Backup para NAS, RAID y SAN en Panamá

¿Por qué un RAID no es un respaldo?

Es el malentendido más extendido —y más caro— en almacenamiento de empresa. Un RAID reparte o duplica los datos entre varios discos para que el sistema siga funcionando si uno falla. Eso es redundancia, y es valiosa: aporta disponibilidad. Pero no es protección de datos. El RAID no tiene forma de distinguir entre un dato bueno y uno malo: si borras un archivo por error, se borra en todos los discos a la vez; si un ransomware cifra la información, la cifra en todo el arreglo; si hay un incendio, una sobretensión o un robo, se va el equipo entero con todos sus discos.

Lo vemos en el laboratorio constantemente: empresas que confiaban en su RAID y descubrieron, demasiado tarde, que «tener los datos duplicados» no las salvaba de un borrado, un cifrado o un fallo del controlador. La regla a recordar es simple: el RAID responde a «¿sigo operando si se cae un disco?»; el respaldo responde a «¿puedo recuperar si pierdo los datos?». Son preguntas distintas, y hacen falta las dos respuestas.

Conviene además recordar un punto técnico que sorprende: ciertos niveles de RAID toleran la pérdida de uno o dos discos, pero ninguno tolera un error lógico. El RAID es ciego al contenido; replica fielmente tanto el dato correcto como el cifrado del ransomware o el archivo borrado. Esa fidelidad, que es su virtud para la disponibilidad, es justo lo que lo descalifica como respaldo.

¿Una instantánea de mi NAS me protege?

En parte, y conviene entender hasta dónde. Las instantáneas de un NAS moderno —basadas en sistemas como Btrfs o ZFS, que copian solo los cambios— son magníficas para recuperar al instante de un borrado accidental, una edición desafortunada o incluso un cifrado reciente: vuelves a un punto anterior en segundos. Por eso son la primera línea, y son casi gratis en espacio.

Pero tienen un límite definitorio: la instantánea vive en el mismo volumen que los datos originales y depende de la salud de esos mismos discos. Si el volumen RAID se corrompe, si los discos mueren o si el NAS físico se destruye en un incendio, las instantáneas se pierden junto con todo lo demás. Por eso no sustituyen a un respaldo: un backup es una copia independiente, guardada en otro hardware o en la nube. No se trata de elegir entre instantánea y backup; se trata de tener ambos.

Hay un matiz que refuerza la idea: una instantánea normal puede, además, ser borrada por el propio ransomware, que sabe buscarlas para no dejar salida. Por eso la instantánea solo cumple bien su papel de primera línea cuando se la hace inmutable; de lo contrario, comparte el volumen y, con él, la suerte de los datos que pretendía proteger.

Las tres capas: instantáneas, réplica y copia externa

La forma correcta de proteger un NAS no es una sola técnica, sino tres que se complementan y que, juntas, cumplen la regla 3-2-1:

• Instantáneas inmutables en el propio NAS, para recuperación instantánea de borrados y cifrados recientes.
• Réplica a un segundo NAS fuera de sitio, para failover rápido si el principal cae.
• Copia fría en la nube con object lock o en cinta, como copia externa para el desastre.

Cada capa cubre lo que la anterior no puede: la instantánea resuelve el error cotidiano, la réplica sostiene la operación si el equipo falla, y la copia fría es la red de seguridad cuando se pierde el sitio entero. Una protección completa no renuncia a ninguna de las tres.

El orden también importa cuando llega el momento de recuperar. Casi siempre se vuelve primero a la instantánea, por ser la más rápida; si esa capa no basta —porque el NAS entero falló—, se recurre a la réplica; y solo en el peor escenario, cuando se perdió el sitio, se acude a la copia fría. Tener las tres significa tener siempre la opción más rápida disponible para cada tipo de incidente.

