Enhancing Ransomware Resilience in VMware Environments ThroughImmutable Backup Architectures A Comparative Study of Veeam Backup & Replication and Cohesity Data Protect

En el mundo digital moderno, las empresas dependen de vastas redes de máquinas virtuales para ejecutar sus operaciones más críticas, desde transacciones bancarias hasta registros hospitalarios. Estos sistemas virtuales viven en servidores potentes, a menudo gestionados por un sistema de control central. Si bien esta configuración ofrece una gran eficiencia, también crea un punto único de falla: si un atacante toma el control del sistema de gestión, puede bloquear o destruir toda la red. Esta es la realidad del ransomware, un tipo de software malicioso que cifra los datos y exige un pago para su liberación. En años recientes, los atacantes han evolucionado más allá de simplemente bloquear archivos; ahora buscan y destruyen activamente las copias de seguridad, sabiendo que sin una forma de restaurar los datos, las organizaciones se ven obligadas a pagar. Para contrarrestar esto, los expertos en seguridad han recurrido a un concepto llamado inmutabilidad. En términos sencillos, una copia de seguridad inmutable es una copia de datos que queda bloqueada en el tiempo. Una vez creada, no puede ser alterada, eliminada o cifrada durante un periodo determinado, sin importar quién intente acceder a ella. Esto crea un puerto seguro de datos limpios que permanece intacto incluso si el resto del sistema cae bajo un ataque.

Un estudio reciente de los investigadores independientes Nawa Abduljalil Abdulaziz Abdulnoor, Ahmed Razzaz Ahmed Qaid y Rani Abduljalil Abdulaziz Abdulnoor examina cómo dos importantes plataformas de protección de datos, Veeam Backup & Replication y Cohesity DataProtect, utilizan estos principios de inmutabilidad para defender los entornos virtuales. Los investigadores no realizaron pruebas de laboratorio ni simularon ataques; en su lugar, llevaron a cabo una comparación detallada de la documentación oficial y los diseños arquitectónicos de ambos sistemas. Su objetivo era comprender cómo cada plataforma maneja el desafío específico de proteger las copias de seguridad en un entorno VMware, donde muchas máquinas virtuales comparten el mismo hardware subyacente y las mismas herramientas de gestión. El estudio encuentra que, si bien ambas empresas ofrecen soluciones robustas para evitar que el ransomware borre los datos de recuperación, toman caminos fundamentalmente diferentes para lograrlo.

La primera plataforma, Veeam, se basa en una estrategia de flexibilidad y construcción especializada. Para hacer que una copia de seguridad sea inmutable, Veeam suele utilizar un "repositorio de Linux endurecido". Imagine una bóveda segura construida con un tipo específico de piedra que es difícil de romper; en este caso, la "piedra" es un sistema operativo Linux especialmente configurado. Cuando una copia de seguridad se escribe en este repositorio, el sistema aplica un bloqueo que impide que cualquier archivo sea movido, cambiado o eliminado durante una duración específica. Esta protección ocurre a nivel de almacenamiento, lo que significa que los archivos mismos están custodiados por el sistema que los contiene. Veeam también utiliza un truco ingenioso con las contraseñas: genera credenciales de un solo uso para mover los datos hacia esta bóveda. Una vez que los datos están dentro, la contraseña se descarta, por lo que incluso si un atacante roba el inicio de sesión del administrador principal, no puede usarlo para abrir la bóveda y eliminar las copias de seguridad. Además, Veeam ofrece una función llamada Secure Restore, que actúa como un control de seguridad final. Antes de que una máquina restaurada sea permitida de regreso en la red en vivo, el sistema la escanea en busca de malware oculto, asegurando que el proceso de recuperación no traiga accidentalmente de vuelta el virus.

La segunda plataforma, Cohesity, aborda el problema desde la perspectiva de un sistema unificado y todo en uno. En lugar de depender de una bóveda de almacenamiento separada y construida especialmente, Cohesity incorpora la inmutabilidad directamente en el núcleo de su plataforma de software. Utiliza un sistema de archivos nativo que trata cada instantánea (snapshot) de la copia de seguridad como un objeto bloqueado desde el momento de su creación. Esto significa que la protección está tejida en el tejido de todo el sistema, no solo añadida como una capa extra. Cohesity también enfatiza un modelo de seguridad de "Confianza Cero" (Zero Trust), que asume que ningún usuario, incluso un administrador, debe ser confiado implícitamente. Para hacer cumplir esto, el sistema puede requerir múltiples aprobaciones, o un "quórum", antes de que se pueda tomar cualquier acción destructiva. Si una cuenta de administrador es comprometida, el atacante no puede eliminar las copias de seguridad por sí solo; necesitaría engañar a varias otras cuentas simultáneamente. Además, Cohesity integra inteligencia artificial y aprendizaje automático a través de una herramienta llamada DataHawk. Este sistema vigila constantemente comportamientos extraños, como un usuario que de repente elimina miles de archivos o datos que cambian de formas inusuales, y señala estas anomalías como posibles ataques de ransomware antes de que el daño esté hecho.

Los investigadores concluyeron que ninguno de los sistemas es una solución mágica que resuelva el problema del ransomware por sí solo. Tanto Veeam como Cohesity proporcionan defensas técnicas sólidas, pero su efectividad depende enteramente de cómo se configuren y gestionen. Veeam ofrece un control más granular, permitiendo a las organizaciones diseñar arquitecturas de almacenamiento complejas y de múltiples capas, pero esto requiere un equipo con un profundo conocimiento técnico para configurarlo correctamente. Si la configuración es defectuosa, la protección puede fallar. Cohesity, por el contrario, ofrece una experiencia más simplificada donde las funciones de seguridad como la inmutabilidad y la detección de amenazas están integradas en la plataforma por defecto, lo que la hace más fácil de gestionar pero requiere confiar en el diseño integrado del proveedor. El estudio sugiere que la mejor elección depende de las necesidades específicas de una organización: aquellas con entornos de almacenamiento grandes y diversos junto con personal de TI capacitado podrían preferir la flexibilidad de Veeam, mientras que aquellas que buscan un enfoque centralizado y simplificado podrían encontrar a Cohesity más adecuado.

En última instancia, el artículo enfatiza que la tecnología por sí sola no puede garantizar la seguridad. Los investigadores señalan que incluso el sistema de respaldo más avanzado fallará si las personas que lo gestionan no siguen reglas de seguridad estrictas. Esto incluye separar las cuentas utilizadas para el trabajo diario de aquellas utilizadas para las copias de seguridad, utilizar la autenticación de múltiples factores para prevenir inicios de sesión no autorizados y mantener toda la red dividida en zonas seguras para que una infección en un área no pueda propagarse a las copias de seguridad. Quizás lo más importante, el estudio destaca que una copia de seguridad solo es valiosa si ha sido probada. Las organizaciones deben intentar regularmente restaurar sus datos para asegurar que realmente funcionan y que los archivos están limpios. Los investigadores encontraron que la defensa más fuerte contra el ransomware no es un producto único, sino una combinación de tecnología inmutable, hábitos operativos disciplinados y una cultura de verificación constante. Al final, el objetivo es asegurar que cuando ocurra un ataque, la organización tenga una copia de sus datos confiable e inalterable esperando ser utilizada, permitiéndole recuperarse sin pagar un rescate.