Copias de sombra y respaldos — lo que sobrevivió

5 tareas · 40 min · Principiante

Después del cifrado, la pregunta del negocio es una sola: qué se puede recuperar y desde cuándo. La respuesta se lee en tres sitios: las copias de sombra de cada servidor, el borrado que las precedió y los trabajos de respaldo con su destino. Lunes 7 de diciembre, Empaques Yaguará: cinco servidores, tres tablas. Aquí se lee el estado en que quedaron las copias; no se restaura ni se borra nada, y lo que se haga con ellas lo decide la jefatura con el plan de recuperación.

0 de 5 · 0%

Objetivo de la sala

Las copias de sombra son instantáneas que el propio sistema guarda para poder volver a una versión anterior de un archivo. Un cifrado que quiere impedir la recuperación las elimina primero, servidor por servidor. Que unas se hayan borrado y otras no es información: dice a qué máquinas llegó el actor y a cuáles no.

Compara cuántas copias tenía cada servidor antes y cuántas quedaron. Los repositorios que no usan copias de sombra no cuentan para esta pregunta.

Responde para continuar

Escribe el servidor que conserva todas las copias de sombra que tenía antes del fin de semana.

Ver pista de ayuda

Ejecuta `SELECT * FROM copias_sombra` y busca el servidor con copias antes y las mismas copias después.

La herramienta con la que se borran copias de sombra es una utilidad del propio sistema, que administradores legítimos usan para liberar espacio. Por eso el nombre del programa no decide nada. Decide el conjunto: quién lo hizo, cuántas copias, en cuántos equipos, con qué ritmo y con qué autorización.

El registro de borrados trae dos clases. Una está en la tabla con su ticket; la otra, no.

Responde para continuar

¿Cuál de los borrados es parte de la intrusión?

Los dos tipos por igual, porque ambos usan la misma utilidad y la misma cuenta de administración El del 1 de diciembre, porque borrar copias de sombra solo lo hace quien quiere impedir una recuperación Los tres del domingo: todas las copias, tres equipos en un minuto, cuenta de servicio y sin ticket

Ver pista de ayuda

Compara en `eventos_borrado` las columnas `alcance`, `cuenta` y `ticket` de las filas de cada fecha.

Un respaldo que vive en un repositorio al que cualquier cuenta de dominio con permisos puede llegar es un respaldo que el mismo actor puede alcanzar con la cuenta que ya tiene. Es lo que ocurrió aquí: tres trabajos nocturnos escribían en un repositorio que también quedó con archivos renombrados esa madrugada.

Lo que sobrevive es lo que estuvo fuera de ese alcance: una copia desconectada de la red, en una bóveda. Un respaldo se evalúa por quién puede alcanzarlo, además de por su fecha.

Responde para continuar

Escribe el nombre del trabajo de respaldo cuya copia no era alcanzable con una cuenta de dominio.

Ver pista de ayuda

Ejecuta `SELECT * FROM respaldos WHERE alcanzable_con_cuenta_de_dominio = 'no'`.

Cada respaldo tiene un último momento bueno. Entre ese momento y el primer archivo cifrado queda un tramo de trabajo que, si se restaura desde esa copia, hay que rehacer o reconstruir de otra fuente. Esa cifra es la que la dirección necesita para decidir.

Se cuenta desde el último respaldo bueno de la copia que sobrevivió, hasta el primer archivo renombrado del domingo, en horas completas. Los dos momentos están en respaldos.

Responde para continuar

¿Cuántas horas completas hay entre el último respaldo bueno de la copia que sobrevivió y el primer archivo renombrado?

Ver pista de ayuda

Toma `ultimo_ok` de la copia que sobrevivió y la hora de referencia del primer renombrado que aparece en la nota de `respaldos`.

Cuando un cifrado llega también al repositorio de respaldos, lo que falló no fue la copia: fue el diseño de acceso. Tener copia no equivale a tener recuperación. La lección va al diseño de los respaldos y no a la nota del incidente: se mira quién puede alcanzar cada copia y cuándo se probó restaurarla.

Responde para continuar

¿Qué cambio de diseño ataca la causa de que los respaldos nocturnos se perdieran?

Cambiar la contraseña de la cuenta del respaldo cada semana para dificultar su abuso Mantener una copia fuera de línea o inmutable que ninguna cuenta del dominio pueda alterar Hacer los respaldos más frecuentes, porque con una copia por hora el tramo perdido sería menor

Ver pista de ayuda

Piensa qué tienen en común los tres trabajos nocturnos que se perdieron y qué tenía distinto el que sobrevivió.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El servidor al que no llegaron Lab

2 Dos borrados, una herramienta Lab

3 La copia que no estaba en la red Lab

4 Cuánto trabajo se pierde Lab

5 Qué se aprende del respaldo

Whoami-Labs Pro utiliza cookies