¿Las bandas de ransomware atacan primero las copias de seguridad?

Muy a menudo, sí. Antes de empezar a cifrar, los atacantes buscan el servidor de copias, la consola del software de copias y cualquier instantánea o instantánea de volumen, y luego las borran, cifran o corrompen para que la víctima no pueda recuperarse sin pagar. MITRE ATT&CK lo recoge como Inhibit System Recovery (T1490), y el borrado de instantáneas de volumen aparece en muchos avisos de CISA sobre ransomware. Las cuentas de administración de copias y los servidores de copias unidos al mismo dominio que todo lo demás son puntos débiles habituales. Defensas: tener al menos una copia inmutable o desconectada, operar el sistema de copias con credenciales separadas y autenticación multifactor, sacarlo del dominio principal si es posible y restringir qué máquinas pueden conectarse a él. En la red, las conexiones al servidor de copias desde máquinas que normalmente nunca hablan con él son una señal de alarma. El mapa de red de NetSenX muestra qué hosts llegan a cada servidor, y las conexiones internas inusuales se marcan como posible movimiento lateral.

← Las 25 preguntas sobre Copias de seguridad y recuperaciónTodos los temas