Guía de recuperación ante desastres de Active Directory: lo que debe saber

Toda organización necesita una estrategia sólida de recuperación ante desastres de Active Directory. La razón es simple: cada segundo que su Active Directory (AD) no funciona, su negocio se queda sin agua.

¿Por qué? ¿Qué sucede exactamente si falla Active Directory? Bueno, Active Directory proporciona los servicios básicos que los empleados necesitan para hacer casi cualquier cosa en su ecosistema de TI, desde iniciar sesión en sus estaciones de trabajo hasta acceder a datos y ejecutar aplicaciones para atender a los clientes. Por lo tanto, cuando un desastre deja caer Active Directory (ya sea un ciberataque, un desastre natural o incluso un error crítico cometido por un administrador apresurado), todo se detiene bruscamente y permanece así hasta que Active Directory vuelve a estar en funcionamiento.

¡Eso se vuelve caro muy rápidamente! De hecho, el 40% de las empresas afirma que una sola hora de inactividad cuesta entre 1 y 5 millones de dólares. En el peor de los casos, las pérdidas pueden alcanzar millones de dólares por minuto.

La mejor manera de minimizar este tiempo de inactividad (y el daño inevitable a su negocio) es contar con una estrategia integral de recuperación ante desastres de Active Directory. Pero, ¿qué es la recuperación ante desastres de Active Directory y cómo funciona? ¿Cómo se recupera realmente un controlador de dominio a partir de una copia de seguridad? Y, lo que es más importante, ¿cómo se puede hacer que el proceso de recuperación sea lo más rápido y fluido posible? Profundicemos.

“El proceso de restauración de muchos ataques de ransomware bien documentados se ha visto obstaculizado por no tener un proceso de restauración de Active Directory intacto. ”
- Gartner, Inc., “Cómo recuperarse de un ataque de ransomware utilizando una infraestructura de copia de seguridad moderna”, Fintan Quinn, 4 de junio de 2021

¿Qué implica el proceso de recuperación ante desastres de Active Directory?

La recuperación ante desastres de Active Directory consiste en hacer que sus controladores de dominio (DC) vuelvan a funcionar. Los DC son servidores que ejecutan la función de Servicios de dominio de Microsoft Active Directory, lo que les permite proporcionar servicios esenciales como autenticación y autorización. Sin al menos un DC operativo, su ecosistema Microsoft local o híbrido no puede funcionar.

La recuperación de los DC requiere una coordinación meticulosa de numerosos pasos en múltiples fases: prepararse para el proceso, realizar la restauración, sincronizar el DC con sus socios de replicación y volver a ponerlo a disposición, y más. Eso ya es bastante complicado si el desastre ha destruido todos los controladores de dominio en un dominio de Active Directory; Si todo su bosque de Active Directory se ve afectado, el proceso de recuperación ante desastres de Active Directory es aún más largo y complejo.

Las fases de una recuperación de Active Directory

La forma más rápida de hacer que su empresa se recupere después de un desastre (y la mejor práctica para la recuperación ante desastres de Active Directory recomendada tanto por Microsoft como por los expertos de la industria) es un enfoque gradual. En un nivel alto, la estrategia es volver a poner en línea un DC clave en cada dominio y luego centrar su atención en restaurar los DC restantes. Aquí hay una inmersión más profunda en estas dos fases:

Fase 1: Restaurar un DC en cada dominio. Al restaurar un DC en cada dominio, puede hacer que su organización vuelva a funcionar rápidamente y funcione cojeando, si no en pleno funcionamiento.

El primer paso es restaurar los DC seleccionados desde la copia de seguridad. Sus opciones aquí dependen de las herramientas que tenga. Con una solución menos completa, es posible que se vea limitado a la recuperación a nivel de imagen, como la recuperación completa (BMR). Una solución de calidad empresarial también puede ofrecer una recuperación limpia del sistema operativo (SO), lo que no es posible con herramientas nativas. Hay dos factores principales a considerar si tiene ambas opciones.

