Restauración, verificación y lecciones

Un respaldo es seguro para restaurar solo si es anterior a la primera actividad del atacante. Uno posterior puede traer consigo lo que el atacante dejó: una cuenta, una tarea, un programa. Que a primera vista parezca limpio no basta, porque lo que no se ve en una revisión rápida no es lo mismo que lo que no existe.

Además tiene que existir: los respaldos que el atacante eliminó ya no son una opción, por buenos que fueran. Consulta SELECT * FROM actividad_del_atacante y SELECT * FROM catalogo_respaldos, y elige el punto más reciente que cumple las dos condiciones.

Volver a un punto anterior significa perder lo trabajado desde entonces. Decirlo con un número permite que el negocio decida con los ojos abiertos: de qué documentos hay otra copia, qué se puede reconstruir a mano y qué no. Se cuenta desde la fecha del punto hasta el momento en que empezó el cifrado, no hasta hoy.

Con la fecha del punto de la tarea anterior y la del primer archivo cifrado, cuenta los días completos de trabajo que no están en la copia.

Los sistemas no se restauran en cualquier orden: el servidor de ventas necesita el controlador de dominio para autenticar a sus usuarios, y el portal necesita al servidor de ventas. Lo que no depende uno de otro puede ir en paralelo. El tiempo mínimo hasta tener todo es el de la ruta crítica, la cadena de dependencias más larga, no la suma de todas las horas.

Consulta SELECT * FROM plan_de_restauracion. Calcula el tiempo mínimo si hay personal para restaurar en paralelo todo lo que se pueda.

Antes de volver a conectar un sistema restaurado se comprueban las puertas que el atacante usó: las cuentas que abrió, las excepciones que le sirvieron y las claves que pudo ver. En la tabla de verificaciones hay cinco controles; los que están pendientes impiden reconectar. Uno de los pendientes habla de una cuenta concreta del directorio.

Consulta SELECT * FROM verificaciones_previas WHERE estado = 'pendiente'.

Una lección aprendida solo sirve si se convierte en un cambio con responsable, fecha y una medida de éxito que se pueda comprobar. «Hay que mejorar la seguridad» es una intención, no una lección: nadie sabe qué hacer ni cuándo se sabrá que está hecho.