Instantáneas inmutables (WORM) en el NAS

La pieza que convierte una instantánea normal en defensa anti-ransomware es la inmutabilidad. Los NAS empresariales modernos —Synology desde DSM 7.2, QNAP con QuTS— permiten marcar las instantáneas como inmutables, con tecnología WORM: una vez creadas, no se pueden modificar ni borrar durante su periodo de retención. Y esto incluye a todos, también al administrador o a una cuenta administradora comprometida; ni siquiera se puede borrar el volumen o formatear los discos mientras existan esas instantáneas protegidas.

Igual que en la nube, hay dos modos, y la diferencia importa. El modo empresarial permite al administrador borrar dentro del periodo; el modo cumplimiento impide cualquier borrado o modificación sin importar el privilegio. Para defenderse de verdad del ransomware, se usa el modo cumplimiento, y algunos equipos añaden además autenticación multifactor y el principio de «cuatro ojos», de modo que cambiar la inmutabilidad exija varias personas y factores, no una sola credencial que un atacante pueda robar.

Es importante verificar que se trate de inmutabilidad real y no de un simple permiso de solo lectura que se pueda revocar. La inmutabilidad WORM se apoya en el mecanismo de copia sobre escritura de Btrfs o ZFS y, bien configurada, ni siquiera permite borrar el volumen o el grupo de almacenamiento que contiene las instantáneas protegidas. Comprobar ese detalle es parte de lo que hacemos al diseñar o auditar la protección.

¿Por qué el NAS es un blanco preferido del ransomware?

Porque está hecho para compartir. Las carpetas de un NAS son, por diseño, de lectura y escritura para los usuarios y los sistemas de la red, y eso es justo lo que el ransomware aprovecha: el malware que se propaga por la red llega al NAS, cifra esas carpetas como cifraría cualquier disco, y, si puede, borra las instantáneas para no dejar salida. En un ataque serio, el NAS rara vez se libra; al contrario, suele ser uno de los primeros objetivos porque concentra la información de toda la empresa.

De ahí que la copia del NAS no pueda ser simplemente «otra carpeta en la red». Tiene que ser inmutable —que el cifrado no pueda alterarla— o estar aislada, fuera del alcance del ataque. Es exactamente la lógica de nuestra bóveda inmutable y con air-gap, aplicada al almacenamiento compartido: una copia que el ataque no puede tocar.

Esto tiene una consecuencia práctica que conviene subrayar: usar el mismo NAS, o una carpeta compartida de la red, como destino de los respaldos es un error frecuente y peligroso, porque ese destino es tan alcanzable y escribible como el original. El respaldo válido del NAS vive en otro sitio y, mejor aún, inmutable; nunca en una carpeta vecina dentro de la misma red.

Réplica a un segundo NAS fuera de sitio

La capa intermedia —entre la instantánea local y la copia fría— es la réplica. Consiste en copiar las instantáneas, de forma programada, a un segundo NAS situado en otra ubicación, cifrando los datos antes de enviarlos y aplicando retención escalonada para optimizar el espacio en ambos extremos. Si el NAS principal cae, se conmuta al secundario y la operación continúa con una interrupción mínima.

Hay un detalle útil que aprovechamos a menudo: aunque el NAS de origen sea antiguo y no soporte inmutabilidad, el destino de la réplica sí puede aplicarla. Así, una empresa con un NAS heredado puede ganar protección inmutable sin reemplazar el equipo principal, simplemente replicando hacia un destino que la imponga. Es una forma pragmática de subir el nivel de seguridad sin una inversión grande de golpe.

La réplica, además, no es solo seguridad: es continuidad. Si el NAS principal queda fuera de servicio por una falla o un ataque, el secundario puede asumir el trabajo mientras se resuelve el incidente, reduciendo a un mínimo el tiempo en que el equipo se queda sin acceso a sus archivos. Protección y disponibilidad en la misma capa.

Backup de SAN y volúmenes LUN

En entornos más grandes, el almacenamiento compartido no se presenta como carpetas, sino como volúmenes de bloque —LUNs— servidos por una SAN a los servidores y los hipervisores. Y si una de esas SAN ya sufrió un borrado de LUN o un fallo de controladora, antes del respaldo viene la recuperación de datos en SAN. Estos también se respaldan: las instantáneas y la réplica funcionan sobre LUNs igual que sobre carpetas, y para los volúmenes que sostienen máquinas virtuales se toman instantáneas consistentes con la aplicación, coordinadas con el hipervisor, de modo que la copia quede usable. Esto se integra con nuestro backup de servidores y máquinas virtuales, para que el almacenamiento y las cargas que corren sobre él queden protegidos de forma coherente.