La restauración desde cero tiene varios requisitos. Aunque la máquina de destino no necesita un sistema operativo preinstalado, sí necesita el mismo diseño de disco físico. Además, esos discos deben ser al menos tan grandes como el DC original para que se puedan establecer las mismas particiones tal como estaban en la computadora original. También debe preocuparse por inyectar controladores críticos para el arranque, configuración de red manual (línea de comandos) y más. Restaurar a un sistema operativo limpio no implica estas preocupaciones; comienza con un servidor Windows que ya tiene todos sus controladores y se configura fácilmente en la red mediante una GUI.
BMR restaura volúmenes completos (particiones de disco), que incluyen archivos que no forman parte de AD, como el sector de arranque, el directorio de archivos de programa y los directorios de Windows y WinSXS. Es posible que necesite estos datos si sus controladores de dominio se utilizan para servicios no relacionados con AD, como alojar zonas DNS que no están integradas con AD, ejecutar una autoridad de certificación o ejecutar servicios de archivos e impresión. Sin embargo, estos archivos adicionales proporcionan muchos lugares donde se puede esconder el malware. Por lo tanto, la recuperación limpia del sistema operativo suele ser el enfoque recomendado, especialmente si el ataque pudo haber utilizado un exploit de día cero.

Después de restaurar desde la copia de seguridad, necesita que los DC se comuniquen y funcionen nuevamente como un bosque. La Guía de recuperación de bosques de Active Directory de Microsoft describe 12 procedimientos de configuración que comprenden más de 40 pasos que se deben realizar en cada controlador de dominio que haya restaurado desde la copia de seguridad. No completar correctamente estos pasos puede provocar que AD se rompa o deje vulnerabilidades de seguridad persistentes.

Fase 2: Promocionar el resto de tus CD. Aquí también tiene varias opciones, incluida una DCPromo directa, pero Microsoft recomienda promocionar con "instalación desde medios" (IFM). Debido a que IFM reduce a la mitad el tráfico enviado a través de su red, acelera significativamente el proceso de promoción de DC.

¿Cuánto tiempo lleva la recuperación ante desastres de Active Directory?

La rapidez con la que pueda recuperarse depende de los detalles de su entorno de Active Directory, de las herramientas y procesos que utilice, de lo bien documentado que esté su plan de recuperación y de cuánto haya practicado. Cada organización es diferente, por lo que esta pregunta es similar a preguntar: “¿Cuánto mide un trozo de cuerda? "

Cuando se realiza manualmente con herramientas de Microsoft, la recuperación del bosque de AD es un proceso difícil, lento y propenso a errores. Además, si el proceso incluye la recuperación de Azure AD, su organización puede tener problemas de sincronización y coherencia de datos. Por ejemplo, es posible que a los usuarios les falten atributos basados en la nube, como sus licencias de Office 365 y asignaciones de roles de aplicaciones, que son fundamentales para que puedan realizar su trabajo. Dado que la mayoría de estos atributos no van a la Papelera de reciclaje de Azure AD, restaurarlos (también conocido como "reconstruir") de manera oportuna es casi imposible con este enfoque.

Acelerar el proceso de recuperación de AD

Una solución de recuperación ante desastres de Active Directory especialmente diseñada acelera la recuperación al automatizar muchas de las tareas manuales del proceso. Esta automatización permite a las organizaciones avanzar en el proceso de recuperación más rápido y con menos personal de TI, al tiempo que garantiza que los pasos se completen en el orden correcto y sin errores. Por ejemplo, al utilizar herramientas nativas, la promoción de DC se debe realizar en cada DC uno por uno, y cada servidor tardará varios minutos u horas en promocionarse. Una solución de terceros puede automatizar el proceso DCPromo con IFM y promover varios DC en paralelo, acortando significativamente la Fase 2 de la recuperación. En pocas palabras: las soluciones automatizadas ayudan a su organización a reducir drásticamente el tiempo de inactividad de Active Directory, acelerando el regreso a las operaciones normales y minimizando los costos del desastre.

Aún mejor, las mejores soluciones de recuperación ante desastres de Active Directory cubren la recuperación de Active Directory y Azure Active Directory en un solo conjunto de herramientas. Esta funcionalidad unificada es fundamental para evitar problemas de sincronización y garantizar la disponibilidad e integridad tanto de AD local como de Azure AD. Con un único panel de recuperación, el equipo de TI puede diferenciar fácilmente los objetos híbridos y los de solo nube, comparar entre copias de seguridad de producción y en tiempo real y realizar operaciones de restauración rápidamente.

Idealmente, la herramienta también proporcionará no sólo recuperación ante desastres sino también recuperación granular. Esto permite a los equipos de TI restaurar objetos específicos (incluidos objetos de política de grupo) y atributos (como atributos modificados accidentalmente por una tarea de migración o un proceso de directorio de metadatos que salió mal) sin pasar por el lento proceso de reiniciar el controlador de dominio.

