restowbackup
Probar demoComprar licencia

Copias inmutables, WORM, air gap y ransomware: qué protege una copia de seguridad frente a un atacante

La CISA (en inglés) señala que la mayoría de los grupos de ransomware intentan localizar las copias de seguridad accesibles y borrarlas o cifrarlas, para que restaurar sea imposible si no se paga el rescate, e INCIBE advierte de que hay variantes que cifran también los ficheros de las copias. Dos medidas responden a ello. Una copia inmutable está en un almacenamiento de escritura única, como S3 Object Lock, que se niega a modificar o borrar los datos hasta una fecha fijada. Una copia sin conexión o con aislamiento físico (air gap) no está conectada cuando el atacante está en su red. Cada una ayuda contra un ataque distinto, ninguna lo cubre todo y una copia que nunca se ha restaurado no está protegida por ninguna de las dos.

Lucas Flores Por , IT Systeme Flores UG. Última actualización:

¿Cómo atacan los delincuentes las copias de seguridad?

La guía #StopRansomware de la CISA (en inglés) dice que la mayoría de los grupos de ransomware intentan localizar las copias de seguridad accesibles y después borrarlas o cifrarlas, para que restaurar sea imposible si no se paga el rescate. Buscan credenciales guardadas en el entorno y las usan contra las soluciones de copia, y emplean exploits públicos contra las soluciones de copia que no están parcheadas. La CISA advierte además de que una copia automática en la nube que solo sincroniza ficheros puede no bastar: si los ficheros locales se cifran, los ficheros cifrados se sincronizan y pueden sobrescribir datos buenos en la nube.

MITRE ATT&CK (en inglés) describe las técnicas con más detalle bajo «Inhibit System Recovery». Los atacantes borran con herramientas integradas las instantáneas de volumen de Windows y el catálogo de copias, borran instantáneas de máquinas virtuales y borran copias en línea que están en almacenamiento de red o en carpetas sincronizadas con la nube. En entornos en la nube desactivan el control de versiones y las políticas de copia y después borran instantáneas, copias y versiones anteriores de objetos. En España, la AEPD cuenta en una entrada de blog de 2019 que algunos ransomware que entran por escritorio remoto desactivan, una vez dentro, protecciones como las instantáneas de volumen o los puntos de restauración y cifran toda la información del sistema. Y la guía de INCIBE sobre ransomware explica que algunas variedades cifran, además del equipo infectado, los dispositivos de almacenamiento conectados, los recursos de red compartidos asociados y los servicios en la nube que están mapeados en el equipo, y que hay variantes que cifran también los ficheros de las copias que están en otros discos o en almacenamiento de red.

El hilo común es el acceso. Un atacante usa las mismas credenciales, la misma ruta de red y el mismo rol de administrador que usa su software de copia. Una copia que el software puede borrar también puede borrarla un atacante con el acceso de ese software. Las dos medidas siguientes son formas de hacer que ese acceso importe menos.

¿Qué aportan la inmutabilidad y WORM?

Inmutable significa que el propio almacenamiento impide, durante un periodo fijado, que los datos se modifiquen o se borren, en lugar de confiar en que el software de copia se porte bien. WORM (write once, read many: escritura única y lectura múltiple) es el modelo: el diccionario de SNIA (en inglés) lo describe como almacenamiento para contenido fijo que conserva de forma inmutable lo que se escribe en él.

El ejemplo más extendido es Bloqueo de objetos de Amazon S3 (S3 Object Lock). Protege una versión individual de un objeto de una de dos formas, con un periodo de retención con fecha de fin o con una retención legal sin ella, y solo funciona en buckets con el control de versiones activado. Un borrado permanente de una versión bloqueada se rechaza. Un borrado sencillo, sin identificador de versión, se acepta, pero solo añade un marcador de eliminación encima, y las versiones bloqueadas siguen debajo. Otros servicios compatibles con S3 también ofrecen Object Lock, con sus propios límites: la documentación de Hetzner (en inglés), por ejemplo, dice que hay que activarlo al crear el bucket y que no se puede añadir después.

¿Qué diferencia hay entre el modo de gobernanza y el modo de cumplimiento?