Un detalle técnico que cuidamos: para que un LUN admita instantáneas suele necesitar aprovisionamiento ligero, no grueso. Revisarlo al diseñar evita la sorpresa de descubrir, ya en producción, que el volumen crítico no se podía proteger como se esperaba. Son los detalles que separan un plan que funciona de uno que falla en el momento decisivo.

¿Cómo se respalda tanto dato no estructurado?

Un NAS suele guardar el grueso de los datos no estructurados de la empresa: archivos de proyectos, diseños, documentos, multimedia, que se cuentan por terabytes y crecen sin parar. Respaldar todo eso a ciegas sería caro e ineficiente, así que se diseña por niveles. Los datos que cambian a diario y son críticos se respaldan con más frecuencia y mayor retención; los archivos históricos o de poco cambio, con menos frecuencia y a almacenamiento más económico.

La eficiencia de las instantáneas ayuda mucho aquí, porque solo registran los cambios y ocupan poco. Aun así, la clave es la clasificación: decidir, junto con la empresa, qué merece qué nivel de protección. Gastar lo mismo en un archivo muerto que en la carpeta de proyectos activos es desperdiciar donde no hace falta y arriesgar donde sí. Definir esos niveles convierte un volumen enorme de datos en un plan de respaldo manejable y con sentido económico.

También ayuda separar lo que cambia de lo que no. Una gran parte de los datos de un NAS son archivos que, una vez creados, no vuelven a tocarse; esos se pueden mover a una capa de archivo más barata y de retención larga, liberando recursos para proteger con más intensidad lo que sí está vivo. Esa disciplina mantiene el costo bajo control aun cuando el volumen total no para de crecer.

¿Cuánto cuesta y por qué conviene?

El costo depende de la capacidad a proteger, del número de capas que se activen y de la retención que exija cada nivel de datos. No es lo mismo proteger unos cuantos terabytes de archivos de oficina que decenas de terabytes de proyectos activos con réplica fuera de sitio y copia fría inmutable. Por eso partimos de un inventario y proponemos exactamente las capas que cada carpeta necesita, sin cobrar de más por proteger al máximo lo que no lo requiere. La comparación que importa es otra: el costo de respaldar bien un NAS es una fracción de lo que cuesta perder toda la información compartida de la empresa, o pagar un rescate que muchas veces no devuelve los datos. Visto así, es de las inversiones de mejor retorno que una organización puede hacer.

¿Cómo verifico que mi NAS está bien respaldado?

Conviene auditarlo con preguntas concretas, porque mucho de lo que se da por respaldado no lo está de verdad. Estas son las que hacemos al revisar un NAS existente:

• ¿Hay una copia fuera del propio NAS? Si todo vive en el mismo equipo, no hay respaldo, solo redundancia.
• ¿Las instantáneas son inmutables y en modo cumplimiento? Si el admin puede borrarlas, el ransomware también.
• ¿Existe una réplica fuera de sitio? Sin ella, un incendio o un robo se lleva original y copia a la vez.
• ¿Las credenciales del respaldo están separadas de producción? Si comparten cuenta, un solo robo lo borra todo.
• ¿Se ha probado restaurar? Sin esa prueba, el respaldo es una suposición, no una salida.

Si alguna respuesta es «no» o «no lo sé», hay un hueco que cerrar, y suele ser justo el que un incidente encuentra.

Errores comunes al respaldar un NAS

En las evaluaciones encontramos los mismos descuidos una y otra vez. Vale la pena revisarlos:

• Tomar el RAID por un respaldo. Es disponibilidad, no protección de datos.
• Confiar solo en instantáneas locales. Mueren con el volumen si el NAS falla.
• Respaldar el NAS en el mismo NAS, o en una carpeta de la red. El destino es tan vulnerable como el origen.
• Usar inmutabilidad en modo empresarial. Deja una puerta que un atacante con privilegios cruza.
• No probar nunca una restauración. El error más caro: descubrir en plena crisis que la copia no sirve.

