera, lo cual resulta muy valioso para protegerse frente a los ataques de ransomware.

3. Utilizar técnicas de aislamiento, segmentación y separación física.
Las técnicas de aislamiento y de espacio de aire se refieren a unaestrategia de seguridad en la que los datos de copia de seguridad se almacenan separados y físicamente aislados de la red principal. Esto crea una barrera que impide el acceso no autorizado a las copias de seguridad, protegiéndolas de cualquier posible ataque de malware o ransomware que pudiera infectar el sistema principal. Los datos de las copias de seguridad se separan en destinos de almacenamiento aislados mediante redes LAN virtuales (VLAN), cortafuegos u otros métodos de segmentación de la red para restringir el acceso. La segmentación de la red también impedirá el movimiento este-oeste o lateral de los atacantes en caso de que hayan logrado penetrar las defensas perimetrales.

Implementa el almacenamiento de copias de seguridad aislado de forma que quede físicamente desconectado de la red principal, impidiendo así el acceso directo a los datos. Replica los datos en este entorno aislado para garantizar que las copias de seguridad se transfieran de forma segura al almacenamiento con «air gap». Al aislar los datos de las copias de seguridad, las técnicas de «air gap» reducen significativamente el riesgo de que el ransomware cifre las copias de seguridad, ya que el malware no puede acceder a ellas en la red aislada.

4. Implementar controles de acceso, privilegios de usuario y sistemas de detección de intrusiones (IDS).
Para comprender mejor el estado general de la seguridad de una organización, es fundamental revisar las políticas de control de acceso y su aplicación. Analice cómo se conectan los usuarios finales a la red, tanto a nivel interno como externo, e implante medidas de seguridad que vayan desde la protección mediante contraseña hasta la autenticación multifactorial en las VPN o en cualquier portal o recurso al que puedan acceder de forma remota los usuarios finales o los empleados.

Un sistema de detección de intrusiones (IDS) robusto buscará de forma proactiva actividades maliciosas comparando los registros de tráfico de red con firmas que detectan actividades maliciosas conocidas. El IDS alertará a la organización en caso de que detecte alguna actividad maliciosa. Este tipo de enfoque de seguridad por capas, que incluye IDS, VPN, cortafuegos, software antivirus, filtros de spam y prevención de pérdida de datos en la nube, dificultará a los posibles atacantes el acceso a tu entorno y a tus datos confidenciales.

5. Realizar un seguimiento periódico del entorno.  
La mayoría de las organizaciones ya supervisan sus entornos de forma habitual, pero para hacer frente al ransomware, la supervisión es fundamental para detectar a tiempo cualquier actividad sospechosa que pueda indicar un ataque. La supervisión del tráfico en busca de actividades sospechosas ayudará a los equipos de seguridad a identificar antes el malware o el ransomware y a adoptar medidas proactivas para impedir que el ransomware se propague.

Gracias a los sistemas integrales de supervisión de datos y tráfico, los equipos de seguridad también pueden cifrar los datos antes de que se produzcan daños importantes. Los patrones inusuales de acceso a archivos, el cifrado rápido de datos o el tráfico de red anómalo pueden indicar un intento de ataque de ransomware y, al supervisar constantemente la actividad del sistema, los equipos de seguridad pueden detectar a los atacantes y actuar con rapidez para contener la amenaza.

6. Desarrollar un plan de respuesta ante incidentes. 
Todas estas medidas de protección ayudarán a prevenir y detectar actividades maliciosas, pero, en caso de que se produzca un ataque, un plan de respuesta ante incidentes proporcionará los pasos necesarios que hay que seguir tras descubrirlo, además de reducir la probabilidad de que se produzcan ataques futuros. Un plan de respuesta ante incidentes debe detallar cómo recopilar datos para determinar el origen, la naturaleza y el alcance del ataque de ransomware. La verdadera Recovery cibernética, que va más allá de la respuesta ante incidentes, abarca la capacidad de restaurar rápidamente los sistemas y datos críticos tras un ataque.

Las organizaciones deben realizar pruebas periódicas de su plan de respuesta ante incidentes, para que las personas implicadas comprendan sus funciones y responsabilidades tras un ataque de ransomware. La realización de pruebas periódicas del plan de respuesta ante incidentes también permitirá comprobar su eficacia e identificar aspectos que se puedan mejorar. Es fundamental invertir en una plataforma que permita la rápida recuperación y restauración de datos en caso de ciberataque, lo que garantiza una respuesta ágil y minimiza el tiempo de inactividad.

Las empresas deben invertir en un enfoque de Readiness frente al ransomware de múltiples niveles, lo que pone de relieve la importancia de contar con una protección de datos sólida para prevenir amenazas, detectar actividades sospechosas de forma temprana y garantizar una rápida Recovery de los datos, incluso en caso de sufrir un ataque. Mediante el uso de copias de seguridad inmutables y aisladas físicamente, la supervisión continua y la detección avanzada de anomalías en diversos entornos, las organizaciones pueden dar prioridad a las medidas de protección proactivas y a las capacidades de Recovery rápida para minimizar la interrupción de la actividad empresarial.