¿Qué es la cuarentena?

La cuarentena es una medida de aplicación de la prevención de pérdida de datos (DLP) y del agente de seguridad de acceso a la nube (CASB) que redirige un archivo que incumple una política a una ubicación de almacenamiento en la nube controlada por el cliente, en lugar de permitir que llegue a su destino o permanezca en su lugar, aislando así el contenido sensible o malicioso y conservándolo para su revisión.

Puntos clave

• La cuarentena traslada un archivo marcado a un almacenamiento en la nube aislado, sin eliminarlo.
• Los tipos de reglas DLP como «Tipo de archivo», «EDM» y «OCR» pueden activar la cuarentena.
• Un archivo «tombstone» sustituye al original y explica por qué se puso en cuarentena.
• Los perfiles de cuarentena definen la aplicación de almacenamiento, la instancia y el propietario de la carpeta.
• Tanto las aplicaciones SaaS como las IaaS —Box, AWS, SharePoint— pueden alojar carpetas de cuarentena.

En esta página: Por qué es importante · Cómo funciona · Tipos · Cuarentena y Versa · Preguntas frecuentes

¿Por qué es importante la cuarentena?

Las políticas de prevención de pérdida de datos y de los agentes de seguridad de acceso a la nube impiden que el contenido sensible o malicioso llegue a su destino, pero un bloqueo o una eliminación directos pueden resultar demasiado drásticos: destruyen las pruebas y no ofrecen la posibilidad de revisar un falso positivo antes de que los datos desaparezcan. La cuarentena subsana esa carencia: en lugar de eliminar un archivo que cumple una regla de DLP, este se traslada a una ubicación de almacenamiento en la nube controlada por el cliente, aislado de sus destinatarios previstos, pero disponible para que los administradores lo inspeccionen, lo restauren o lo remitan a un nivel superior.

Esa reversibilidad es importante desde el punto de vista operativo. Un archivo legítimo que haya quedado afectado por una regla demasiado amplia puede recuperarse en lugar de perderse para siempre, y la copia puesta en cuarentena conserva un rastro forense que una eliminación directa borraría. Para las organizaciones que ejecutan aplicaciones SaaS e IaaS a gran escala, la cuarentena es lo que permite activar con seguridad las medidas de DLP sin correr el riesgo de una pérdida de datos silenciosa e irreversible.

¿Qué es la cuarentena?

La cuarentena es una medida de aplicación disponible para determinados tipos de reglas de DLP —tipo de archivo, coincidencia exacta de datos (EDM) y reconocimiento óptico de caracteres (OCR)—, así como para la Protección Avanzada contra Amenazas (ATP), que puede poner en cuarentena los archivos que considere sospechosos o maliciosos. En lugar de ser permitido, bloqueado o rechazado, un archivo que cumpla los criterios se envía a un servicio en la nube y se reubica en un destino definido por un perfil de cuarentena.

Un administrador configura ese perfil con una aplicación de almacenamiento (Box, Dropbox, Google Drive, OneDrive o SharePoint, entre otras), una instancia de la misma y la dirección de correo electrónico del usuario en cuya cuenta se crea la carpeta. Normalmente, el archivo original se sustituye por un «tombstone», es decir, un marcador de posición que explica por qué se ha eliminado. Para crear un perfil es necesario que ya exista un conector para la aplicación en la nube elegida.

Tipos de destinos de cuarentena

Los perfiles de cuarentena se dividen en dos grandes categorías de destinos, que se corresponden con las familias de aplicaciones que abarca la protección de datos basada en API. Los destinos SaaS —Box, Citrix ShareFile, Dropbox, Egnyte, Google Drive, OneDrive y SharePoint— crean una carpeta en la cuenta de un usuario específico. Los destinos IaaS —AWS, Google Cloud Platform, Azure y Oracle Cloud Infrastructure— utilizan un contenedor o «bucket» de almacenamiento de objetos, cuyo acceso está restringido exclusivamente a los administradores.

Una segunda diferencia radica en qué es lo que activa la acción. La cuarentena activada por DLP se activa cuando se cumplen las reglas de tipo de archivo, EDM u OCR; la cuarentena activada por ATP se activa cuando el veredicto sobre el malware es «sospechoso» o «malicioso». Ambas utilizan el mismo mecanismo de perfiles, aunque por motivos distintos.

Cuarentena y Versa

En Versa Concerto, la cuarentena se configura en «Configurar > Security Service Edge > Perfiles y conectores > Perfil de cuarentena». Un perfil especifica un nombre, una descripción, un indicador de activado/desactivado, la aplicación y la instancia de destino, y el texto de la ficha de registro tanto para casos de DLP como de ATP; los administradores pueden mantener el texto predeterminado de Versao escribir un texto personalizado. Para crear un perfil es necesario que ya exista un conector de aplicación; cada instancia de conector también indica qué servicios admite: protección de datos basada en API, análisis forense, retención legal y cuarentena.

A continuación, se hace referencia a los perfiles de cuarentena desde las reglas de política: una regla de DLP puede indicar la cuarentena como acción para una coincidencia de tipo de archivo, EDM u OCR, y una regla de ATP puede hacer lo mismo con los archivos sospechosos. Esta funcionalidad se incorporó en la versión 12.2.1. Consulte «Configurar perfiles de cuarentena en Concerto» y «Configurar aplicaciones en la nube para su uso con la protección de datos basada en API» para conocer los procedimientos completos.

Preguntas frecuentes

¿Qué provoca una medida de cuarentena?

Los tipos de reglas de DLP, como «Tipo de archivo», «Coincidencia exacta de datos» y «Reconocimiento óptico de caracteres», pueden seleccionar la cuarentena como acción de coincidencia, y la Protección avanzada contra amenazas puede poner en cuarentena cualquier archivo que considere sospechoso o malicioso durante el análisis, en lugar de bloquearlo o rechazarlo directamente.

¿Dónde van a parar los archivos en cuarentena?

A una carpeta o ubicación de almacenamiento de objetos en una aplicación en la nube proporcionada por el cliente —Box, Dropbox, Google Drive, OneDrive, SharePoint o un bucket de IaaS en AWS, Azure, GCP u OCI— establecida por la aplicación de destino y la instancia configuradas en el perfil de cuarentena.

¿Qué es un archivo «tombstone»?

Una «tombstone» es el archivo que sustituye a un archivo en cuarentena en su ubicación original, indicando que ha sido eliminado y el motivo. Los administradores pueden mantener el texto predeterminado de la «tombstone» de Versao escribir un texto personalizado, configurado por separado tanto para los casos de cuarentena de DLP como para los de ATP.

¿La cuarentena es lo mismo que la eliminación?

No. La cuarentena traslada un archivo coincidente a una ubicación aislada en la nube, con acceso restringido, en lugar de eliminarlo directamente, lo que permite conservar el contenido para su revisión por parte del administrador, para una investigación forense o para su retención legal, en lugar de destruir las pruebas subyacentes de forma permanente y sin posibilidad de recurso.

¿Quién puede acceder a una carpeta de cuarentena?

El acceso siempre debe limitarse exclusivamente a los administradores. En el caso de los destinos SaaS, la carpeta se crea en la cuenta de un usuario específico; en el caso de los destinos IaaS, el contenedor o bucket de almacenamiento debe restringirse estrictamente al acceso de los administradores, según las directrices oficiales de cuarentena de Versa.

Más información sobre la cuarentena

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre la cuarentena, te recomiendo que eches un vistazo a estos artículos a continuación.