Sistemes de còpia de seguretat model 3-2-1 i protecció contra ransomware

Enunciat oficial. Sistemes de Backup model 3-2-1. Backup i mitjans de protecció contra ransomware.

1. La regla 3-2-1

La regla bàsica del model de còpia de seguretat 3-2-1 estableix que s'han de mantenir:

3 còpies de les dades (l'original més dues còpies), emmagatzemades en 2 tipus de suport o mitjans diferents, amb 1 còpia fora de les instal·lacions (off-site).

Per què cada número:

• 3 còpies — protegeix davant la fallida simultània d'una còpia i de l'original.
• 2 suports diferents — evita que un mode de fallida comú (un lot defectuós de discs, un error del sistema de fitxers, un mateix programari) afecti totes les còpies alhora.
• 1 fora de la seu — protegeix davant el desastre físic de la ubicació: incendi, inundació, robatori.

Evolucions modernes, motivades pel ransomware:

El «1» addicional és avui la peça decisiva: una còpia que el ransomware no pot xifrar ni esborrar perquè és immutable, està desconnectada o resideix en un sistema amb credencials i domini separats.

2. Tipus de còpia

Atenció a un error documentat al solucionari oficial d'un examen anterior: s'hi va definir la còpia «diferencial» amb la descripció que en rigor correspon a la incremental (canvis des de l'última còpia, sigui del tipus que sigui). La definició correcta és la d'aquesta taula: la diferencial sempre pren com a referència l'última còpia completa.

Altres esquemes: sintètica completa (es construeix una completa nova a partir de la completa anterior i les incrementals, sense tornar a llegir l'origen), incremental permanent (forever incremental) amb consolidació al repositori, CDP (Continuous Data Protection, replicació contínua amb punts de recuperació de segons), instantànies (snapshots) —que no són una còpia de seguretat perquè viuen al mateix sistema que les dades— i replicació —que tampoc no ho és: replica també l'error i el xifratge.

Rotació: avi-pare-fill (GFS, Grandfather-Father-Son), Torre de Hanoi, i les polítiques modernes de retenció per nivells (diàries, setmanals, mensuals, anuals).

3. Objectius i mètriques

• RPO (Recovery Point Objective): quantes dades es poden perdre, mesurat en temps. Determina la freqüència de les còpies. Si el RPO és de 4 hores, cal copiar almenys cada 4 hores.
• RTO (Recovery Time Objective): quant temps es pot estar sense servei. Determina la tecnologia de recuperació.
• MTD (Maximum Tolerable Downtime) / MTPD (Maximum Tolerable Period of Disruption): el temps màxim que l'organització pot tolerar la manca de funcionament d'un servei crític abans que les conseqüències siguin inacceptables. El RTO sempre ha de ser inferior al MTD.
• RTA (Recovery Time Actual) / RPA (Recovery Point Actual): els valors realment assolits, que sovint no coincideixen amb els objectius. Només es coneixen provant.

Aquests valors surten de l'anàlisi d'impacte en el negoci (BIA, Business Impact Analysis) → tema 58.

4. Suports i arquitectures

• Disc (D2D, Disk to Disk): ràpid per a la restauració; és el nivell primari habitual.
• Cinta (LTO, Linear Tape-Open): barata per TB (Terabyte), físicament desconnectable (air gap real) i amb bona conservació. Continua sent l'opció més sòlida per a la còpia aïllada i per a la retenció llarga. LTO-9 arriba a 18 TB nadius.
• Núvol (D2D2C, Disk-to-Disk-to-Cloud): fora de la seu per defecte, amb classes d'emmagatzematge fred (S3 (Simple Storage Service) Glacier, Azure Archive) i bloqueig d'objectes (object lock) per a la immutabilitat.
• Emmagatzematge d'objectes immutable amb WORM (Write Once Read Many) i retenció legal.
• Deduplicació i compressió per reduir el volum; replicació entre repositoris.

