Readiness ante el ransomware: seis pasos para proteger tu organización contra el ransomware

La prevención y la protección contra el ransomware requieren un enfoque multicapa que incluya buenas prácticas y procesos, capacite a las personas mediante la formación y aproveche las últimas tecnologías para armar a una organización contra los atacantes. Una estrategia de seguridad multicapa es fundamental, y la Readiness para la Recovery es crucial.

1. Educar y formar a los empleados de forma regular.
Las empresas pueden protegerse contra el ransomware impartiendo formación periódica a los empleados para ayudarles a identificar los ataques maliciosos. Por ejemplo, los intentos de phishing suelen basarse en técnicas de ingeniería social que tratan de engañar a los usuarios finales para que revelen información confidencial. Forma a los empleados, socios y clientes sobre los indicios de este tipo de intentos de ingeniería social para evitar que caigan víctimas de un ataque.

Enseñe a los empleados hábitos de navegación seguros y explíqueles por qué es importante no hacer clic en enlaces sospechosos, reforzando estos conocimientos con información sobre cómo detectar y evitar amenazas potenciales. La formación capacitará a los empleados para que actúen como primera línea de defensa contra los ataques de ransomware, tomando decisiones más inteligentes en línea y evitando las trampas conocidas.

2. Aplica una estrategia de copias de seguridad inmutables.
Las estrategias de copias de seguridad deben ser tan sofisticadas como el mejor intento de los ciberdelincuentes con el ransomware. Una práctica de protección de datos ampliamente aceptada consiste en mantener tres copias de los datos, almacenarlas en dos tipos diferentes de soportes y conservar una copia almacenada de forma segura fuera de las instalaciones.

Este enfoque «3-2-1» mitiga los riesgos de pérdida de datos ante el ransomware al diversificar las ubicaciones de almacenamiento y los tipos de soportes. Crea tres copias de los datos críticos, incluyendo los datos originales en el sistema principal y dos copias de seguridad. Almacena las copias de seguridad en dos tipos distintos de soportes de almacenamiento, como un disco duro local y un almacenamiento en la nube, para evitar un único punto de fallo.

Los expertos recomiendan que las empresas almacenen una copia de sus datos en un almacenamiento secundario, como una Appliance a hiperescala, una cinta o un almacenamiento en la nube. Este tipo de soportes puede ayudar a almacenar los datos de forma que estén protegidos contra el ransomware, ya que los ataques de este tipo no pueden acceder fácilmente a ellos. Asegúrese de que una de las copias de seguridad se almacene en una ubicación remota, separada del centro de datos principal, para protegerse contra desastres naturales locales.

También es fundamental invertir en copias de seguridad inmutables. Una copia de seguridad inmutable es una copia de un archivo o de datos que no puede ser alterada ni modificada de ninguna manera, lo que significa que permanece inalterada incluso por parte de administradores o actores maliciosos. La copia de seguridad inmutable protege contra la eliminación de datos y proporciona una copia de seguridad segura que puede restaurarse incluso si el sistema principal se ve comprometido por un ransomware. Una vez que la copia de seguridad se ha convertido en inmutable, no puede eliminarse, sobrescribirse ni modificarse de ninguna manera, lo cual resulta muy valioso para protegerse contra los ataques de ransomware.

3. Utilizar técnicas de aislamiento, segmentación y «air gap».
Las técnicas de aislamiento y «air gap» se refieren a una estrategia de seguridad en la que los datos de copia de seguridad se almacenan separados y físicamente aislados de la red principal. Esto crea una barrera que impide el acceso no autorizado a las copias de seguridad, protegiéndolas de cualquier posible ataque de malware o ransomware que pudiera infectar el sistema principal. Los datos de las copias de seguridad se separan en destinos de almacenamiento aislados mediante redes de área local virtuales (VLAN), cortafuegos u otros métodos de segmentación de red para restringir el acceso. La segmentación de la red también impedirá el movimiento este-oeste o lateral de los atacantes en caso de que hayan logrado penetrar las defensas perimetrales.