Los mejores consejos para crear un plan hermético de recuperación ante desastres de Active Directory

Incluso si tiene las mejores herramientas, aún necesita una estrategia sólida para guiar la recuperación. Para un plan de recuperación ante desastres de Active Directory eficaz y completo, siga estas mejores prácticas:

Realice copias de seguridad de AD con regularidad y guárdelas en un lugar seguro.

¿Recuerdas el infame ataque de NotPetya en 2017? En cuestión de horas, este malware paralizó a empresas de todo el mundo, incluido el gigante naviero Maersk. Aunque Maersk tenía copias de seguridad de gran parte de sus datos, nadie pudo localizar una sola copia de seguridad de Active Directory. Mientras el equipo de TI se esforzaba, la empresa tuvo que desviar barcos, no pudo descargar carga en docenas de puertos y no pudo procesar nuevos pedidos. Al final, Maersk se salvó sólo por un golpe de suerte: un centro de distribución en una oficina remota había estado desconectado durante el ataque. La empresa trasladó minuciosamente esa preciosa máquina a su sede para permitir el proceso de recuperación de AD.

Está claro que la suerte no es una estrategia. Realice copias de seguridad de AD con regularidad, pruébelas para asegurarse de que sean válidas y guárdelas en una red aislada, una plataforma en la nube de terceros u otro lugar seguro. Microsoft recomienda seguir la regla 3-2-1: mantenga 3 copias de seguridad de sus datos en 2 tipos de almacenamiento diferentes y mantenga al menos 1 copia de seguridad fuera del sitio. Quest recomienda que al menos algunas de sus copias de seguridad sean aisladas (es decir, no accesibles desde la red informática).

Tipos de copias de seguridad

En realidad, existen varios tipos de copias de seguridad que debe conocer al diseñar su estrategia de recuperación ante desastres de Active Directory. Las opciones nativas incluyen:

Copias de seguridad del estado del sistema: estas copias de seguridad incluyen casi todo el sistema operativo, no solo las partes de Active Directory. Si bien contienen todo lo necesario para la DA, también contienen mucho más, por lo que, para un desastre cibernético, pueden no ser ideales.
Copias de seguridad de recuperación completa: BMR le permite restaurar sus controladores de dominio de Active Directory en diferentes instancias de hardware. Esta opción es particularmente valiosa en el caso de corrupción física de los controladores de dominio y escenarios relacionados de recuperación ante desastres de Active Directory.

Algunas soluciones de recuperación ante desastres de terceros brindan opciones de respaldo adicionales:

Copias de seguridad de Active Directory: estas copias de seguridad incluyen solo componentes específicos de AD: el directorio NTDS, SYSVOL (que contiene la política de grupo y los scripts de inicio de sesión) y aspectos del registro que tienen que ver con AD. Al excluir muchos otros componentes en una copia de seguridad del estado del sistema o BMR, las copias de seguridad de AD reducen drásticamente el riesgo de reinfección por malware después del proceso de recuperación.
Copias de seguridad de Azure AD: en entornos híbridos de AD, también necesita una estrategia de copia de seguridad para objetos y atributos exclusivos de la nube. Los ejemplos incluyen no solo las licencias de Microsoft 365 y las asignaciones de roles de aplicaciones mencionadas anteriormente, sino también grupos de Office 365 y Azure AD, usuarios solo de la nube como cuentas Azure B2B y B2C, y configuraciones de Azure AD MFA y políticas de acceso condicional. Estos objetos y atributos no están protegidos adecuadamente por las herramientas nativas de Microsoft ni cubiertos por ninguna solución de respaldo de Active Directory local exclusiva. Por lo tanto, sin copias de seguridad de Azure AD, una recuperación a menudo genera problemas tanto comerciales como de seguridad. Es posible que los empleados no puedan acceder a los recursos que necesitan para realizar su trabajo, que los usuarios puedan acceder a recursos confidenciales sin completar la autenticación multifactor y que las cuentas de socios y clientes se pierdan para siempre.

¿Qué pasa con las instantáneas de VM?

