Instantáneas de discos y aislamiento

Una instantánea de disco administrado es una copia completa, de solo lectura, del disco en un momento dado. Existe aparte del disco original y sirve para conservar su estado o para crear después un disco nuevo y examinarlo. Es lo primero que se hace con los discos de una máquina sospechosa porque es rápido y no obliga a apagarla.

Lo que una instantánea no recoge es lo que no está en el disco: el contenido de la memoria, los procesos en ejecución y las conexiones abiertas. Eso se pierde cuando la máquina se apaga.

Una máquina suele tener un disco de sistema y uno o más de datos, y cada uno necesita su propia instantánea. Olvidar el de datos es un fallo clásico: la parte que más información guarda queda sin preservar. Se comprueba la correspondencia entre la tabla de discos y la de instantáneas, no por el nombre que uno espera sino por el disco de origen.

El tiempo entre preservar y aislar es una decisión: demasiado corto y se aísla sin haber copiado; demasiado largo y el equipo sigue expuesto. Se calcula con las horas del registro de actividad, que están en UTC, restando la hora de la instantánea del disco del sistema a la de la regla de aislamiento. Se pide en segundos para no perder precisión.

Aislar una máquina en Azure se puede hacer con una regla de grupo de seguridad de red que deniegue el tráfico de su interfaz con una prioridad alta. La máquina sigue encendida pero deja de comunicarse, y así se conserva lo volátil y se corta el daño. La regla es un recurso con nombre propio, y por eso queda en el registro de actividad.

El registro muestra la secuencia completa: dos instantáneas, la regla de aislamiento y, unos catorce minutos después, la desasignación de la máquina. Apagarla o desasignarla elimina la memoria y los procesos vivos. El orden prudente conserva lo que se pierde y corta la exposición antes de apagar nada.