Programari: Veeam, Commvault, Veritas NetBackup, Rubrik, Cohesity, Dell Networker/Avamar, IBM Spectrum Protect, i de codi obert Bacula, Bareos, Restic, Borg, Duplicati, Amanda, Proxmox Backup Server.

5. El ransomware

Com actua: accés inicial (phishing, RDP (Remote Desktop Protocol) exposat, vulnerabilitat sense pedaç, credencials robades, cadena de subministrament) → execució i persistència → escalada de privilegis → moviment lateral → reconeixement i EXFILTRACIÓ de dades → destrucció de les còpies de seguretat → xifratge → extorsió.

Doble i triple extorsió: primer xifren, després amenacen de publicar les dades robades i, finalment, pressionen clients o afectats i denuncien l'incident als reguladors.

El primer que fa un atacant competent abans de xifrar és buscar i destruir les còpies de seguretat. Per això la protecció del sistema de còpies és la mesura més important de totes.

Perjudicis que cal preveure en un atac de ransomware: indisponibilitat dels serveis durant dies o setmanes, pèrdua de dades fins al darrer punt de recuperació vàlid, exfiltració i publicació de dades personals —amb la corresponent bretxa de seguretat notificable a l'autoritat de control en 72 hores (RGPD, art. 33) i, si hi ha alt risc, comunicació als afectats (RGPD, art. 34)—, cost de recuperació, dany reputacional i responsabilitats jurídiques.

6. Protecció de les còpies contra ransomware

Recomanacions correctes:

1. Immutabilitat: repositoris amb bloqueig d'objectes (WORM) o instantànies immutables que no es poden esborrar ni modificar durant el període de retenció, ni tan sols per un administrador.
2. Aïllament (air gap): còpia desconnectada físicament (cinta extreta) o lògicament (repositori accessible només durant la finestra de còpia, amb credencials pròpies).
3. Versionat: conservar diverses còpies puntuals (point-in-time) enlloc de sobreescriure sempre l'última. Si una versió queda xifrada, es pot restaurar-ne una anterior neta. És una mesura diferent de la immutabilitat: sense bloqueig WORM, un atacant amb prou privilegis pot esborrar totes les versions retingudes; amb WORM, no.
4. Separació de credencials i de domini: el sistema de còpies no ha d'estar unit al mateix Active Directory que els servidors que protegeix, ni compartir-hi comptes d'administració.
5. Autenticació multifactor a la consola de còpies i mínim privilegi.
6. Xifratge de les còpies en trànsit i en repòs, amb custòdia separada de les claus.
7. Retenció suficient: el ransomware sol romandre latent setmanes; si només es guarden 7 dies, totes les còpies poden estar ja compromeses. Cal retenció de mesos i punts mensuals.
8. Verificació automàtica de la restaurabilitat i proves de restauració periòdiques i documentades —la mesura més ignorada i la més decisiva.
9. Detecció d'anomalies al repositori: canvis massius d'entropia, taxes de canvi inusuals, esborrats en bloc.
10. Segmentació de xarxa entre el repositori i la producció.
11. Còpia de la configuració del propi sistema de còpies.

El que NO és una recomanació vàlida —i que sol aparèixer com a distractora—: guardar les còpies al mateix servidor o a la mateixa xarxa que les dades originals, fer servir el mateix compte d'administrador de domini per al sistema de còpies, confiar només en les instantànies de la cabina, substituir la còpia per la replicació, o retenir només unes poques versions recents.

