Acelerar AD Forest Recovery tras un ciberataque

El BMR, aunque históricamente ha sido una forma cómoda de recuperar un servidor entero, tiene varios inconvenientes en un incidente de ataque AD.

La primera es la posible reintroducción de malware. BMR realiza copias de seguridad y restaura todo en el controlador de dominio (DC), incluidos el sistema operativo, el registro y los archivos de sistema. En el caso de un ciberataque, la copia de seguridad podría contener rootkits, ransomware u otro malware instalado por los actores de la amenaza. Al restaurar la copia de seguridad, esos archivos DLL y ejecutables maliciosos se restaurarán junto con la copia de seguridad.

La segunda es la pérdida de datos. Determinar la ventana temporal para una copia de seguridad libre de malware puede ser difícil si -como en el caso de muchos ciberataques recientes- el malware permanece latente durante semanas o meses antes de ser descubierto. Cuanto más lejos en el tiempo haya que ir para encontrar una copia de seguridad limpia, más datos se pierden.

El tercer inconveniente de la recuperación BMR son los cortes prolongados. BMR prolonga el tiempo de recuperación de varias maneras:

• Configuración del hardware: BMR está diseñado para la recuperación a hardware coincidente, por lo que dependes de otra infraestructura que podría no estar funcionando debido al ataque.
• Recuperación de copias de seguridad: Dado que las copias de seguridad BMR contienen todo el sistema, son de gran tamaño. Las copias de seguridad más grandes consumen más almacenamiento y ancho de banda de red y tardan más en recuperarse, especialmente cuando se almacenan en la nube.
• Reconstrucción de AD: Restaurar AD a partir de una copia de seguridad BMR antigua requiere recrear los cambios de directorio, reconfigurar las aplicaciones, volver a unir las estaciones de trabajo, todo lo cual requiere un tiempo que retrasa la recuperación.
• Selección de copias de seguridad: Encontrar una copia de seguridad BMR limpia es un proceso iterativo (recuperar, montar, extraer, probar, repetir) que lleva tiempo, lo que retrasa aún más la recuperación.

Para garantizar la recuperación de AD en un escenario de ciberataque, necesita la capacidad de:

• Recuperar varios bosques de AD
• Recupere AD más rápido de lo que podría hacerlo manualmente automatizando el proceso, idealmente en minutos u horas.
• Recuperar AD sin reintroducir malware
• Recupere AD aunque sus DC estén infectados o hayan desaparecido
• Aprovisionamiento rápido de nuevo hardware físico o virtual para la recuperación
• Configure y pruebe fácilmente su plan de recuperación de bosques de AD
• Realice fácilmente análisis forenses posteriores a la violación para asegurarse de que se ha erradicado el malware (está restaurando AD a un entorno limpio).

No: las instantáneas de DC no sustituyen a una solución específica de copia de seguridad y recuperación de AD para ciberdesastres, por varias razones. En primer lugar, un bosque recuperado a partir de instantáneas tendrá problemas de consistencia de datos. En segundo lugar, si había malware en los centros de distribución en el momento de la instantánea, simplemente estará restaurando el malware. En tercer lugar, deberá reconstruir los servidores que no restaure a partir de las instantáneas, lo que supondrá un proceso manual, lento y propenso a errores. Para más detalles sobre esto, consulte "Por qué las instantáneas de DC no sustituyen a las copias de seguridad de Active Directory". En cuarto lugar, Microsoft no recomienda las instantáneas de DC para la recuperación ante desastres. 

Las copias de seguridad de AD sin conexión son una parte esencial de cualquier estrategia integral de protección de datos. Al guardar las copias de seguridad en un servidor no unido a un dominio, las empresas pueden garantizar un punto de partida seguro para la recuperación de AD. Para mejorar aún más la seguridad, se recomienda proteger las copias de seguridad para que no se sobrescriban utilizando una metodología de almacenamiento fuera de línea segura y probada. Como alternativa, se pueden utilizar herramientas de terceros para copiar imágenes de copia de seguridad en el almacenamiento blob de Azure o AWS para aumentar la redundancia. Para obtener más información, consulte "Qué hacer y qué no hacer en la recuperación de AD".