Copias de seguridad frente al ransomware: la regla 3-2-1-1-0

Una estrategia de copias de seguridad resistente al ransomware consiste en guardar varias copias de tus datos donde los atacantes no puedan alcanzarlas ni alterarlas, y demostrar que puedes restaurarlas antes de necesitarlo. El estándar moderno es la regla 3-2-1-1-0: tres copias de los datos, en dos tipos de soporte distintos, con una copia fuera de las instalaciones, una copia desconectada o inmutable y cero errores en la verificación de la recuperación. La guía #StopRansomware de CISA señala las copias de seguridad desconectadas y probadas como el control de mayor efecto que puedes desplegar contra el ransomware, porque neutraliza la principal palanca del atacante: la amenaza de que tus datos hayan desaparecido para siempre.

De 3-2-1 a 3-2-1-1-0: por qué evolucionó la regla

La regla 3-2-1 original es anterior al ransomware. Se diseñó para fallos de hardware y desastres en la sede:

• 3 copias de tus datos (una de producción, dos copias de seguridad)
• 2 tipos de soporte distintos (por ejemplo, disco y cinta, o SSD local y almacenamiento de objetos en la nube)
• 1 copia fuera de las instalaciones para sobrevivir a un incendio o una inundación en la sede principal

El ransomware rompió este modelo porque ahora los atacantes buscan y cifran activamente las copias de seguridad. Muchos grupos permanecen en una red durante días precisamente para encontrar y borrar los repositorios de copias antes de detonar. Por eso se añadieron dos dígitos más:

• 1 copia inmutable o desconectada: una copia que no puede modificarse ni borrarse, ni siquiera por un administrador con credenciales robadas
• 0 errores de recuperación: tus restauraciones están probadas y verificadas, para que «tenemos copias» no se convierta en «las copias estaban corruptas»

La versión 3-2-1-1-0 es hoy la mejor línea base de estrategia de copias frente al ransomware porque los dos últimos dígitos contrarrestan directamente cómo se comportan los operadores de ransomware.

Los tres tipos de copia de seguridad y cómo encajan

Una estrategia que funciona combina tres tipos de copia para equilibrar velocidad, coste y granularidad de la recuperación:

• Copia completa: una copia íntegra de todos los datos. La más lenta de crear y la más rápida de restaurar. Úsala como tu línea base periódica (por ejemplo, semanal).
• Copia incremental: captura solo los datos cambiados desde la última copia de cualquier tipo. La más pequeña y rápida de ejecutar, pero la restauración requiere reproducir cada incremento en orden, lo que es más lento y arriesgado.
• Copia diferencial: captura todo lo cambiado desde la última copia completa. Más grande que las incrementales, pero solo necesita dos puntos de restauración (la completa más la última diferencial), lo que simplifica la recuperación.

Un patrón habitual: completa semanal, diferencial diaria e incrementales frecuentes para las bases de datos críticas. La clave frente al ransomware es que al menos una copia completa acabe en almacenamiento inmutable con una programación que los atacantes no puedan manipular.

La inmutabilidad es el control que hace fracasar el ataque

Las copias de seguridad inmutables usan almacenamiento WORM (write-once-read-many, una escritura y muchas lecturas) o políticas de bloqueo de objetos para que los datos no puedan alterarse ni borrarse durante un periodo de retención definido: ni por un ransomware, ni por una cuenta de administrador comprometida, ni siquiera por tu propio equipo de TI. Impleméntala con:

• Object Lock en almacenamiento compatible con S3 (AWS S3, Backblaze B2, Wasabi) en modo de cumplimiento
• Repositorios Linux reforzados o indicadores de inmutabilidad en plataformas de copias como Veeam, Rubrik o Cohesity
• Copias realmente desconectadas / aisladas (air-gapped), como cintas que se sacan de la biblioteca y son físicamente inalcanzables por la red

Combina la inmutabilidad con software de recuperación ante ransomware que incluya detección de anomalías (que marque picos repentinos de archivos cambiados o cifrados) para detectar el cifrado en curso y saber qué punto de recuperación es anterior a la infección.

Asocia tus copias al ciclo de vida de un ataque de ransomware

Los ataques de ransomware se desarrollan aproximadamente en siete fases: acceso inicial, establecimiento de persistencia, comando y control, escalada de privilegios, reconocimiento interno, movimiento lateral y exfiltración de datos y, por último, cifrado/detonación. Tu estrategia de copias debe alinearse con las cuatro fases #StopRansomware de CISA a lo largo de ese ciclo:

• Prevenir: aísla la infraestructura de copias con credenciales separadas y segmentación de red para que el reconocimiento y el movimiento lateral no puedan alcanzarla.
• Detectar: usa la detección de anomalías de las copias para descubrir pronto un comportamiento de cifrado masivo.
• Responder: identifica el último punto de recuperación limpio antes de la detonación usando tu historial de copias verificado.
• Recuperar: restaura desde copias inmutables, validadas por tu disciplina de pruebas de «0 errores».

El fallo más común no es la falta de copias: son las copias sin probar. Haz un simulacro de restauración completa al menos cada trimestre, cronométralo frente a tu objetivo de tiempo de recuperación (RTO) y documenta las carencias. Una copia que nunca has restaurado es una hipótesis, no una estrategia.

¿No sabes cómo resistiría tu postura de copias de seguridad frente a un ataque real?

Preguntas frecuentes

¿Qué es la regla de copias de seguridad 3-2-1-1-0?

Una estrategia de copias de seguridad resistente al ransomware consiste en guardar varias copias de tus datos donde los atacantes no puedan alcanzarlas ni alterarlas, y demostrar que puedes restaurarlas antes de necesitarlo. El estándar moderno es la regla 3-2-1-1-0: tres copias de los datos, en dos tipos de soporte distintos, con una copia fuera de las instalaciones, una copia desconectada o inmutable y cero errores en la verificación de la recuperación.

¿Por qué la regla de copias 3-2-1 evolucionó a 3-2-1-1-0?

La regla 3-2-1 original es anterior al ransomware. Se diseñó para fallos de hardware y desastres en la sede: 3 copias de tus datos (una de producción, dos copias de seguridad). 2 tipos de soporte distintos (por ejemplo, disco y cinta, o SSD local y almacenamiento de objetos en la nube).

¿Cuáles son los tres tipos de copia de seguridad y cómo encajan?

Una estrategia que funciona combina tres tipos de copia para equilibrar velocidad, coste y granularidad de la recuperación: Copia completa: una copia íntegra de todos los datos. La más lenta de crear y la más rápida de restaurar. Úsala como tu línea base periódica (por ejemplo, semanal).

¿Por qué importa la inmutabilidad en las copias de seguridad frente al ransomware?

Las copias de seguridad inmutables usan almacenamiento WORM (write-once-read-many, una escritura y muchas lecturas) o políticas de bloqueo de objetos para que los datos no puedan alterarse ni borrarse durante un periodo de retención definido: ni por un ransomware, ni por una cuenta de administrador comprometida, ni siquiera por tu propio equipo de TI.