Implemente el almacenamiento de copias de seguridad aislado de forma que quede físicamente desconectado de la red principal, impidiendo así el acceso directo a los datos. Replique los datos en este entorno aislado para garantizar que las copias de seguridad se transfieran de forma segura al almacenamiento con «air gap». Al aislar los datos de las copias de seguridad, las técnicas de «air gap» reducen significativamente el riesgo de que el ransomware cifre las copias de seguridad, ya que el malware no puede acceder a ellas en la red aislada.

4. Implemente controles de acceso, privilegios de usuario y sistemas de detección de intrusiones (IDS).
Para comprender mejor el estado de la postura de seguridad global de una organización, es fundamental revisar las políticas de control de acceso y su implementación. Analice cómo se conectan los usuarios finales a la red, tanto interna como externamente, y establezca medidas de protección que vayan desde la protección mediante contraseña hasta la autenticación multifactorial en las VPN o en cualquier portal o recurso al que los usuarios finales o empleados puedan acceder de forma remota.

Un IDS robusto buscará de forma proactiva actividades maliciosas comparando los registros de tráfico de red con firmas que detectan actividades maliciosas conocidas. El IDS alertará a la organización en caso de que detecte alguna actividad maliciosa. Este tipo de enfoque de seguridad por capas, que incluye IDS, VPN, cortafuegos, software antivirus, filtros de spam y prevención de pérdida de datos en la nube, dificultará el acceso de posibles atacantes a su entorno y a sus datos sensibles.

5. Supervisa el entorno de forma regular. La mayoría
de las organizaciones ya supervisan sus entornos de forma regular, pero para frustrar el ransomware, la supervisión es fundamental para permitir la detección temprana de actividades sospechosas que podrían indicar un ataque. La supervisión del tráfico en busca de actividades sospechosas ayudará a los equipos de seguridad a identificar antes el malware o el ransomware y a tomar medidas proactivas para impedir que este se propague.

Con sistemas integrales de supervisión de datos y tráfico, los equipos de seguridad también pueden cifrar los datos antes de que se produzcan daños significativos. Los patrones inusuales de acceso a los archivos, el cifrado rápido de datos o el tráfico de red anómalo pueden indicar un intento de ataque de ransomware y, al supervisar constantemente la actividad del sistema, los equipos de seguridad pueden detectar a los atacantes y actuar rápidamente para contener la amenaza.

6. Desarrollar un plan de respuesta ante incidentes.
Todas estas medidas de protección ayudarán a prevenir y detectar actividades maliciosas, pero, en caso de que se produzca un ataque, un plan de respuesta ante incidentes proporcionará los pasos necesarios que hay que seguir tras descubrirlo y reducirá la probabilidad de que se produzcan ataques futuros. Un plan de respuesta ante incidentes debe detallar cómo recopilar datos para determinar el origen, la naturaleza y el alcance del ataque de ransomware. La verdadera Recovery cibernética, que va más allá de la respuesta ante incidentes, abarca la capacidad de restaurar rápidamente los sistemas y los datos críticos tras un ataque.

Las organizaciones deben poner a prueba periódicamente su plan de respuesta ante incidentes, de modo que las personas implicadas comprendan sus funciones y responsabilidades tras un ataque de ransomware. Las pruebas sistemáticas del plan de respuesta ante incidentes también validarán su eficacia e identificarán áreas de mejora. Es fundamental invertir en una plataforma que permita la rápida recuperación y restauración de datos en caso de ciberataque, lo que garantiza una respuesta ágil y minimiza el tiempo de inactividad.

Las empresas deben invertir en un enfoque de Readiness frente al ransomware de múltiples capas, que destaque la importancia de una protección de datos sólida para prevenir amenazas, detectar actividades sospechosas de forma temprana y garantizar una rápida recuperación de los datos incluso en caso de ataque. Mediante el uso de copias de seguridad inmutables y físicamente aisladas, la supervisión continua y la detección avanzada de anomalías en diversos entornos, las organizaciones pueden dar prioridad a las protecciones proactivas y a las capacidades de Recovery rápida para minimizar la interrupción de la actividad empresarial.