7. Passos abans de restaurar després d'un atac

Aquest és l'escenari d'examen: quins passos cal seguir abans de procedir a la restauració. L'ordre correcte:

1. Declarar l'incident i activar el pla de resposta i el comitè de crisi.
2. Contenir: aïllar els sistemes afectats de la xarxa, desconnectar els repositoris de còpies per protegir-los i revocar credencials compromeses. No apagar les màquines si es vol preservar la memòria volàtil per a l'anàlisi forense.
3. Preservar evidències i fer anàlisi forense: determinar el vector d'entrada, l'abast i el moment de la compromís. Si no se sap com han entrat, es tornarà a repetir.
4. Notificar: a l'autoritat de protecció de dades en 72 hores si hi ha dades personals afectades (RGPD, art. 33), al CCN (Centro Criptológico Nacional)-CERT (Computer Emergency Response Team) o al CSIRT (Computer Security Incident Response Team) competent, i a les autoritats policials. No pagar el rescat és la recomanació unànime.
5. Identificar un punt de restauració net, anterior a la compromís, i verificar-ne la integritat i que no conté la persistència de l'atacant.
6. Reconstruir sobre un entorn net: sistemes reinstal·lats o restaurats en una xarxa aïllada, amb pedaços aplicats, contrasenyes canviades i eliminació dels mecanismes de persistència.
7. Restaurar les dades i validar-les funcionalment.
8. Tornar a producció de manera controlada i amb monitoratge reforçat.
9. Lliçons apreses i pla d'acció: la revisió post-incident sense buscar culpables → tema 18.

L'error greu i freqüent és restaurar directament sobre l'entorn compromès sense conèixer el vector d'entrada: el resultat és tornar a ser xifrat en dies.

8. Prevenció general

ENISA (European Network and Information Security Agency; des de 2019, European Union Agency for Cybersecurity, mantenint la sigla original), Threat Landscape 2023 (Annex B: Recommendations, pàg. 139), recomanació literal contra el ransomware: «Implement a secure and redundant backup strategy. Ensure you maintain offline, encrypted data backups that are regularly tested, following your backup procedures.» — còpies xifrades i fora de línia, verificades amb regularitat. El parany habitual a l'examen és canviar «fora de línia» per «en línia»: unes còpies en línia (connectades) no compleixen la recomanació, per molt xifrades que estiguin.

Recomanacions d'ENISA i del CCN-CERT per mitigar el ransomware:

• Còpies de seguretat provades, immutables i aïllades (aquesta és la mesura decisiva).
• Actualització i gestió de vulnerabilitats al dia, prioritzant les explotades activament.
• MFA (Multi-Factor Authentication) a tots els accessos remots i eliminació de l'RDP exposat a internet.
• Mínim privilegi i eliminació dels drets d'administrador local; comptes administratius separats i gestió d'accés privilegiat (PAM, Privileged Access Management).
• Segmentació de la xarxa per limitar el moviment lateral.
• EDR (Endpoint Detection and Response) / XDR (eXtended Detection and Response) i monitoratge centralitzat amb SIEM (Security Information and Event Management).
• Filtratge de correu i formació contra el phishing.
• Control d'aplicacions i bloqueig de macros d'origen extern.
• Pla de resposta a incidents provat amb simulacres.

Una afirmació incorrecta habitual a les preguntes és que pagar el rescat garanteix la recuperació de les dades: no la garanteix, finança el crim, no elimina la persistència i no evita la publicació de les dades exfiltrades.

9. Classificació d'actius i cicle de vida dels suports

Abans de triar la tecnologia, cal saber què es copia. El primer pas no és tècnic: és fer un inventari d'actius d'informació i classificar-los per la seva criticitat per a l'organització —no només «per a les TIC (Tecnologies de la Informació i la Comunicació)»: la classificació la fixa el valor del negoci (confidencialitat, integritat, disponibilitat), no la infraestructura que el sosté.

Cada actiu classificat té un cicle de vida que depèn de dos terminis independents:

• la vida útil del suport (el hardware es degrada o queda obsolet),
• la vigència del contingut (quant temps cal conservar la informació).

Si el suport caduca abans que el contingut, cal traspassar les dades a un suport nou per garantir-ne la conservació. El cicle de vida determina també quan deixa de ser útil i, per tant, quan s'ha d'eliminar de forma segura.