Cada uno tiene solución, y un diseño en tres capas los cierra desde el principio.

Cómo lo implementamos

Diseñamos las tres capas en torno a la criticidad de cada carpeta y volumen, y lo gestionamos de extremo a extremo, probando que se restaura.

1. Instantáneas inmutables

Configuramos instantáneas WORM en modo cumplimiento sobre las carpetas y LUNs críticos, con la retención adecuada.

2. Réplica fuera de sitio

Replicamos cifrado a un segundo NAS en otra ubicación, para failover rápido si el principal falla.

3. Copia fría externa

Enviamos una copia a la nube con object lock o a cinta, como capa de desastre fuera del alcance del ataque.

4. Retención por niveles

Clasificamos los datos por criticidad y asignamos frecuencia y retención a cada nivel, optimizando el espacio.

5. Restauración probada

Probamos restauraciones de cada capa y medimos el RTO real, para tener la certeza de poder recuperar.

# Volumen del NAS
Volumen        : Btrfs (copy-on-write)
1) Instantáneas: cada 4h · inmutables (WORM) 14 días   # ni el admin las borra
2) Réplica     : a NAS secundario fuera de sitio · cifrada
3) Copia fría  : nube con object lock / cinta LTO (air-gap)

# Verificación de restauración
$ verificar-restauracion --capa replica --muestra "/proyectos"
Restauración OK  ·  RTO: 9 min  ·  0 errores

Esas tres capas, con la inmutabilidad activada y una restauración probada, son la diferencia entre tener un NAS «duplicado» y tener un NAS de verdad protegido.

¿Por qué confiar el backup del NAS al laboratorio que lo recupera?

Porque sabemos cómo y por qué fallan. Cada semana abrimos NAS con varios discos caídos, arreglos RAID degradados y volúmenes corrompidos, y reconstruimos esa información en el laboratorio. Ese conocimiento del fracaso es lo que nos permite diseñar un respaldo que sí protege: sabemos qué confianza es falsa —un RAID, una instantánea local— y qué capas hacen falta para que un incidente no se convierta en una pérdida. Y probamos las restauraciones nosotros, para que tu empresa no descubra el día del ataque que la copia no servía.

Hay además una garantía que pocos pueden ofrecer: si algún día el NAS, su réplica y la copia fallaran a la vez, somos el mismo equipo que recupera datos del medio físico —de un NAS o un arreglo RAID dañado—. Prevención y recuperación bajo un mismo techo, con la disciplina ISO 9001:2015 y la cadena de custodia que aplicamos a todo lo que tocamos.

Casos frecuentes en empresas panameñas

Atendemos a empresas que tenían toda su información en un NAS con RAID y creían estar respaldadas, hasta que un borrado, un cifrado o una falla del controlador les demostró que no; a organizaciones que querían convertir un NAS secundario en destino de réplica inmutable sin cambiar el principal; y a equipos con grandes volúmenes de datos de proyectos que necesitaban un plan por niveles, no respaldar todo por igual. Para cada una diseñamos las tres capas, activamos la inmutabilidad y probamos la recuperación. Cuando una empresa ya pasó por la recuperación de un NAS caído, el cierre natural del caso es montar el respaldo que evita repetirlo. Atendemos en toda la república, bajo acuerdo de confidencialidad, y dimensionamos la solución al tamaño y a la criticidad de cada operación. Un patrón que vemos seguido es el de empresas con un único NAS robusto, lleno de información valiosa, y sin ninguna copia fuera de él: toda su protección depende de que ese equipo nunca falle ni sea atacado, una apuesta que tarde o temprano sale mal. Añadir réplica y copia fría inmutable sobre lo que ya tienen suele ser un cambio acotado y de enorme impacto.

Preguntas frecuentes