¿Cómo hago inmutables las copias de seguridad contra ransomware en mi propio servidor?

¿Qué significa inmutable para una copia de seguridad?

El ransomware que toma el control de un servidor suele apoderarse también de las credenciales de copia de seguridad almacenadas en él. Si esas credenciales pueden eliminar copias antiguas, el atacante las elimina antes de cifrar nada.

Una copia de seguridad inmutable cierra esa puerta. La máquina de la que se hace la copia puede añadir datos nuevos, pero nada de lo que contiene puede eliminar o reescribir versiones antiguas. Algunos métodos lo imponen mediante permisos de acceso, otros mediante un bloqueo con fecha de caducidad.

Si la máquina que proteges puede eliminar sus propias copias de seguridad, también podrá hacerlo quien tome el control de esa máquina.

¿Cómo funcionan restic y Borg en modo solo anexar?

El rest-server de restic tiene un flag --append-only. Su README indica que el modo permite nuevas copias de seguridad pero impide eliminar y modificar las existentes. Haz prune desde una máquina de administración a través de una segunda instancia sin el flag, o en el propio servidor.

Borg impone el modo con un comando forzado en authorized_keys, o con append_only = 1 en la configuración del repositorio. Su documentación enumera los límites con claridad:

• borg delete y borg prune siguen ejecutándose; solo marcan los datos como eliminados.
• La siguiente escritura en modo normal elimina esos datos de forma definitiva, así que el prune automático deja el modo sin efecto.
• Ejecuta borg check antes de hacer prune en un repositorio de solo anexar.
• rm sigue funcionando sobre los archivos, así que los clientes deben acceder al repositorio solo a través de borg serve.

Ambas herramientas se comparan en restic o Borg para copias de seguridad externas.

# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1

¿Cómo bloquean las copias de seguridad Proxmox Backup Server y Veeam?

Proxmox Backup Server funciona por roles. Un usuario con DatastoreBackup puede hacer copias de seguridad y restaurar las suyas propias, pero el prune requiere DatastorePowerUser. La recolección de basura además espera 24 horas y 5 minutos antes de eliminar chunks. Combínalo con un trabajo de sincronización del que tire el servidor externo, para que en casa no haya ningún inicio de sesión externo. La configuración completa está en un Proxmox Backup Server externo en un servidor alquilado.

El repositorio reforzado de Veeam funciona por tiempo. Los archivos permanecen inmutables de 7 a 9999 días, y las credenciales que instalaron los servicios de Veeam nunca se almacenaron. Los pasos para una máquina alquilada están en un repositorio reforzado de Veeam en un servidor Linux alquilado.

¿Puedo usar S3 Object Lock en mi propio servidor?

Solo si tu servidor S3 lo implementa, y las dos opciones de código abierto más conocidas difieren.

• MinIO documenta el bloqueo de objetos en buckets con versiones, en modo GOVERNANCE o COMPLIANCE. En modo COMPLIANCE, ningún usuario puede cambiar una versión bloqueada, incluido el usuario root. Pero el repositorio de la comunidad de MinIO se archivó el 25 de abril de 2026, ya no se mantiene y se distribuye solo como código fuente.
• Garage indica Object Lock y el versionado de buckets como no disponibles en su página de compatibilidad con S3.

Del lado del cliente, Kopia es compatible con Object Lock: el bucket debe tenerlo habilitado en su creación, y Kopia recomienda el modo compliance. Su otro consejo sirve en cualquier sitio: una clave de acceso sin permisos de eliminación. Otros servidores S3 se comparan en las mejores alternativas a MinIO para S3 autoalojado.

¿Cómo protegen las instantáneas de ZFS una copia de seguridad de su propio cliente?

Deja que el cliente escriba por SFTP o rsync como una cuenta normal, y que root haga las instantáneas. OpenZFS describe una instantánea como una copia de solo lectura de un sistema de archivos. La cuenta del cliente no tiene permiso de destroy mediante zfs allow, así que no puede eliminarlas.

Una retención añade un segundo bloqueo. Mientras una instantánea tiene una retención, zfs destroy sobre ella falla con EBUSY hasta que alguien libere la retención.

Las instantáneas hechas por root, en un dataset en el que escribe el cliente, convierten cualquier destino rsync o SFTP en uno versionado y de solo anexar.

snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep

¿Qué sigue eliminando las copias de seguridad inmutables en un servidor alquilado?

Dos cosas, y ambas están fuera del software de copia de seguridad.

• Root en el servidor de copias de seguridad. Todos los métodos anteriores acaban cediendo ante root. Mantén root en una clave que nunca esté en las máquinas de las que haces copia, y limita SSH a tu dirección de administración.
• El propio alquiler. Cada servidor se paga por adelantado desde tu saldo en criptomonedas, por 30 días, 3 meses, 6 meses o 12 meses según elijas al pagar. La renovación automática vuelve a cobrar el mismo periodo al precio con el que empezaste, salvo que establezcas otro periodo para la siguiente renovación en el panel; cuando el saldo no alcanza, el servidor se detiene al final de su periodo, sus discos se conservan durante 7 días y después se borran. Los reinicios, las reinstalaciones y las cancelaciones se solicitan en el panel y las gestiona el equipo; una reinstalación borra todos los discos, incluidos los de datos. Un bloqueo más largo que el plazo pagado no protege nada.

Un servidor de almacenamiento no es una copia de seguridad de sí mismo: no guardamos ninguna copia de tus datos en ningún otro sitio, así que una segunda copia en otro lugar sigue siendo tu responsabilidad. Las versiones bloqueadas tampoco se pueden purgar antes de tiempo, así que el pool crece con cada versión conservada. El estudio de Basalthold sobre 2 November 2026 encontró que los servidores de almacenamiento de 72 TB o más cuestan una mediana de $4.86 por TB al mes en proveedores que aceptan criptomonedas sin KYC. Hold 100 cuesta $3.77/TB, en bruto. Los plazos de hasta 12 meses están en la lista de precios de retención.