Vigilar y defender los datos

Un NAS guarda los archivos de toda la casa —o de toda la oficina— y está encendido las 24 horas sin que nadie lo mire. Esta guía cubre las seis piezas que se ocupan de eso: las tres que sirven para recuperar lo que se estropea, y las tres que sirven para enterarse de que algo va mal.

Versiones anteriores

Panel de control → Carpetas compartidas → (una carpeta) → «Versiones anteriores».

Con esto encendido, en Windows aparece la pestaña «Versiones anteriores» al hacer clic derecho en un archivo o en una carpeta, y en el Mac lo mismo desde «Volver a». Dentro está el archivo tal y como estaba en cada instantánea del volumen.

Lo importante no es la pestaña: es quién la usa. Sin ella, recuperar un archivo pasa por avisar a quien administra el NAS, que entra al panel y lo restaura. Con ella, la persona que acaba de machacar su propio documento lo recupera sola, desde su equipo, en diez segundos.

Necesita instantáneas. Lo que se ve en esa pestaña es lo que haya guardado el volumen; si no hay instantáneas programadas, la pestaña sale vacía. Prográmalas en Almacenamiento → Instantáneas (una diaria con quince de retención es un buen punto de partida) y espera a la primera.

Se enciende carpeta a carpeta, y así debe ser: la carpeta de las fotos de la familia lo quiere; la de descargas, no.

Si la pestaña sale vacía

Por orden de probabilidad:

1. No hay instantáneas de ese volumen todavía. Es el caso normal el primer día.
2. La carpeta es un dataset propio y las instantáneas son del volumen padre (o al revés). El panel calcula solo el sitio correcto para cada carpeta, pero si tienes un dataset por carpeta, las instantáneas tienen que ser de ESE dataset.
3. Las instantáneas se crearon a mano con otro nombre. El panel las nombra auto-AAAAMMDD-HHMMSS, y Windows necesita ese patrón exacto para poder ordenarlas por fecha. Las que hayas creado tú con otro nombre no aparecerán ahí (siguen estando y se restauran desde el panel como siempre).

Quién tocó qué

Panel de control → Carpetas compartidas → (una carpeta) → «Apuntar quién borra y quién mueve». Se lee en Centro de registros → «Quién tocó qué».

Contesta a la pregunta que no tenía respuesta: ¿quién ha borrado la carpeta?. Con esto encendido, el NAS apunta cada borrado, cada renombrado y cada carpeta nueva hecha por SMB, con el usuario y el equipo desde el que se hizo.

Solo se apunta lo que destruye o mueve. Apuntar también las lecturas y las aperturas llenaría el registro con miles de líneas por minuto —un Windows abre y cierra archivos sin parar— y el dato que importa se perdería dentro.

No se guarda en ningún archivo aparte: va al diario del sistema, que ya rota solo y sobrevive a los reinicios.

Antivirus

Panel de control → Seguridad → Antivirus.

La pregunta razonable primero: ¿para qué quiere un NAS con Linux un antivirus? No es para protegerse a sí mismo —Linux no ejecuta un .exe— sino para no ser el repartidor. Los archivos de las carpetas compartidas los abren los portátiles de casa, y ahí sí se ejecutan. Un troyano en «Documentos» puede pasarse meses viajando de un equipo a otro, y el NAS es el único sitio desde el que se puede ver todo de una vez.

• Analiza las carpetas que elijas, a mano o una vez por semana.
• Y, entre análisis, vigila lo que va llegando: cada pocos minutos mira **solo los archivos nuevos**. Es la diferencia entre enterarse en diez minutos o en seis días — que es lo que tarda en volver a tocar el análisis completo, con el archivo en la carpeta compartida y a mano de todos los equipos de la casa mientras tanto. Cuesta segundos porque son los archivos de los últimos minutos, no dos teras.
• Usa las firmas de ClamAV, que se actualizan solas — y te dice la edad que tienen. Un antivirus con las firmas de hace medio año da la misma sensación de seguridad que uno al día y no reconoce nada de este año; si el servicio que las baja deja de funcionar, sale dicho en la pantalla y en el informe semanal.
• De fábrica solo avisa. Mover el archivo de alguien sin preguntar, con los falsos positivos que tiene cualquier antivirus, asusta más que el aviso. Si prefieres cuarentena, el archivo sale de la carpeta compartida y se queda en <volumen>/.cuarentena, donde ya no lo abre nadie.
• La cuarentena se puede mirar y deshacer. Lo apartado sale en la pantalla con su tamaño y su fecha, y de ahí se devuelve a una carpeta o se borra para siempre. Los falsos positivos existen —un instalador viejo, una macro del trabajo—, y un archivo que se lleva el antivirus y no se puede recuperar es un archivo perdido.
• Si lo que encuentra es un cifrador, no se queda en un aviso: dispara la misma respuesta que la trampa (instantánea inmediata, freno de las copias y lo que tengas configurado). Avisar y esperar a que alguien lo lea es lo que no se puede hacer con ransomware dentro.
• No se come el NAS: corre con la prioridad más baja de procesador y de disco y con un tope de memoria, así que las carpetas se siguen sirviendo igual mientras analiza.
• Avisa al terminar si encuentra algo, que es lo único que importa: cuando el análisis de las tres de la mañana acaba, no hay nadie mirando el panel.

Un análisis completo de un volumen con muchos archivos son horas. Es normal y no hay límite de tiempo puesto a propósito.

Trampa para ransomware

Panel de control → Seguridad → Informe y trampa.

Las instantáneas con candado son la mejor defensa que hay, pero sirven para recuperar. Esto sirve para enterarse a tiempo: un cifrado empieza por una carpeta y tarda horas en recorrer un NAS entero, y en ese rato no lo mira nadie.

