Security Center:Anti-ransomware service

Regiones compatibles

Sistemas operativos compatibles (Anti-ransomware for Servers)

La función Anti-ransomware for Servers le permite instalar el cliente antirransomware únicamente en los sistemas operativos que se muestran a continuación.

Bases de datos y sistemas operativos compatibles con Anti-ransomware for Databases

La función Anti-ransomware for Databases le permite instalar el cliente antirransomware únicamente en las bases de datos y los sistemas operativos que se muestran a continuación.

Endpoint de red

Tipos de endpoint

• Plano de administración: retransmite las señales de control entre el cliente antirransomware y el servicio Cloud Backup.

• Plano de datos: transfiere los datos de la copia de seguridad.

Selección de productos

• ¿Cuál es la diferencia entre Anti-ransomware (copia de seguridad de datos) y una instantánea de ECS? ¿Cuándo debo usar cada uno?

  • Comparación:

    • Instantánea de ECS: ejecuta una copia de seguridad a nivel de bloques de un disco en la nube completo. Es ideal para la recuperación ante desastres de todo el sistema, como un fallo del sistema o un error de disco. La recuperación es de grano grueso y suele tardar más tiempo.

    • Anti-ransomware (copia de seguridad de datos): se enfoca en las copias de seguridad a nivel de archivo y de base de datos. Ofrece una recuperación granular (permite restaurar un solo archivo o base de datos), admite la consistencia de datos a nivel de aplicación y proporciona tiempos de restauración más rápidos.

  • Cómo elegir: estas soluciones son complementarias, no excluyentes. Se recomienda usarlas en conjunto para obtener una protección integral.

    • Utilice una instantánea de ECS para la recuperación ante desastres a nivel de sistema.

    • Use Anti-ransomware (copia de seguridad de datos) para proteger con alta frecuencia y de forma granular los archivos y las bases de datos críticos.

• ¿Qué es la función honeypot? ¿Puedo eliminar manualmente los archivos señuelo?

  El honeypot es una función de defensa proactiva disponible en las ediciones avanzadas de Security Center. Protege sus datos mediante el despliegue de archivos señuelo en los servidores para detectar y bloquear nuevos tipos de ransomware antes de que causen daños.

  • Funcionamiento

    1. Despliegue de señuelos: la función crea archivos señuelo ocultos en directorios críticos del servidor, como /home, /root y la raíz de las unidades C: y D:.

    2. Detección de ataques: cuando un nuevo tipo de ransomware analiza e intenta cifrar estos archivos señuelo, Security Center detecta de inmediato el comportamiento malicioso.

    3. Bloqueo en tiempo real: Security Center bloquea al instante el proceso malicioso para evitar que dañe los archivos reales.

  • Importante: estos son archivos de seguridad estándar. No los elimine manualmente. Para obtener más información, consulte Host protection settings.

• ¿Necesito ajustar las directivas antiransomware de WAF después de recibir una alerta de ransomware?

  No. WAF (Web Application Firewall) y la función antiransomware de Security Center son productos independientes con responsabilidades distintas:

  • WAF: protege contra ataques a aplicaciones web, como inyecciones SQL y XSS. No tiene relación directa con la función antiransomware.

  • Antiransomware de Security Center: esta función se despliega en instancias de ECS y protege los datos del servidor mediante copias de seguridad a nivel de archivo y mecanismos de honeypot para recuperar datos después del cifrado.

  Estos productos funcionan de manera independiente y no entran en conflicto. Cuando reciba una alerta de ransomware, concéntrese en las medidas de refuerzo de seguridad del servidor en lugar de modificar las configuraciones de WAF.

Funciones y capacidades

• Anti-ransomware for Databases ¿La función antiransomware para bases de datos admite las bases de datos de Alibaba Cloud RDS?

  No. La función Anti-ransomware for Databases protege bases de datos autogestionadas desplegadas en un entorno IaaS, por ejemplo, en una instancia de ECS. Para servicios administrados de bases de datos en la nube como RDS y PolarDB, utilice sus funciones nativas de copia de seguridad y recuperación.

• ¿La función antiransomware ofrece defensa proactiva o solo copia de seguridad y recuperación?

  El servicio Anti-ransomware se centra en la recuperación, lo cual incluye la copia de seguridad y la restauración de datos. Una estrategia completa de protección contra ransomware también requiere defensa proactiva (intercepción previa al ataque y captura durante el ataque). En conjunto, estas capas forman un sistema de defensa en profundidad.

  • Defensa proactiva

    Nota

    Las funciones de defensa proactiva requieren actualizar Security Center a la edición Anti-virus o superior. Para obtener más información, consulte Host protection settings.

    • Intercepción previa al ataque: prevención de comportamientos maliciosos en el host

      Esta función utiliza inteligencia de amenazas nativa de la nube para detectar y bloquear familias conocidas de ransomware en tiempo real antes de que infecten los servidores.

