Instantáneas inmutables
Cómo habilitar y gestionar instantáneas inmutables en VergeOS, que bloquean la eliminación anticipada de instantáneas del sistema para protegerlas contra ransomware durante su periodo de retención, de hasta 7 días.
Resumen
Crítico: Una instantánea inmutable no puede ser eliminada por nadie — incluidos los administradores y Soporte de VergeOS — hasta que expire su bloqueo. Cuando eliminas el indicador inmutable de una instantánea, esta permanece bloqueada durante 7 días o hasta su expiración, lo que ocurra primero.
Las instantáneas inmutables proporcionan una salvaguarda contra la eliminación accidental o maliciosa de instantáneas del sistema. Cuando una instantánea se marca inmutable, ningún usuario — incluidos los administradores o Soporte de VergeOS — puede eliminarla antes de tiempo. La instantánea permanece protegida hasta que expira de forma natural o hasta que se elimina el indicador inmutable y se completa el retraso obligatorio de desbloqueo.
Un propósito clave de la inmutabilidad es proporcionar una ventana de respuesta durante incidentes de seguridad. Si un actor malicioso intenta eliminar la protección inmutable, VergeOS genera alertas e impone un retraso obligatorio de desbloqueo de hasta 7 días. Este retraso garantiza que los administradores tengan tiempo para detectar la actividad, investigar la cuenta involucrada y tomar medidas correctivas antes de que se pueda eliminar cualquier instantánea protegida.
Este diseño protege contra ataques sofisticados de ransomware que intentan eliminar todos los puntos de recuperación, incluidos aquellos accesibles para cuentas de administrador comprometidas.
La protección inmutable se aplica solo a las instantáneas del sistema.
Cómo funcionan las instantáneas inmutables
Cuando la inmutabilidad está habilitada:
La eliminación anticipada está completamente bloqueada para todos los usuarios
La retención no se extiende: las instantáneas expiran normalmente
Eliminar el indicador inmutable inicia un retraso obligatorio de desbloqueo de hasta 7 días
Las instantáneas permanecen imposibles de eliminar durante el retraso de desbloqueo
La expiración siempre tiene prioridad sobre el retraso de desbloqueo
El retraso de desbloqueo proporciona una ventana crítica de detección y respuesta
Expiración vs. retraso de desbloqueo
La fecha de expiración original de la instantánea determina cuándo puede eliminarse:
Si la expiración ocurre primero: VergeOS purga automáticamente la instantánea al expirar.
Si el retraso de desbloqueo ocurre primero: La instantánea pasa a ser elegible para eliminación manual al final del retraso de desbloqueo. VergeOS no la elimina automáticamente a menos que también llegue la expiración.
Ejemplos
12 horas
Ahora
12 horas (purgado automático)
La expiración llega primero → el sistema elimina automáticamente
3 días
Ahora
3 días (purgado automático)
La expiración llega primero → el sistema elimina automáticamente
10 días
Ahora
7 días (se permite la eliminación manual)
El retraso de desbloqueo llega primero → la instantánea se puede eliminar pero no se purga automáticamente
Nunca
Ahora
7 días (se permite la eliminación manual)
Sin expiración → el retraso de desbloqueo determina el momento más temprano de eliminación manual
Purgado automático: VergeOS elimina automáticamente la instantánea al expirar. Se permite la eliminación manual: La instantánea ya no está protegida y un administrador puede eliminarla, pero VergeOS no la elimina automáticamente.
El retraso de desbloqueo es la ventana crítica de protección que permite a los administradores responder a intentos no autorizados de desbloqueo.
Por qué las instantáneas inmutables protegen contra el ransomware
Los actores de ransomware suelen intentar eliminar todas las instantáneas para eliminar las opciones de recuperación. El modelo de instantánea inmutable de VergeOS evita esto al:
Bloquear la eliminación incluso desde cuentas de administrador comprometidas
Imponer un retraso obligatorio de desbloqueo
Conservar los puntos de recuperación el tiempo suficiente para que los administradores detecten y respondan
Garantizar que los atacantes no puedan borrar de inmediato las instantáneas protegidas
Proporcionar un margen de tiempo para que los administradores reaccionen ante intentos no autorizados de desbloqueo
Este diseño aborda específicamente los ataques modernos que apuntan a credenciales privilegiadas.
Comportamiento predeterminado
El perfil de instantáneas del sistema predeterminado marca Cada hora durante 3 horas las instantáneas como inmutables. Esto proporciona una capa de protección base de ciclo rápido.
Esta línea base asume:
Los administradores supervisan las alertas de forma constante
Las alertas de eliminación del indicador inmutable se atienden de inmediato
La organización tiene una ventana corta de detección y respuesta
Las organizaciones con ventanas de respuesta más lentas pueden necesitar instantáneas inmutables con mayor retención para garantizar que tengan tiempo suficiente para reaccionar si un actor malicioso intenta desbloquear instantáneas.