Un periodo de retención tiene uno de dos modos, y la elección es el núcleo del asunto (la documentación de AWS en español los llama «modo Gobierno» y «modo Cumplimiento»):

Pregunta Modo de gobernanza Modo de cumplimiento
Quién puede borrar antes de la fecha Los usuarios con un permiso especial (s3:BypassGovernanceRetention) que piden la anulación de forma explícita. Nadie, ni siquiera el usuario raíz de la cuenta.
Si se puede acortar o quitar el bloqueo Sí, con ese permiso. No. El modo no se puede cambiar y el periodo no se puede acortar.
Para qué sirve Protección frente a errores y frente a la mayoría de las cuentas, con una salida; probar un ajuste de retención antes de comprometerse. Datos que nadie debe poder borrar durante el periodo, por ejemplo por una normativa que lo exija.
El inconveniente Un atacante que consiga un rol con el permiso de anulación puede quitar el bloqueo. La consola de S3 envía por defecto el encabezado de anulación. Un periodo equivocado no se puede deshacer, y AWS indica como única forma de eliminar los datos antes de tiempo eliminar la cuenta de AWS asociada.

Una retención legal (legal hold) da la misma protección que un periodo de retención sin fecha de fin, y permanece hasta que alguien con el permiso adecuado la quita. La CISA añade una advertencia que vale para todo: el almacenamiento inmutable no cumple los criterios de conformidad de ciertas normativas, y una mala configuración puede suponer un coste importante, porque se paga por lo que no se puede borrar.

¿Qué no cubre la inmutabilidad?

¿Qué añaden las copias sin conexión y el aislamiento físico (air gap)?

El NIST (en inglés) describe un air gap como una interfaz entre dos sistemas que no están conectados físicamente y en la que cualquier conexión lógica no es automática: los datos pasan solo a mano, bajo control humano. Para las copias significa una copia que está desconectada cuando nadie escribe en ella. En su guía sobre ransomware, INCIBE aconseja guardar las copias en un lugar distinto del servidor de ficheros y, siempre que sea posible, en discos físicos (DVD o Blu-ray) o en soportes externos no conectados a la red, porque hay variantes que cifran incluso los ficheros de las copias que están en otros discos o en almacenamiento de red. Si la copia está en la nube y se sincroniza de forma continua, avisa de que algunas familias de ransomware también cifran y bloquean esas copias, y recomienda desactivar la sincronización persistente. Su guía de copias pide además al menos una copia fuera de la organización. La guía de la CISA también pide copias sin conexión, cifradas y probadas. Nuestra sugerencia: compruebe de vez en cuando que la separación sigue siendo real, por ejemplo intentando llegar a la copia con una cuenta de administrador, lo que no debería funcionar.

La cinta es el medio clásico sin conexión. El LTO Program (en inglés) menciona cartuchos de escritura única desde LTO-3 y cifrado por hardware desde LTO-4, y describe las cintas que se sacan de línea y se llevan fuera como separadas físicamente de los atacantes. INCIBE cita también los discos ópticos grabados, como el Blu-ray, que no se pueden modificar una vez grabados, con el inconveniente de que pueden deteriorarse a medio o largo plazo. El precio es el proceso: alguien tiene que rotar los soportes, la copia sin conexión es tan antigua como la última rotación y restaurar desde cinta es más lento que desde disco.

¿Qué medida ayuda contra qué ataque?

Ataque Qué ayuda Qué no
Los ficheros se cifran en el origen y la copia los sigue Puntos de restauración con versiones que llegan hasta antes de la infección; comprobaciones de restauración. Una simple sincronización o un espejo, que copia también el daño.
Se usan credenciales de administrador robadas para borrar copias Bloqueo en modo de cumplimiento; credenciales distintas para el almacenamiento de copias; autenticación multifactor para el borrado. El modo de gobernanza, si el rol robado tiene el permiso de anulación.
Se toma el control del propio servidor de copias Almacenamiento que impone el bloqueo; orígenes que solo pueden añadir; una copia sin conexión. Una inmutabilidad que solo impone la aplicación de copia.
Se pierde o se cierra la cuenta del proveedor Una copia en otro proveedor con otro acceso. Un segundo bucket en la misma cuenta.
Los puntos de restauración antiguos ya están infectados Un periodo de bloqueo más largo que el tiempo que un intruso puede pasar sin ser detectado; revisar antes de restaurar. Un bloqueo corto que caduca antes.
Se roban los datos y se amenaza con publicarlos Almacenar menos; cifrado y control de acceso de los propios datos. Cualquier medida de copia.

¿Cuál es un mínimo razonable para una pyme?