Tenga en cuenta que no incluí instantáneas de VM: imágenes de una máquina virtual (VM) en un momento determinado. Esto se debe a que las instantáneas de VM no son copias de seguridad adecuadas de Active Directory. Su uso para la recuperación de bosques casi siempre generará problemas de coherencia de datos que son difíciles de resolver. Los ejemplos incluyen objetos persistentes (objetos que están presentes en un controlador de dominio pero que se eliminaron por completo de otros controladores de dominio) y problemas de actualización del número de serie que interrumpirán la replicación. Además, al igual que las copias de seguridad de BMR, las instantáneas pueden incluir malware, que se restaurará en el DC con todo lo demás.

Finalmente, el control sobre las instantáneas de VM generalmente reside en el equipo de operaciones de virtualización, lo que complica el trabajo del equipo de AD durante la recuperación de AD. Además, es posible que el equipo de virtualización ni siquiera sepa que las instantáneas son fundamentales para la recuperación ante desastres y, por lo tanto, no las proteja adecuadamente. Por ejemplo, almacenarlos en un recurso compartido de archivos normal los deja muy vulnerables a la corrupción por parte de atacantes o malware.

Contar con mecanismos de comunicación de emergencia que no dependan de AD.

Debe asegurarse de que las funciones empresariales, de TI y de recuperación puedan comunicarse entre sí incluso si AD no funciona. Por lo tanto, no confíe en sistemas de TI que podrían no estar disponibles, como el correo electrónico o Microsoft Teams. Aquí en Quest utilizamos una solución de mensajería segura e independiente de la plataforma. También compartimos los números de teléfono móvil de todos los miembros críticos del equipo de recuperación y configuramos nuestros teléfonos inteligentes para permitir notificaciones entre nosotros incluso si el teléfono está configurado en "no molestar". "

Mientras lo hace, asegúrese de almacenar su plan de recuperación ante desastres de Active Directory en algún lugar al que pueda acceder incluso si Active Directory no funciona. Una opción es ir a la vieja escuela e imprimirlo; otra es almacenarlo en un almacenamiento en la nube separado como Dropbox. Elija lo que elija, asegúrese de que todas las partes interesadas sepan cómo acceder a él y puedan hacerlo rápidamente.

Identifique el camino de escalada y los tomadores de decisiones clave en cada nivel del camino.

Planifica todas las contingencias que puedas imaginar. También determine quién tomará las decisiones en cada momento y sepa cómo contactarlos en cualquier lugar y en cualquier momento. Recuerde que cuando su ecosistema de TI no funciona, cada segundo cuenta. Durante el esfuerzo de recuperación, simplemente no puede permitirse el lujo de dudar sobre quién está autorizado a tomar la decisión de iniciar la recuperación o quién es responsable de qué.

Pruebe el plan de recuperación con profesionales de TI que no desarrollaron el plan.

Es vital descubrir cualquier suposición no válida, procesos incompletos e información faltante en su plan de recuperación ante desastres de Active Directory y revisarlo en consecuencia. Repita el ciclo de prueba y revisión hasta que obtenga una estrategia sólida que cualquier miembro calificado del equipo de TI pueda ejecutar. De lo contrario, tendrá un plan defectuoso o incompleto que podría retrasar una recuperación real o incluso enviarla en la dirección equivocada.

Por lo tanto, es fundamental que las personas que no escribieron el plan realicen pruebas; Proporcionan una nueva perspectiva vital. Dicho esto, AD es demasiado complejo para que un profano pueda solucionarlo cuando algo sale mal. Los evaluadores deben ser arquitectos de AD con al menos un conocimiento semi-íntimo de la implementación de AD de su organización.

Practique el plan al menos dos veces al año.

La mejor manera de acelerar la recuperación ante desastres de Active Directory es practicar los procedimientos de su plan hasta que se vuelvan automáticos. Todos los miembros del equipo deben estar completamente versados en sus responsabilidades en diferentes escenarios de recuperación.

Actualice periódicamente su plan de recuperación ante desastres de Active Directory.

Los ecosistemas de TI son lugares dinámicos, así que asegúrese de actualizar periódicamente su plan de recuperación ante desastres de Active Directory. Asegúrese de tener en cuenta los cambios en los sistemas y procesos, así como los cambios en la composición del equipo o la información de contacto. Cada ejecución de prueba y cada práctica deberían resultar en actualizaciones y aclaraciones del plan.