Mejores prácticas y recomendaciones
Cómo elegir una estrategia inmutable según la ventana de respuesta
Protección base (predeterminada)
Instantáneas cada hora
Retención de 3 horas
Inmutabilidad habilitada
Ideal para entornos con tiempos de respuesta rápidos (SOC activo, monitoreo 24/7). Las instantáneas inmutables de retención corta implican un breve retraso de desbloqueo: las instantáneas cada hora no pueden eliminarse durante su retención natural de 3 horas.
Protección extendida
Si tu equipo no puede garantizar una respuesta inmediata:
Marca una instantánea diaria (retención de 24 horas) como inmutable
Proporciona una ventana de reacción de un día completo
Garantiza puntos de reversión protegidos incluso fuera del horario laboral
Da a los administradores más tiempo para responder a intentos no autorizados de desbloqueo
Importante: Las instantáneas diarias inmutables proporcionan una ventana de respuesta más larga, pero requieren más capacidad de almacenamiento: no pueden eliminarse manualmente durante sus 24 horas completas de retención.
Instantáneas inmutables de larga retención
Usar solo cuando:
La tasa de cambios es baja
Hay suficiente espacio libre disponible
Se requieren puntos de reversión protegidos de varios días
Entiendes el impacto operativo del retraso de desbloqueo
Quieres una ventana de respuesta más larga
Por lo general, solo es adecuado para sistemas que operan por debajo de ~70 % de capacidad de almacenamiento y entornos no productivos.
Crítico: Las instantáneas inmutables de larga retención pueden ocupar espacio durante mucho más tiempo. Si la expiración es de 7 días o más, el retraso de desbloqueo debe completarse por completo antes de que sea posible eliminarlas.
Planificación de capacidad de almacenamiento
Las instantáneas inmutables retrasan la eliminación, por lo que la planificación de capacidad debe considerar:
Tasa de cambios
Retención
Espacio libre
Consideraciones críticas
Asegúrate de que el espacio libre pueda acomodar las expiraciones naturales o al menos 7 días del cambio de datos esperado
Las instantáneas inmutables de larga retención requieren margen de capacidad
Integra las alertas de capacidad con la supervisión centralizada o con sistemas SIEM para garantizar una respuesta rápida a un desbloqueo no autorizado.
¿Necesitas ayuda para planificar tu estrategia de instantáneas inmutables?
Las instantáneas inmutables introducen controles estrictos de eliminación, y elegir la estrategia correcta de retención y protección requiere confirmar que haya suficiente espacio libre. Ponte en contacto con Soporte de VergeOS para obtener orientación.
Expectativas de alertas y supervisión
Cuando se elimina un indicador inmutable, VergeOS genera una alerta. Los administradores deben tratar esto como un evento de seguridad de alta gravedad.
Acciones recomendadas:
Investigar la cuenta de usuario y el contexto
Verificar si el cambio estaba autorizado
Considerar pausar la creación de instantáneas
Asegurar que las alertas se integren con SIEM o con supervisión centralizada
Esto garantiza que la eliminación del indicador inmutable no pase desapercibida durante un ataque.
Administración de instantáneas inmutables
Habilitar la protección inmutable (“bloquear” una instantánea)
Navega a Sistema → Instantáneas del sistema
Haz doble clic en la instantánea deseada
Cambiar Inmutable a habilitado
Haz clic en Enviar
La instantánea muestra un icono de candado
Automatizar la protección inmutable
Navega a Sistema → Perfiles de instantáneas
Abre el perfil deseado
Selecciona Periodos del perfil
Edita un periodo y habilita Inmutable
Haz clic en Enviar
Las instantáneas creadas bajo estos periodos serán automáticamente inmutables.
Deshabilitar la protección inmutable (“desbloquear” una instantánea)
Navega a Sistema → Instantáneas del sistema
Haz doble clic en la instantánea
Cambiar Inmutable a deshabilitado
Haz clic en Enviar
La instantánea muestra Desbloqueando y la fecha programada de desbloqueo. Permanece imposible de eliminar hasta que se complete el retraso de desbloqueo o llegue la expiración.
Resolución de problemas
Emergencia de almacenamiento con instantáneas inmutables
Síntoma: Almacenamiento al 90 % o más, no se pueden eliminar instantáneas inmutables.
Acciones inmediatas
Solicitar el desbloqueo de todas las instantáneas inmutables
Detener temporalmente la creación de instantáneas
Agregar capacidad de almacenamiento físico (la única solución inmediata)
Eliminar instantáneas o VMs no inmutables
Prevención
Evita emergencias asegurándote de que el espacio libre pueda acomodar cómodamente las expiraciones naturales o 7 días de cambio de datos esperado para instantáneas inmutables de larga retención.
Contacta con soporte de VergeOS si necesitas ayuda urgente con la planificación de capacidad.
Última actualización
¿Te fue útil?