¿Cómo saber que una copia está limpia antes de restaurarla?

No se puede tener certeza, pero sí reducir mucho el riesgo. Empiece por la cronología: a partir de registros, datos de los endpoints e historial de red, averigüe cuándo empezó realmente la intrusión, no cuándo se cifró, y para los sistemas críticos prefiera un punto de restauración anterior a esa fecha. Restaure en un entorno aislado y analice el resultado con herramientas de seguridad actualizadas, incluidos los indicadores de compromiso de su investigación o del aviso de CISA correspondiente. Busque lo que no debería estar: cuentas locales o de dominio nuevas, tareas programadas, servicios y elementos de inicio, herramientas de acceso remoto y web shells en servidores web. Compare la configuración restaurada con la documentación o con una copia de confianza. Después observe el comportamiento en red del sistema restaurado antes de confiar en él. NetSenX ayuda en esto: un host restaurado que empieza conexiones salientes regulares o escanea otras máquinas aparece en las alertas, mientras que varios días tranquilos son una señal útil, aunque no absoluta.

← Las 25 preguntas sobre Copias de seguridad y recuperaciónTodos los temas