Aunque todo responsable o administrador de TI sabe que un plan sólido de recuperación de Active Directory es un componente esencial de cualquier estrategia de continuidad del negocio, calcular el retorno de la inversión (ROI) práctico de un plan de recuperación de AD optimizado resulta notoriamente complicado. Hay demasiadas variables en juego como para generar un cálculo exacto y fundamentado. Y, para dejar claras las expectativas desde el principio: aquí no voy a ofrecer ningún tipo de calculadora interactiva de ROI.
En su lugar, quiero echar un vistazo a algunas formas prácticas de ver el rendimiento de su inversión para garantizar una recuperación adecuada de AD, lo que le permite hacer sus propios cálculos y llegar a sus propias conclusiones. Perder un controlador de dominio es un problema en sí mismo, pero veamos otro escenario cada vez más común que tiene consecuencias catastróficas: un ataque de ransomware que elimina todos los controladores de dominio de todos los sitios de la empresa. En esta situación, la recuperación de AD puede ser un reto muy complicado.
En el último año, hemos hablado de decenas de ataques de ransomware en los que los ciberdelincuentes modificaron AD de una forma u otra -mucho más allá de los cambios básicos en cuentas de usuario o contraseñas- para entrar en los sistemas de información y moverse lateralmente para propagar el malware. Los arquitectos del ransomware cuentan ahora con ingenieros en plantilla que diseccionan AD y sus actualizaciones de seguridad en busca de oportunidades para elevar los permisos y distribuir rápidamente el malware por toda la organización. Los análisis forenses posteriores a ataques anteriores de ransomware relacionados con AD han revelado que las amenazas se centran principalmente en los cambios en las cuentas de grupo, las cuentas de usuario, los objetos de directiva de grupo, el SYSVOL y los controladores de dominio.
Teniendo en cuenta estas tácticas de los ciberdelincuentes, considere los siguientes factores a la hora de calcular su propio ROI de recuperación de AD:
- Coste de las pérdidas operativas: Es probable que una parte importante de sus operaciones dependa de que AD esté en funcionamiento para autenticar a los usuarios como base para proporcionar acceso a aplicaciones, sistemas y datos. Por cada hora que AD no pueda funcionar, ¿cuántos ingresos o productividad perdería su empresa? ¿Cuántas horas, días o semanas pasarán antes de que la empresa llegue a un punto de no retorno y no pueda recuperarse económicamente? ¿Recuerda el ataque de ransomware a la ciudad de Baltimore? La recuperación de sus operaciones llevó meses y costó más de 18 millones de dólares.
- Falta de un plan de continuidad de negocio que incluya AD: Si su organización es lo suficientemente madura, tiene un plan de BC/DR en marcha que define el trabajo necesario para restaurar las operaciones de negocio después de una interrupción. La mayoría de los planes tienen en cuenta la pérdida de infraestructura o de una ubicación tras un desastre natural. Pero pocas empresas tienen un plan específico para restaurar el negocio tras un ciberataque, y especialmente uno tan impredecible como un ataque de ransomware. La forma de recuperar AD en un escenario como éste depende de los cambios que los ciberdelincuentes hayan realizado en AD. Es posible que planee recuperar AD a una versión anterior, pero ¿cómo determina cuánto tiempo atrás debe retroceder para encontrar una versión segura conocida? ¿Qué sistemas, servicios y aplicaciones dependientes de AD se verán afectados o no funcionarán en absoluto debido a una recuperación general a un estado anterior de AD? ¿Está seguro de poder encontrar una copia de seguridad reciente y sin malware a partir de la cual restaurar? Sin un plan o la capacidad de comprender qué cambió en AD antes de la recuperación, su organización gastará un tiempo incalculable en arreglar todos los problemas que causó la recuperación.
- La recuperación puede no ser la respuesta: Si todos los cambios realizados por los delincuentes durante un ataque se reducen a, digamos, añadir una cuenta al grupo de Administradores de Dominio, entonces recuperar AD a hace unos días o al mes pasado podría no ser la respuesta correcta. En su lugar, quizás el método menos costoso sea monitorizar los cambios en AD y tener la capacidad de no permitir cambios en cuentas "protegidas" (como el grupo de Administradores de Dominio) o revertir automáticamente un cambio a una configuración sancionada.