  1. Siga la idea de la 3-2-1-1-0: al menos una copia inmutable o sin conexión, y una restauración que se haya probado.
  2. Dé al almacenamiento de copias credenciales distintas de las cuentas de administrador de los sistemas que protege.
  3. Haga que alguien reciba un aviso cuando una copia falle o esté retrasada, porque una copia borrada se parece a una copia que falta.
  4. Conserve los puntos de restauración el tiempo suficiente para llegar hasta antes del momento en que un intruso pudo entrar en la red, y compruebe lo que trae una restauración antes de volver a conectarla.
  5. Elija la medida que pueda mantener. Un disco sin conexión que se rota cada semana y se prueba vale más que un bucket con Object Lock que nadie ha comprobado.

Cómo lo resuelve Restow

Desde la 0.4.0, Restow puede bloquear por sí mismo los datos de copia, y juzga cada punto de restauración nuevo en busca de señales de ransomware. Esto es lo que eso hace, lo que le deja a usted y dónde termina. Las etiquetas de la interfaz que se citan son traducciones (el producto no tiene textos en español): «Copias inmutables» (en la interfaz en inglés, «Immutable backups»).

Copias inmutables, por repositorio

Cada repositorio tiene su propio ajuste de inmutabilidad. Está desactivado hasta que un administrador lo activa en Repositorios («Cambiar la inmutabilidad», en inglés «Change immutability»), y antes de eso no se bloquea nada.

  • S3 con Object Lock, en modo compliance o governance, de 1 a 3650 días. Al activarlo se comprueba el bucket y se rechaza uno sin Object Lock. Object Lock solo se puede activar al crear un bucket, así que un bucket existente que no lo tenga no se puede usar. Cada objeto bloqueado se escribe con una fecha de fin de retención igual al periodo más 7 días, y la tarea diaria de retención renueva cada objeto que sigue en uso cuando la última renovación tiene 6 días, porque la deduplicación permite que un punto de restauración nuevo se apoye en paquetes escritos hace meses. Restow nunca envía la cabecera de omisión del modo governance. Cuando la retención, la recolección de basura o una poda encuentra un objeto todavía bloqueado, el borrado cuenta como «todavía no»: el punto de restauración sigue visible y se puede restaurar, y el espacio vuelve cuando el bloqueo ha vencido.
  • Un directorio (el volumen de Docker, un recurso NFS) recibe solo un retraso de borrado («Retraso de borrado (no inmutable)»): el propio código de Restow se niega a borrar o sobrescribir un fichero de copia antes de que pase el periodo. Eso protege contra el mal uso de Restow, como una cuenta de administrador robada o una política de retención acortada para borrar puntos de restauración. No protege contra quien tenga acceso al servidor o al recurso, y la interfaz dice que no es inmutabilidad.

Se bloquean los paquetes, los manifiestos confirmados y las claves envueltas del almacén de fragmentos (Microsoft 365, incluido SharePoint, IMAP, los discos de las VM de Proxmox VE y el contenido de los mensajes del archivo) y los objetos data, snapshots, keys y config de cada repositorio restic (servidores y equipos, recursos compartidos de archivos, contenedores de Proxmox VE). No se bloquean los puntos de control, el área de preparación, las exportaciones y las descargas, ni los ficheros locks e index de restic; restic repair index reconstruye el índice a partir de los paquetes bloqueados. Los registros de los elementos del archivo conservan su propia retención, como antes. Un punto de restauración muestra «Inmutable hasta» con una fecha, en verde solo cuando el propio almacenamiento ha comunicado un bloqueo compliance. Aumentar la protección está abierto a quien pueda configurar el repositorio; reducirla (menos días, un modo más débil, desactivarla) es cosa del propietario del proveedor con un inicio de sesión reciente, vale solo para los datos escritos a partir de entonces y queda auditado.

Lo que no cubre

  • Quien controle Restow puede detener los bloqueos nuevos y la renovación. Lo que estaba bloqueado sigue bloqueado hasta su fecha, pero las copias nuevas posteriores no están protegidas.
  • Un bloqueo governance lo levanta cualquier cuenta con s3:BypassGovernanceRetention. Dé a la clave de Restow una política sin él, y sin s3:PutBucketObjectLockConfiguration ni s3:PutBucketVersioning, o use el modo compliance.
  • Los marcadores de borrado y las versiones más nuevas pueden ocultar datos bloqueados. Las versiones bloqueadas siguen ahí y se pueden recuperar, pero da trabajo.
  • La clave maestra no está en el bucket. Guarde una copia lejos del servidor, o los datos bloqueados no se podrán abrir.
  • El repositorio predeterminado de la instalación no se puede hacer inmutable: dé al inquilino un repositorio propio o una copia inmutable. Un inquilino cuya planificación de retención se eliminó no se renueva, y el espacio de los datos borrados vuelve solo cuando ha vencido su bloqueo.
  • Pruebas. Las copias inmutables se probaron con un servicio S3 simulado con Object Lock, todavía no con un servicio S3 real con Object Lock ni con un bucket real de Hetzner. No hemos probado Restow con un bucket con retención predeterminada de Object Lock; trate esa combinación como no probada.