Cómo funciona: el NAS deja en las carpetas compartidas archivos cebo que nadie tiene por qué tocar y les mira la huella cada minuto. Un programa que cifra no elige: cifra todo lo que encuentra, y esos archivos están en su camino. Cuando cambian o desaparecen, lo que hay al otro lado no es una persona.

Cuántos cebos (y por qué importa tanto): casi todas las familias de ransomware trabajan con una lista de extensiones —documentos, hojas de cálculo, fotos, PDF— y un .txt suelto no está en ninguna. Un cebo de texto se lo saltan sin tocarlo, y la trampa no salta nunca.

Y hay una segunda red: aunque no toque ningún cebo, el NAS mira si aparecen de golpe archivos con extensión de cifrado (.locked, .encrypted…) o notas de rescate (HOW_TO_DECRYPT, README_RESTORE…). Hacen falta tres recién aparecidos para dar la alarma: uno suelto puede ser cualquier cosa.

Qué pasa entonces, en este orden (las dos primeras vienen encendidas de fábrica porque no le quitan nada a nadie):

1. Instantánea inmediata de los volúmenes afectados. Es la medida que más datos salva: congela el estado en el minuto de la detección, cuando todavía queda casi todo sin cifrar.
2. Freno de copias y réplicas. Una copia que corra después del cifrado se lleva los archivos cifrados al destino y machaca la última copia buena: es la forma de perderlo todo teniendo copias que funcionan. No vuelven a correr hasta que rearmes la trampa.
3. Cerrar las carpetas compartidas, si lo has pedido. Es agresivo —deja a toda la casa sin archivos de golpe— y es lo que de verdad frena un cifrado en marcha: cada minuto que sigue abierto son gigas más. Se apaga solo SMB: el panel, las copias y el resto siguen en pie para poder mirar qué pasó y recuperar.
4. Bloquear en el cortafuegos 24 horas a quien tuviera carpetas abiertas, si lo has pedido. Corta de raíz el equipo infectado; si hay varios conectados, los bloquea a todos, y por eso viene apagado.
5. Aviso crítico por todos los canales que tengas puestos, con el parte: qué saltó, qué se ha hecho, quién tenía carpetas abiertas en ese momento y los **últimos archivos tocados**. Es por donde se empieza a mirar.

Dos cosas que hace bien y conviene saber:

• Un archivo que no se puede leer (un disco que no contesta, permisos raros) **no cuenta como ataque**. Sería la forma más fácil de que un disco con un problema dejara sin archivos a toda la casa.
• La alarma no se repite cada minuto. Quien la ha visto ya está mirando.

Si la trampa salta

1. No apagues el NAS. Las instantáneas son lo que te va a salvar y están ahí.
2. Mira en el panel qué archivo saltó y cuándo: te dice por qué carpeta empezó.
3. Desconecta de la red los equipos sospechosos (o corta el wifi). El cifrado viene de uno de ellos, no del NAS.
4. Mira las instantáneas de esa carpeta para ver desde cuándo pasa, y restaura desde una anterior a esa hora (recuperación de desastres).
5. Cuando estés seguro, vuelve a armar la trampa y reabre SMB desde Servicios de archivos.

Bloqueo por país

Panel de control → Seguridad → Bloqueo por país.

Un NAS publicado en internet recibe, sin excepción, miles de intentos al día desde medio mundo. El bloqueo automático de IPs reacciona después de los primeros intentos; esto es lo contrario: si los tuyos entran desde España, lo que venga de fuera de España no llega ni a la puerta.

• Es una lista de permitidos, no de bloqueados. Bloquear los diez países de los que más ataques llegan deja abiertos los otros ciento ochenta, y quien ataca lo sabe.
• Desde tu propia red se entra siempre, elijas lo que elijas. Es la valla que impide el accidente que de verdad importa: dejarte fuera de tu NAS desde tu propio salón.
• Los rangos de cada país se bajan solos y se refrescan una vez por semana. Las asignaciones de direcciones se mueven despacio, pero se mueven: sin refrescar, con los meses empezaría a quedarse fuera gente de tu propio país.
• Si una lista no se puede bajar, no se filtra nada en vez de filtrarlo todo.

Ojo si viajas. Con España marcada, tu propio móvil desde el extranjero tampoco entra. Si viajas a menudo, marca también esos países o entra por la VPN, que va por otro camino.

Informe semanal

Panel de control → Seguridad → Informe y trampa.

Es lo contrario de una alarma: un repaso corto de cómo está el NAS cuando no pasa nada, por los mismos canales que el resto de los avisos.

Empieza por el veredicto —una nota del 0 al 100 y una línea— y termina en qué hacer, una lista corta ordenada por urgencia. En medio: volúmenes, discos, copias, instantáneas, seguridad (trampa, antivirus, bloqueos), cámaras y actualizaciones.

Y compara con la semana pasada, que es lo que convierte un número en una decisión: «quedan 400 GB» pueden ser dos años o tres semanas. El informe dice «400 GB libres, 60 menos que hace 7 días · a este ritmo se llena en 46 días», y con eso ya se sabe si hay que comprar un disco ahora o no acordarse hasta Navidad.

Existe para que alguien se entere de que las copias llevan un mes sin correr, o de que a un volumen le queda un 6 %, antes de que sea una urgencia.

Dos detalles pensados a propósito:

• Se puede leer antes de encenderlo: la pantalla enseña el informe que se mandaría ahora mismo. Un correo periódico que no sabes cómo va a ser acaba en la papelera.
• Si el NAS estaba apagado a su hora, se manda en cuanto vuelve. Con el apagado programado, esa es la situación normal.