También asegúrese de verificar si hay mandatos de cumplimiento y requisitos comerciales nuevos o actualizados. Las aplicaciones que ayer fueron etiquetadas como más importantes para la organización podrían no ser las que se consideran más críticas hoy, lo que puede afectar la forma en que se priorizan las operaciones de recuperación de AD.

Cómo obtener el presupuesto necesario para una estrategia sólida de recuperación ante desastres de Active Directory

Si es un profesional de TI, probablemente no necesite que le convenzan más de que necesita poder restaurar Active Directory rápidamente después de un desastre. Usted sabe muy bien a quién se culpa por el tiempo de inactividad del sistema de TI y no necesita el estrés de tener su teléfono sonando sin parar y preocuparse por si será necesario actualizar su currículum.

¡Pero es posible que necesite ayuda para convencer a su equipo de administración de invertir en las herramientas que necesita para una recuperación efectiva ante desastres de Active Directory! Esta es la mejor estrategia que conozco para incorporarlos. Está inspirado en la balada irónica de Tom Paxton “Estoy cambiando mi nombre a Chrysler”, que incluye esta sabia frase sobre los humanos: “Apenas nos habíamos levantado y caminado cuando el dinero empezó a hablar. "

Calcular el costo del tiempo de inactividad de Active Directory

Entonces, ¡habla de dinero! Muestre cuánto le costará a su organización cada momento adicional de inactividad de Active Directory. Estos son los componentes clave que se deben incluir:

Pérdida de productividad: sin Active Directory para autenticar a los usuarios y proporcionar acceso a datos y servicios, prácticamente nadie podrá hacer su trabajo. Es fácil calcular el coste de esta pérdida de productividad. Por ejemplo, supongamos que la remuneración media de los empleados es de 87 000 dólares al año y que 1000 empleados están inactivos. En ese caso, la pérdida de productividad por sí sola le costará a la organización más de un tercio de millón de dólares por día.
Pérdida de ingresos : ¿cuántos ingresos genera su organización en un día? Multiplique eso por la cantidad de días de inactividad de AD. (Spoiler: probablemente también sea un número enorme).
Negocios perdidos: es probable que el tiempo de inactividad de Active Directory afecte su capacidad para recibir y procesar pedidos y, de otro modo, satisfacer las necesidades de los clientes. Por lo tanto, agregue el flujo de ingresos futuros perdidos debido a que los clientes frustrados eligen llevar sus negocios a sus competidores.
Sanciones por cumplimiento: si está sujeto a normas de cumplimiento, deberá agregar los costos de multas y auditorías adicionales.
Honorarios legales y costos de remediación : si los datos de los clientes quedan expuestos, también podría enfrentar honorarios legales y costos por medidas de remediación, como el monitoreo de crédito gratuito.
Bitcoin frío y duro: si el tiempo de inactividad se debe a un ataque de ransomware y usted decide pagar el rescate, también deberá agregar ese costo. (Tenga en cuenta que este dinero probablemente se desperdicie, ya que sólo el 8 por ciento de las organizaciones que pagan el rescate recuperan todos sus datos).
Daño duradero a la reputación de su organización: cuanto más dure la interrupción, más aparecerá su empresa en los titulares. Entonces, además de los clientes que se alejan inmediatamente, perderá ingresos de todos los clientes potenciales que lo evitarán en el futuro. De hecho, es posible que tengas que luchar durante años para reconstruir tu marca. Aunque este daño puede ser difícil de cuantificar, podría ser el componente más grande del costo total del tiempo de inactividad de AD.

Con una estimación cuantificada del asombroso costo de un solo desastre, puede construir un caso de negocio sólido para crear un plan integral de recuperación ante desastres de Active Directory e invertir en las herramientas necesarias para acelerar el proceso de recuperación y garantizar la continuidad del negocio.

Resumen

Active Directory es el corazón de su ecosistema de TI. Cuanto más tiempo se deba a un ataque, un desastre natural o un error, más tiempo estará inactivo su negocio y más le costará. Por lo tanto, hoy en día todas las organizaciones necesitan un plan integral de recuperación ante desastres de Active Directory y las herramientas adecuadas. Tómelo de Gartner:

“Acelere la recuperación de ataques agregando una herramienta dedicada para la copia de seguridad y recuperación de Microsoft Active Directory. ”
- Gartner, Inc., “Cómo proteger los sistemas de respaldo de ataques de ransomware”, Nik Simpson, 21 de septiembre de 2021.