Puntos clave
- La infraestructura de identidad es un punto de ataque clave que, si se ve comprometida, puede paralizar las operaciones de la empresa.
- La evaluación de vulnerabilidades de Commvault ayuda a detectar configuraciones erróneas y ajustes de riesgo mediante indicadores claros de exposición y recomendaciones para solucionarlos.
- La auditoría en tiempo real permite a los equipos detectar cambios maliciosos sutiles en el momento en que se producen y rastrear la actividad de los atacantes en tiempo real.
- La reversión con un solo clic puede ayudar a revertir rápidamente los cambios no autorizados, lo que contribuye a minimizar el tiempo de inactividad y a limitar la propagación del ataque.
La ciberseguridad y la importancia de la identidad
Cuando la mayoría de la gente piensa en ciberseguridad, se imagina archivos robados o bases de datos cifradas. Pero hay una capa subyacente a todo eso que, si se ve comprometida, hace que todo lo demás pierda importancia: tu infraestructura de identidad. Los sistemas de gestión de identidades como Active Directory (AD), Entra ID y Okta son los que deciden quién puede iniciar sesión, a qué puede acceder y si tu empresa puede funcionar en absoluto. Cuando los atacantes se cuelan ahí, los usuarios no pueden autenticarse, las aplicaciones dejan de funcionar y las operaciones se paralizan. En ese momento, ya no se trata de un problema de datos, sino de un problema de control. La recuperación automática de bosques mediante reconstrucciones limpias del sistema operativo permite a las organizaciones restaurar los sistemas de identidad de forma segura sin reintroducir amenazas. A continuación te explicamos cómo.
Descubre cuáles son tus puntos débiles antes de que lo hagan los atacantes
La evaluación de vulnerabilidades de Commvault asigna una puntuación de estado a tu entorno de AD. Piensa en ello como una calificación de «salud» para tu directorio. La mayoría de los entornos están más expuestos de lo que la gente cree, y esto lo pone de manifiesto.
Nuestra herramienta ayuda a detectar indicadores de exposición (IOE), que son errores de configuración específicos o ajustes de riesgo que podrían ser aprovechados. Un ejemplo habitual son las cuentas con contraseñas configuradas para que nunca caduquen. Las credenciales obsoletas y que no se renuevan son una de las formas más comunes en que los atacantes mantienen el acceso a largo plazo a un entorno.
Commvault no solo te avisa del problema, sino que te ayuda a identificar qué cuentas se ven afectadas, te guía paso a paso por los pasos para solucionarlo y te permite exportar la lista para que te resulte más fácil crear un script con la solución.
No te lo pierdas mientras está ocurriendo
Conocer tus puntos débiles es el primer paso. Darte cuenta de cuándo alguien los está aprovechando activamente es el segundo paso. La auditoría de gestión de identidades de Commvault te ayuda a obtener un registro en tiempo real de cada cambio que se realiza en sistemas de identidades como Active Directory y Entra ID, con detalles como quién lo hizo, cuándo, desde dónde y cuáles eran los valores antes y después.
Los atacantes no suelen irrumpir a lo grande; más bien realizan cambios sutiles y específicos. Una cuenta comprometida podría crear un usuario de puerta trasera, añadirlo discretamente al grupo de administradores del dominio y, a continuación, vincular un objeto de política de grupo (GPO) malicioso diseñado para instalar ransomware, y cada uno de esos pasos aparece en el registro de auditoría.
En cuanto detecte una cuenta sospechosa, el filtrado puede ayudarle a ver al instante todos los cambios que haya realizado esa cuenta, lo que le dará una visión completa de todo lo que el atacante haya manipulado.
Repara el daño rápidamente
La detección solo sirve de algo si puedes actuar en consecuencia. Desde la misma vista de auditoría, puedes revertir un cambio malicioso con un solo clic, lo que te ayuda a restaurar el entorno a su último estado correcto conocido sin tener que cambiar de herramienta ni escribir un script personalizado. El objetivo es ayudar a minimizar el tiempo de inactividad y limitar el alcance del ataque antes de que se detecte.