    • Captura durante el ataque: honeypot

      Esta función detecta y bloquea ransomware desconocido en tiempo real mediante el despliegue de archivos señuelo en los servidores. Si el sistema detecta un intento de cifrar un archivo señuelo, finaliza de inmediato el proceso sospechoso para proteger los datos reales.

  • Recuperación

    Anti-ransomware (copia de seguridad de datos) es la última línea de defensa. Garantiza la recuperación rápida de los datos críticos en situaciones extremas, como cuando se evaden otros sistemas de defensa.

• ¿Cómo deshabilito la función antiransomware para un servidor específico?

  Para deshabilitar la función antiransomware (honeypot) en un servidor específico, modifique la directiva de protección o quite el servidor de la directiva:

  • Inicie sesión en la consola de Security Center y vaya a la página antiransomware.

  • Busque la directiva de protección del servidor de destino y haga clic en el nombre de la directiva para consultar los detalles.

  • En la lista de servidores protegidos, elimine el servidor que desea dejar de proteger.

  Aviso

  No elimine la directiva de protección. Al eliminar una directiva, se quitan de forma permanente todas las copias de seguridad de cada servidor incluido en ella.

Capacidad y facturación

¿Qué es la "capacidad antiransomware"? ¿Qué sucede si supero mi capacidad?

• Definición: la capacidad antiransomware es la cantidad de almacenamiento que adquiere para la función Anti-ransomware (data backup). La facturación se basa en el volumen total de datos del que realiza copias de seguridad y en el periodo de retención, no en la cantidad de servidores.

• Consecuencias de superar la capacidad: recibirá una alerta cuando el uso de su capacidad supere el 80 %. Si la capacidad se llena por completo, los nuevos trabajos de copia de seguridad fallan, lo que deja sin protección los datos recién generados. Aún podrá usar las versiones de copia de seguridad existentes para la recuperación.

Recuperación y rendimiento

• ¿Cuánto tiempo tarda la restauración de datos (RTO)?

  El objetivo de tiempo de recuperación (RTO) depende de factores como el volumen de datos, el ancho de banda de la red y el rendimiento del servidor. Restaurar unos cuantos archivos suele tomar minutos, mientras que varios terabytes de datos pueden requerir varias horas.

  Nota

  Se recomienda ejecutar simulacros de recuperación periódicos para determinar un RTO realista en su entorno empresarial.

• ¿El servicio antiransomware puede recuperar archivos cifrados?

  No. El servicio restaura archivos a partir de copias de seguridad históricas sin cifrar. No descifra archivos que ya están cifrados. Para proteger sus datos:

  • Realice copias de seguridad de sus archivos de forma regular para contar con versiones recientes sin cifrar.

  • Utilice las funciones de protección de host de Security Center para bloquear el ransomware.

  • Si no configuró copias de seguridad y sus datos ya están cifrados, comuníquese con un servicio externo de recuperación de datos. La recuperación no está garantizada.

Recopilación de registros

• ¿Dónde se encuentran los archivos de registro del cliente antiransomware y cómo los recopilo?

  Cuando un trabajo de copia de seguridad antiransomware falla o presenta un error, recopile los registros del cliente y envíelos al soporte técnico para solucionar el problema.

  • Windows: ejecute el comando de recopilación de registros en PowerShell en el host. Después de recopilar los registros, envíelos a un ingeniero de soporte técnico.

    Compruebe el formato al copiar y pegar el comando. Si la ejecución falla, copie nuevamente el comando completo y vuelva a intentarlo.

  • Linux: los registros del cliente antiransomware se almacenan de forma predeterminada en el directorio de instalación. Recopílelos mediante comandos del sistema y envíelos para solucionar el problema.

Mecanismo de copia de seguridad

• ¿Cuál es la diferencia entre la copia de seguridad completa inicial y las copias de seguridad incrementales posteriores?

  El primer trabajo de copia de seguridad respalda todos los datos de los directorios protegidos (copia de seguridad completa) y tarda más en finalizar. Las copias de seguridad programadas posteriores son incrementales y solo respaldan los datos modificados desde la última copia.

  • Relación de compresión de la copia de seguridad: tras la compresión, la copia de seguridad completa inicial ocupa entre el 60 % y el 80 % del tamaño de los datos de origen. Las copias de seguridad incrementales posteriores son proporcionales al volumen de datos modificados.

  • Tipos de archivo no admitidos: ciertos tipos de archivo no se pueden respaldar, como los archivos socket, los enlaces físicos y los archivos de tubería. Si el estado de un trabajo de copia de seguridad muestra "Partial success (PARTIAL_COMPLETE)", esto suele indicar que algunos tipos de archivo no son compatibles o que otro proceso bloqueó los archivos.