c2.18 Respaldar datos y hacerlos inmutables
El ransomware hace esenciales los backups confiables y a prueba de manipulación. Centralice los backups con AWS Backup, aísle las copias en una cuenta separada y hágalas inmutables con Vault Lock o un logically air-gapped vault para que un atacante no pueda borrarlas ni cifrarlas.
Guía de implementación
Centralice con AWS Backup
AWS Backup es un servicio administrado y basado en políticas que centraliza y automatiza los backups entre servicios de AWS —Amazon EBS, EC2, RDS, DynamoDB, EFS, S3 y más— reemplazando los scripts servicio por servicio. Defina programaciones y retención como política y monitoree la actividad de forma centralizada.
Haga los backups inmutables y aislados
Los backups solo ayudan si un atacante no puede destruirlos:
- AWS Backup Vault Lock impone inmutabilidad WORM (write-once-read-many); en modo compliance el bloqueo no puede quitarse durante el período de retención.
- Logically air-gapped vault almacena copias inmutables y cifradas, bloqueadas por defecto y que pueden compartirse para recuperación entre cuentas.
- Mantenga las copias de backup en una cuenta separada con control de acceso estricto, de modo que un compromiso de la cuenta de la carga no las alcance.
Escanea los backups en busca de malware
Un backup inmutable no te sirve si ya contenía el ransomware. Amazon GuardDuty Malware Protection para AWS Backup escanea tus recovery points —snapshots de EBS, AMIs de EC2 y recovery points de S3— después de cada backup, para que restaures desde una copia que sabes que está limpia en lugar de reinfectarte durante la recuperación.
Respalde on-premises hacia la nube
Considere respaldar la infraestructura on-premises en la nube para beneficiarse de clases de almacenamiento de bajo costo como Amazon S3 Glacier. Si su herramienta de backup corre on-premises, evalúe una opción desplegable en la nube para evitar costos de transferencia de datos de salida.
Cómo encaja
Ver video
Cómo validar
- ¿Respalda sus aplicaciones críticas, e idealmente todas?
- ¿Los backups se almacenan en una cuenta separada con acceso restringido?
- ¿Los backups son inmutables (Vault Lock o logically air-gapped vault)?
- ¿Su política de retención y sus backups cumplen sus objetivos de punto y tiempo de recuperación (RPO/RTO)?
Amenazas que atiende
- Destrucción de datos: un adversario que alcance sus backups puede borrarlos, eliminando su capacidad de recuperación.
- Datos cifrados para impacto (ransomware): sin backups inmutables y aislados, los datos de producción cifrados pueden ser irrecuperables.
Servicios AWS
AWS Backup 
Amazon GuardDuty 
Amazon S3