La imagen completa, incluidos los permisos que necesita la clave de acceso, está en la página de almacenamiento.

Detección de ransomware

Cada punto de restauración nuevo se juzga en busca de señales de ransomware a partir de datos que la copia ya tiene: la cantidad de cambios frente al propio historial del objeto, los borrados, las extensiones renombradas, los nombres de ransomware conocidos, los ficheros de muestra que parecen cifrados y los datos que no se comprimen ni se deduplican. Un punto de restauración sospechoso recibe una etiqueta roja («Sospechoso», en inglés «Suspicious»), las vistas de restauración ofrecen el más reciente sin hallazgos, se envía una alerta una vez por ataque y la retención de ese objeto se pausa («Retención en pausa») hasta que un administrador marca el hallazgo como falsa alarma o libera la retención, para que los puntos de restauración limpios más antiguos no se eliminen mientras se acumulan los cifrados. Es un sistema de aviso temprano, no un antivirus; un punto de restauración sin hallazgos no demuestra nada; y se probó con ataques simulados, no con ransomware real. Véase detección de ransomware.

Qué más hace Restow

  • Agentes solo anexado (append-only) para servidores y equipos. El agente puede añadir copias, pero nunca borrarlas ni sobrescribirlas. El servidor de Restow lo impone, y la retención y la limpieza se ejecutan solo en el servidor. El agente nunca tiene las credenciales del almacenamiento; un secreto de agente robado permitiría escribir copias nuevas en el repositorio de esa máquina y leerlo, pero no borrar nada. Los nodos de Proxmox VE (una vista previa) pueden leer y añadir copias de su propio clúster, pero no borrarlas.
  • Cifrado. Cada fragmento (chunk) se cifra con AES-256-GCM antes de escribirse, con una clave distinta por inquilino. Eso protege la confidencialidad; no impide el borrado.
  • Una segunda copia con credenciales separadas. Cada repositorio tiene sus propias claves de acceso, y un repositorio de copia puede estar en otro proveedor, con su propio ajuste de inmutabilidad. Una copia cubre correo, calendario, contactos, OneDrive, SharePoint, IMAP y los datos de las máquinas virtuales de Proxmox VE; los servidores, los equipos, los recursos compartidos de archivos y los contenedores de Proxmox VE permanecen en el repositorio principal, así que para ellos el principal tiene que ser el inmutable. El servidor de Restow tiene las credenciales de todos los repositorios y ejecuta la retención, así que quien tome el control de ese servidor puede llegar a ambas copias. Proteja el servidor y la clave maestra en consecuencia.
  • Detección. Una comprobación de restauración semanal relee una muestra de cada copia y la compara con las sumas de comprobación registradas, de modo que los datos dañados o ilegibles se noten. La comprobación del almacenamiento lee una muestra cada semana y cada paquete almacenado una vez al mes. Las lecturas y las restauraciones se escriben en un registro de auditoría con cadena de hashes, y las alertas cubren las copias fallidas y las retrasadas.

Lo que Restow le deja a usted

Restow no tiene ninguna función para desconectar o rotar soportes, así que una copia sin conexión tiene que hacerse fuera de Restow, y debería probar una restauración desde ella, claves incluidas. No puede saber si su repositorio de copia comparte un dominio de fallo con el principal; elegir otro proveedor u otra sede es decisión suya, y también elegir el periodo de bloqueo. Véanse cifrado y gestión de claves, copia de servidores y equipos y almacenamiento.

Preguntas frecuentes

¿Qué diferencia hay entre el modo de gobernanza y el modo de cumplimiento?

Los dos son modos de retención de S3 Object Lock. En el modo de gobernanza, la mayoría de los usuarios no pueden borrar ni cambiar una versión bloqueada de un objeto, pero un usuario con un permiso especial puede anular el bloqueo. En el modo de cumplimiento no puede nadie, ni siquiera el usuario raíz de la cuenta, y el periodo no se puede acortar; AWS señala que la única forma de eludirlo antes de la fecha es eliminar la cuenta entera.

¿Es lo mismo una copia inmutable que una copia con aislamiento físico (air gap)?