Las consideraciones anteriores se resumen en tres riesgos: el riesgo de una recuperación lenta, el riesgo de una recuperación que genere más trabajo de corrección y el riesgo de una recuperación que pueda considerarse excesiva para la naturaleza de los cambios realizados en AD.
Un enfoque diferente para calcular el ROI de la recuperación de EA
En lugar de buscar el ROI de la recuperación de AD utilizando alguna calculadora que haya encontrado en Internet, la mejor opción es trabajar con varios escenarios del mundo real y evaluar cómo le iría a su medio actual de recuperación de AD respondiendo a las siguientes preguntas basadas en los factores descritos anteriormente:
- ¿Qué partes críticas de la operación dependen de AD para funcionar? ¿Cuál es el coste estimado de su inactividad?
- ¿Cuánto tiempo se tardará en recuperar AD en función de los cambios realizados durante un ataque?
- ¿Dispone de visibilidad sobre los cambios maliciosos realizados en AD y, si no es así, desde cuándo tendrá que investigar y cuánto tiempo le llevará?
- ¿La recuperación afectará a otras partes de las operaciones que tendrás que arreglar y, en caso afirmativo, cuánto tiempo llevará? (Recuerda que algunas contraseñas de cuentas de usuario y de ordenador no coincidirán, lo que impedirá iniciar sesión en el dominio. Además, es posible que en las versiones anteriores falten cuentas, pertenencias a grupos, registros DNS, etc.)
- ¿Estás seguro de que la recuperación te llevará a un estado que se sabe que es seguro? Ten en cuenta la diferencia entre reanudar las operaciones empresariales y recuperarlas: si no dispones de una copia de seguridad limpia y libre de malware a partir de la cual recuperarte, corres el riesgo de reintroducir las mismas vulnerabilidades que te dejaron expuesto a los ataques en primer lugar.
En resumen, el retorno de la inversión (ROI) de la recuperación de AD tiene mucho más que ver con tu capacidad actual para recuperarte y alcanzar un estado conocido como productivo y seguro tras un ataque que con una calculadora de ROI en línea que no tiene en cuenta la miríada de variables que intervienen en un ataque de ransomware. (Pero si quieres ver una calculadora de ROI en acción, echa un vistazo a esta calculadora de tiempo de inactividad de AD de Itergy). Al analizar algunos escenarios y reflexionar específicamente sobre cuáles son tus capacidades actuales de recuperación, descubrirás costes que pueden eliminarse si se cuenta con una solución adecuada de recuperación de AD, diseñada para proteger contra cambios maliciosos en AD, prevenirlos y recuperarse de ellos.
Historias breves sobre el terreno:
Semperis proporciona una recuperación ante desastres de primera clase para Active Directory. Algunos de los resultados que nuestros clientes han reportado después de implementar Semperis Active Directory Forest Recovery:
- La aerolínea israelí El Al desplegó Semperis ADFR y redujo el tiempo de recuperación completa del bosque AD de 24 a dos horas.
- Un minorista global con 2,2 millones de usuarios y 500 centros de distribución cambió a Semperis ADFR desde su solución existente y redujo el tiempo de recuperación de un bosque de AD de 6 días a 6 horas.
- Una empresa sanitaria con un DIT de 65 GB redujo el tiempo de recuperación del bosque AD de 1,5 días con su solución existente a menos de 4 horas con Semperis ADFR.
«Hemos protegido tres bosques con ADFR. Nuestras restauraciones de prueba son fiables, y estoy convencido de que podríamos recuperar por completo nuestros bosques de AD en poco tiempo utilizando la opción «Recuperación completa del bosque».»
Vea la reseña completa en Gartner Peer Insights
¿Desea obtener más información? Consulte los siguientes recursos de nuestro equipo de expertos en AD para obtener más información sobre cómo garantizar un plan completo de recuperación de AD.
