Una copia de seguridad aporta una vía de recuperación después de un incidente, pero no evita que el ataque ocurra. Su valor depende de la integridad del respaldo, de la separación de credenciales y de que alguien haya comprobado que puede restaurarse.
Qué problema resuelve este concepto
Las copias permiten recuperar datos y configuración, pero no impiden un ataque ni garantizan que el respaldo esté limpio.
Cuando el respaldo comparte el riesgo
Un repositorio montado de forma permanente puede ser borrado o cifrado con las mismas credenciales que protegen la producción. Separa permisos, ubicaciones y, cuando sea posible, una copia que no pueda modificarse desde el servidor afectado.
Restaurar el servicio, no solo los archivos
La recuperación incluye base de datos, configuración, versiones, secretos gestionados y orden de arranque. Una prueba de restauración revela dependencias que no aparecen al comprobar que un archivo existe.
Decisiones durante un incidente
Conserva registros antes de limpiar, prioriza sistemas críticos y valida la copia antes de volver a publicar. Las copias no previenen una intrusión ni garantizan que el respaldo esté limpio. Los servicios adicionales deben valorarse según su configuración y pruebas reales.
Priorizar la recuperación
Después de un incidente, recuperar primero el sistema más visible no siempre es la mejor decisión. Identifica dependencias de identidad, DNS, base de datos y almacenamiento, y establece qué servicios deben volver para que los demás funcionen. Valida cada restauración en una red controlada y cambia las credenciales que pudieron quedar expuestas. La copia ayuda a recuperar el servicio, pero no decide por sí sola qué estado es confiable.
Credenciales y permisos del repositorio
El destino de copia debe tener credenciales distintas y permisos mínimos. Un servidor de producción no debería poder borrar todas las generaciones si solo necesita escribir una nueva. Prueba también la recuperación con una cuenta que no tenga acceso de administración total y registra qué autorización fue necesaria. La separación técnica pierde valor si el mismo secreto abre producción y respaldo.
La prueba también debe comprobar que el equipo conoce la decisión de no restaurar una copia sospechosa. Recuperar rápido un sistema contaminado puede prolongar el incidente. La integridad del respaldo y el criterio de selección son tan importantes como la velocidad de copia.
La copia también puede estar expuesta
Un repositorio montado permanentemente o accesible con las mismas credenciales que producción puede ser alcanzado por el mismo atacante. Separar cuentas, permisos y rutas de administración reduce ese acoplamiento. La separación lógica ayuda, pero una copia que comparte todo el plano de control sigue dependiendo de él.
Tras un incidente, restaura primero en un entorno aislado y verifica fechas, integridad, configuración y datos. La prioridad no es solo recuperar archivos: hay que confirmar que la versión elegida no contiene la puerta de entrada original y que el procedimiento puede repetirse bajo presión.