39.Restauración de respaldos

Restaurar es recuperar los archivos o sistemas a partir de un respaldo, para volver a trabajar después de una falla, un borrado o un ataque. Parece sencillo, pero hay que hacerlo bien: con una copia limpia, en el orden correcto y sin traer de vuelta el problema.

Es como reconstruir después de una inundación: antes de meter los muebles de nuevo, te aseguras de que el agua ya no entra y de que los muebles no estén dañados.

En términos técnicos

• Se elige un punto de restauración anterior al compromiso (no basta el más reciente: puede estar infectado).
• Se verifica la integridad del respaldo (que esté completo y sin alteraciones) y que esté limpio de malware.
• Se restaura por prioridad, empezando por lo que la operación necesita primero.
• De preferencia en un ambiente aislado, se prueba y luego se reconecta.
• Antes de reconectar, se cambian las credenciales y se corrige la vulnerabilidad que permitió el incidente.

¿Dónde la vas a encontrar?

En la recuperación de un ransomware, después de una falla de disco, al recuperar un archivo borrado por error, al migrar a un servidor nuevo y en las pruebas periódicas que confirman que los respaldos sirven.

Un caso real: Maersk y NotPetya (2017)

El ataque NotPetya inutilizó casi todos los equipos de la naviera Maersk, incluidos sus controladores de dominio (los servidores que gestionan las cuentas de toda la empresa). La recuperación dependió de una copia que se salvó por casualidad: un controlador de dominio en una oficina de Ghana que estaba desconectado por un corte de luz cuando llegó el ataque. Esa copia se llevó físicamente para reconstruir la red.

Qué se perdió

• Días de operación global y cientos de millones de dólares.

Qué enseña

Tener una copia fuera de línea fue lo que permitió recuperarse, aunque fuera por suerte. Una organización preparada no depende de la suerte: tiene esa copia a propósito y sabe cómo restaurarla.

Pasos para restaurar después de un incidente

1. Confirma la contención: el atacante ya no tiene acceso.
2. Elige el punto de restauración anterior al compromiso (según la investigación).
3. Verifica el respaldo: integridad (hash o verificación de la herramienta) y análisis con antivirus actualizado.
4. Prepara un ambiente limpio: equipos reinstalados o nuevos, aislados de la red afectada.
5. Restaura por prioridad (ver tabla).
6. Cambia credenciales (todas las de administrador y las de los usuarios afectados) y aplica los parches pendientes.
7. Prueba que los servicios y los datos funcionan y están completos.
8. Reconecta por etapas y vigila de cerca los primeros días.

Orden de restauración (ejemplo escolar)

Pruebas periódicas

Por nivel

• El respaldo más reciente no siempre es el bueno: el atacante pudo estar dentro semanas antes.
• Tiempo real de restauración: muchas organizaciones descubren en plena crisis que restaurar tarda días, no horas. Mídelo antes.
• Las claves de cifrado del respaldo deben estar disponibles aunque los sistemas estén caídos.
• Documenta qué se restauró, desde qué punto y qué datos se perdieron.
• Avisa a los usuarios qué trabajo deben rehacer (lo hecho entre el respaldo y el incidente).

• NIST. SP 800-184 — Guide for Cybersecurity Event Recovery (2016). https://csrc.nist.gov/pubs/sp/800/184/final
• NIST. SP 1800-11 — Data Integrity: Recovering from Ransomware and Other Destructive Events (2020). https://csrc.nist.gov/pubs/sp/1800/11/final
• CISA. #StopRansomware Guide (2023), sección de recuperación. https://www.cisa.gov/stopransomware/ransomware-guide
• Greenberg, A. «The Untold Story of NotPetya, the Most Devastating Cyberattack in History». Wired, 2018.