No. Una copia inmutable está en un almacenamiento conectado que se niega a modificar o borrar datos hasta una fecha. Una copia con air gap o sin conexión no está conectada cuando un atacante está en su red. La primera protege frente al borrado por parte de cualquiera que alcance el almacenamiento, la segunda frente a cualquiera que no pueda llegar físicamente a la copia, y fallan de formas distintas.

¿Me protege la inmutabilidad del ransomware?

Protege los puntos de restauración almacenados para que no se borren ni se sobrescriban durante el periodo de bloqueo. No limpia los datos que se copiaron antes de una infección, así que los puntos de restauración más antiguos siguen importando, y no impide que un atacante robe datos. Pruebe las restauraciones y conserve puntos de restauración anteriores al momento en que un intruso pudo estar en la red.

¿Cuánto debería durar un periodo de bloqueo?

No hay un estándar. Si un intruso entra en la red y tarda en actuar, un bloqueo más corto que ese intervalo puede dejar solo puntos de restauración ya infectados, y INCIBE recomienda restaurar la copia más reciente anterior a la infección. Un bloqueo más largo cuesta almacenamiento y en modo de cumplimiento no se puede deshacer; elija un periodo que pueda pagar y pruébelo antes de fiarse de él.

¿Admite Restow Object Lock?

Sí, desde la 0.4.0, por repositorio. En un bucket S3 creado con Object Lock, Restow puede bloquear los datos de copia en modo compliance o governance durante 1 a 3650 días y renueva el bloqueo mientras los datos están en uso. Un directorio recibe solo un retraso de borrado, que no es inmutabilidad. No ayuda si alguien que controla Restow detiene los bloqueos, un bloqueo governance se puede levantar con el permiso de omisión, y se probó con un servicio S3 simulado, todavía no con uno real. Una copia sin conexión sigue teniendo que hacerse fuera de Restow.

¿Detecta Restow el ransomware?

Juzga cada punto de restauración nuevo en busca de señales y pausa la retención del objeto hasta que un administrador resuelva el hallazgo, para que los puntos de restauración limpios más antiguos no se eliminen. Es un sistema de aviso temprano, no un antivirus, y un punto de restauración sin hallazgos no demuestra nada. Se probó con ataques simulados, no con ransomware real.

Fuentes

Consultado el 16 de octubre de 2026.

  1. INCIBE: Ransomware, una guía de aproximación para el empresario (2020). Variantes que cifran también los ficheros de las copias y los recursos de red, copias fuera de la red, sincronización en la nube, doxware, restaurar la copia anterior a la infección (apartados 2, 3.2.1 y 4)
  2. INCIBE: Copias de seguridad, una guía de aproximación para el empresario (2018). Discos ópticos que no se pueden modificar una vez grabados y al menos una copia fuera de la organización (apartados 3 y 5.1)
  3. AEPD: Brechas de seguridad, protégete ante el ransomware (17 de septiembre de 2019). Ransomware que desactiva instantáneas de volumen y puntos de restauración, y las copias de seguridad como medida correctiva más eficaz
  4. CISA: #StopRansomware Guide, versión 3.0 (octubre de 2023; en inglés). Parte 1: copias sin conexión, cifradas y probadas; los grupos de ransomware intentan borrar o cifrar las copias accesibles; protección contra el borrado u Object Lock
  5. MITRE ATT&CK: T1490 Inhibit System Recovery (en inglés). Cómo borran los atacantes instantáneas de volumen, catálogos de copias, copias en línea e instantáneas en la nube
  6. MITRE ATT&CK: T1485 Data Destruction (en inglés). Copias fuera del sistema afectado y autenticación multifactor para el borrado en almacenamiento en la nube
  7. Guía del usuario de Amazon S3: Bloqueo de objetos mediante Bloqueo de objetos. Modelo WORM, periodos de retención, retenciones legales, modo de gobernanza y modo de cumplimiento, control de versiones
  8. Hetzner Docs: Object Lock, Retention (en inglés). Un servicio compatible con S3 con Object Lock: hay que activarlo al crear el bucket
  9. Diccionario de SNIA (generado el 28 de abril de 2026; en inglés): Write Once Read Many. WORM como almacenamiento que conserva de forma inmutable lo que se escribe en él
  10. Glosario del NIST: air gap (en inglés). Definición de air gap
  11. LTO Program: Benefits of LTO (en inglés). Cartuchos WORM desde LTO-3, cifrado por hardware desde LTO-4, cintas sacadas de línea