Playbook de Backup y Recuperacion de Desastres

RTO RPO MTTR y MTBF

Estrategia 3-2-1-1-0

• 3 copias del dato: produccion mas 2 backups
• 2 tipos de almacenamiento diferentes como SSD mas S3
• 1 copia fuera del sitio principal en otra region cloud
• 1 copia offline o inmutable con S3 Object Lock o Vault Lock
• 0 errores en la ultima prueba de restauracion verificada

Matriz de criticidad

AWS Backup con Terraform

resource "aws_backup_plan" "produccion" {
  name = "plan-backup-produccion"
  rule {
    rule_name         = "backup-diario"
    target_vault_name = aws_backup_vault.principal.name
    schedule          = "cron(0 2 * * ? *)"
    lifecycle {
      cold_storage_after = 30
      delete_after       = 365
    }
    copy_action {
      destination_vault_arn = aws_backup_vault.secondary.arn
    }
  }
  rule {
    rule_name         = "backup-semanal"
    target_vault_name = aws_backup_vault.principal.name
    schedule          = "cron(0 1 ? * SUN *)"
    lifecycle {
      cold_storage_after = 90
      delete_after       = 2555
    }
  }
}
resource "aws_backup_vault" "principal" {
  name        = "vault-produccion"
  kms_key_arn = aws_kms_key.backup.arn
}

Script de backup PostgreSQL verificado

#!/bin/bash
set -euo pipefail
DB_HOST="prod-db.internal"; DB_NAME="appdb"; DB_USER="backup_user"
BUCKET="s3://prod-backups"; DATE=$(date +%Y%m%d_%H%M%S)
FILE="/tmp/backup_${DB_NAME}_${DATE}.sql.gz"

PGPASSWORD="${DB_PASSWORD}" pg_dump -h "$DB_HOST" -U "$DB_USER" "$DB_NAME" | gzip > "$FILE"
CHECKSUM=$(sha256sum "$FILE" | cut -d' ' -f1)
echo "$CHECKSUM" > "$FILE.sha256"

aws s3 cp "$FILE" "$BUCKET/postgresql/$DATE/" --sse aws:kms
aws s3 cp "$FILE.sha256" "$BUCKET/postgresql/$DATE/"

REMOTE=$(aws s3 cp "$BUCKET/postgresql/$DATE/$(basename $FILE).sha256" -)
if [ "$CHECKSUM" = "$REMOTE" ]; then
  echo "Verificacion OK"
  aws sns publish --topic-arn "$SNS_TOPIC" --message "Backup $DB_NAME OK: $DATE"
else
  echo "ERROR: checksum no coincide"; exit 1
fi
rm -f "$FILE" "$FILE.sha256" 

Clases de almacenamiento S3

Inmutabilidad anti-ransomware

resource "aws_s3_bucket_object_lock_configuration" "backups" {
  bucket = aws_s3_bucket.backups.id
  rule {
    default_retention {
      mode = "COMPLIANCE"
      days = 30
    }
  }
}

Calendario de pruebas

Procedimiento de restore PostgreSQL

1. Identificar el punto de recuperacion objetivo
2. Crear entorno de restore aislado nunca restaurar directamente en produccion
3. Descargar backup y verificar checksum SHA256 antes de continuar
4. Descomprimir: gunzip backup_file.sql.gz
5. Restaurar: psql -h restore-db -U admin nueva_db < backup_file.sql
6. Verificar integridad con queries de conteo de registros y muestreo
7. Si es para produccion actualizar DNS o connection strings
8. Documentar tiempo real de restore para actualizar el RTO

Estrategias DR y su costo

Runbook de activacion del DRP

1. Confirmar que el fallo es real max 5 min
2. Declarar el incidente: notificar al CTO y al equipo
3. Registrar el timestamp de inicio de cada accion
4. Activar el entorno DR en la region secundaria
5. Actualizar los registros DNS al entorno DR
6. Notificar a los usuarios del cambio y tiempo estimado
7. Verificar que todos los servicios criticos funcionan
8. Iniciar recuperacion del entorno principal en paralelo
9. Planificar el failback coordinado una vez el principal este listo
10. Post-mortem dentro de las 48h

Anatomia de un ataque

1. Acceso inicial via credenciales robadas phishing o vulnerabilidad expuesta
2. Persistencia: el atacante permanece invisible semanas o meses
3. Reconocimiento: mapeo de la red y localizacion de datos criticos
4. Cifrado: activacion simultanea en todos los sistemas identificados
5. Extorsion: demanda de pago con amenaza de publicar datos

Lista de verificacion de recuperacion

• NO pagar el rescate sin consultar con un especialista en respuesta a incidentes
• Aislar inmediatamente todos los sistemas afectados de la red
• Preservar evidencias: no apagar servidores tomar snapshots del estado actual
• Identificar el backup limpio mas reciente ANTES del punto de compromiso
• Verificar que el backup no fue cifrado con checksum y lectura de muestra
• Restaurar en entorno limpio y aislado no en la infraestructura comprometida
• Reconstruir la infraestructura comprometida desde cero
• Cambiar TODAS las credenciales antes de reconectar a produccion

KPIs del programa de backup

Plantilla registro de prueba de restore