Cuando ocurre lo peor: la recuperación de los bosques
A veces, un ataque logra colarse y tienes que volver a empezar desde cero. La recuperación del bosque de AD —es decir, reconstruir todo tu entorno de directorios tras un ataque de ransomware— es notoriamente compleja y suele implicar entre 50 y más de 100 pasos individuales, dependiendo del número de dominios y controladores de dominio que tengas.
Commvault te ayuda a automatizar todo esto mediante scripts coordinados que ordenan cada paso: reconstruir los controladores de dominio en el orden correcto según sus roles de Operación de Maestro Único Flexible (FSMO), restaurar SYSVOL, verificar los metadatos y restablecer la confianza entre dominios. Una vista de la topología de todo el bosque de AD te ayuda a ver claramente qué controladores de dominio deben volver a estar operativos primero.
Lo más destacado aquí es lo que Commvault denomina «Clean OS Recovery» (Recuperación limpia del sistema operativo). En lugar de restaurar máquinas virtuales potencialmente comprometidas, reconstruye los controladores de dominio en máquinas virtuales completamente nuevas. Restaurar una máquina infectada conlleva el riesgo de que el malware vuelva a aparecer. Recuperar los datos en una infraestructura nueva significa que no solo recuperas tus datos, sino que, de hecho, empiezas de cero.
Un único panel de control para entornos locales y en la nube
Hoy en día, la mayoría de las organizaciones no operan ni exclusivamente en sus propias instalaciones ni exclusivamente en la nube, sino que son híbridas: Active Directory se encarga del acceso a los sistemas heredados y Entra ID, de las identidades modernas en la nube. El panel de control unificado de Commvault te permite gestionar ambas cosas desde una única consola: evaluaciones, auditorías, detección y recuperación en ambas plataformas.
El valor añadido es evidente: menos herramientas, menos complejidad y una explicación más sencilla que ofrecer a la dirección cuando te pregunten cómo se protege la infraestructura de identidad de principio a fin. La resiliencia de la identidad merece un debate específico, al margen de las copias de seguridad y de la protección de los dispositivos finales. La combinación de análisis proactivo de vulnerabilidades, auditoría de cambios en tiempo real, reversión rápida y recuperación completa del bosque ayuda a tu organización a tratar la infraestructura de directorios como una prioridad de seguridad por derecho propio.
Preguntas frecuentes
P: ¿Por qué la infraestructura de identidad es un aspecto tan importante en materia de seguridad?
R: Los sistemas de identidad controlan la autenticación y el acceso en toda la organización. Si se ven comprometidos, los atacantes pueden paralizar por completo las operaciones, lo que hace que el resto de medidas de seguridad pierdan toda su relevancia.
P: ¿Qué son los indicadores de exposición (IOE)?
R: Los IOE son errores de configuración específicos o ajustes de riesgo en entornos de identidad que los atacantes pueden aprovechar. Detectarlos puede ayudarte a identificar los puntos débiles y orientar a los equipos sobre cómo solucionarlos.
P: ¿Cómo ayuda la auditoría en tiempo real a detener los ataques?
R: La auditoría en tiempo real permite realizar un seguimiento de todos los cambios que se producen en los sistemas de identidad, incluyendo quién los ha realizado y en qué han consistido. Esta visibilidad ayuda a los equipos de seguridad a detectar comportamientos sospechosos de forma temprana e investigar el alcance total de un ataque.
P: ¿De verdad se pueden revertir rápidamente los cambios maliciosos?
R: Sí, Commvault permite revertir directamente los cambios no autorizados desde la misma interfaz. Esto ayuda a reducir el tiempo de respuesta y a restaurar los sistemas a un estado seguro sin necesidad de scripts complicados.
P: ¿Por qué es tan complicado recuperar un bosque de AD?
R: La reconstrucción de un bosque de Active Directory implica muchos pasos que dependen unos de otros, como restaurar los controladores de dominio y restablecer las relaciones de confianza. La complejidad aumenta en función del tamaño del entorno.
P: ¿Qué es la función «Clean OS Recovery» de Commvault y por qué es importante?
R: «Clean OS Recovery» ayuda a reconstruir los controladores de dominio en sistemas nuevos y no infectados, en lugar de restaurar los equipos infectados. Este enfoque ayuda a eliminar el malware residual y puede contribuir a una recuperación segura.
Nico Guerrera es director técnico sénior de marketing en Commvault.