Esborrament i destrucció (ENS, mesura mp.si.5): un suport que no es pot esborrar de manera segura no es pot reutilitzar en cap altre sistema; a partir de categoria mitjana calen productes certificats per a l'esborrament.

Un servei SaaS no elimina la necessitat de còpia pròpia. El proveïdor garanteix la disponibilitat de la seva infraestructura, no la recuperació de les dades de l'usuari (shared responsibility model — responsabilitat compartida). Cal una solució de còpia complementària, pròpia o de backup as a service.

10. Marc normatiu

• ENS: mesura mp.info.9 Còpies de seguretat i op.cont Continuïtat del servei. Exigeix còpies amb la mateixa protecció que les dades originals, proves de restauració i disponibilitat d'un procediment documentat.
• RGPD, art. 32: capacitat de restaurar la disponibilitat i l'accés a les dades personals de forma ràpida en cas d'incident físic o tècnic i verificació, avaluació i valoració regulars de l'eficàcia de les mesures. La còpia de seguretat és una obligació legal, no una bona pràctica.
• RGPD, art. 33 i RGPD, art. 34: notificació de la bretxa en 72 hores i comunicació als afectats si hi ha alt risc.
• NIST: NIST SP (Special Publication) 800-184 (Guide for Cybersecurity Event Recovery) i NIST SP 800-61 (gestió d'incidents).
• ISO 22301 (continuïtat de negoci) i ISO/IEC (International Electrotechnical Commission) 27031.

Claus d'examen

• El compte del 3-2-1 és total, no addicional: «3 còpies» vol dir l'original més dues còpies, no l'original més tres. Un distractor clàssic infla el total a quatre (TS-TIC 2023, p. 88).
• Diferencial pren sempre com a referència l'última completa, no «l'última còpia de qualsevol tipus» —això és la incremental. El propi solucionari oficial ha arribat a confondre-les (TM-TIC 2021, pràctica s2, p. 3).
• ENISA recomana còpies xifrades i fora de línia: canviar-ho per «en línia» és el parany (TS-TIC 2023, p. 79).
• Un SaaS no eximeix de fer còpia pròpia: el proveïdor respon de la seva infraestructura, no de recuperar les dades de l'usuari (TS-TIC 2023, p. 88).
• Còpies versionades i fora de línia, no «connectades» ni en carpeta compartida, és la resposta davant el xifratge automàtic del ransomware (TS-TIC 2025, pràctica s4, p. 6).

Per recordar

• 3-2-1: tres còpies, dos suports diferents, una fora de la seu. Evolució: 3-2-1-1-0, amb una còpia immutable o aïllada i zero errors de verificació.
• Incremental = canvis des de l'última còpia de qualsevol tipus; diferencial = canvis des de l'última completa.
• RPO = quantes dades es poden perdre; RTO = quant temps sense servei; MTD = temps màxim tolerable, i el RTO ha de ser inferior.
• Instantànies i replicació NO són còpies de seguretat. RAID (Redundant Array of Independent Disks) tampoc.
• L'atacant destrueix primer les còpies (ransomware): cal immutabilitat, aïllament, credencials separades i MFA.
• Retenció curta = totes les còpies compromeses: el ransomware roman latent setmanes.
• Abans de restaurar: contenir, preservar evidències, determinar el vector d'entrada, notificar, triar un punt net i reconstruir sobre un entorn net.
• No pagar el rescat: no garanteix res.
• La còpia de seguretat és obligació legal (RGPD, art. 32) i mesura de l'ENS; la bretxa es notifica en 72 hores.
• ENISA (Threat Landscape 2023): còpies xifrades i fora de línia, verificades regularment — «en línia» és el parany.
• Abans de la tecnologia: inventari i classificació d'actius; el cicle de vida del suport el fixen la seva vida útil i la vigència del contingut, i determina quan cal eliminar-lo de forma segura (ENS, mp.si.5).