Commvault ha integrado sus acciones de recuperación frente a ciberincidentes directamente en CrowdStrike Charlotte Agentic SOAR, de forma que los clientes de ambas compañías puedan incorporar tareas sobre copias de seguridad y entornos de recuperación dentro de sus flujos automatizados de seguridad. La integración ya está disponible y busca reducir uno de los problemas habituales durante un ataque: la separación entre quienes investigan y contienen la amenaza y quienes deben proteger y recuperar los datos.

Las claves de Commvault y CrowdStrike en 20 segundos

• Commvault incorpora acciones de ciberrecuperación como pasos nativos de Charlotte Agentic SOAR.
• Los equipos pueden restringir accesos y conservar puntos de recuperación durante un incidente.
• Los activos sospechosos pueden restaurarse en Commvault Cleanroom para analizarlos fuera de producción.
• La integración está disponible para clientes conjuntos y amplía la colaboración previa entre ambas compañías.

La novedad resulta especialmente interesante en ataques de ransomware y otras intrusiones en las que la respuesta no termina al aislar un equipo comprometido. Antes de iniciar una recuperación hay que determinar hasta dónde llegó el atacante, qué copias siguen siendo fiables y qué sistemas pueden restaurarse sin reintroducir la amenaza.

Ahí confluyen dos áreas que tradicionalmente han utilizado herramientas y procedimientos diferentes: SecOps, encargado de las operaciones de seguridad, y los equipos responsables del backup y la recuperación.

Commvault y CrowdStrike quieren que parte de ese trabajo pueda coordinarse desde el mismo flujo de respuesta.

Del aviso de seguridad a proteger inmediatamente las copias

SOAR corresponde a Security Orchestration, Automation and Response, una categoría de herramientas destinada a coordinar y automatizar las acciones que siguen a la detección de una amenaza.

Charlotte Agentic SOAR forma parte de la plataforma de CrowdStrike y utiliza automatización basada en IA para investigar alertas, tomar decisiones dentro de las políticas establecidas y ejecutar acciones sobre diferentes sistemas.

La integración presentada el 31 de agosto añade acciones específicas de Commvault a esos procedimientos.

Una de ellas permite restringir el acceso a Commvault durante un incidente activo.

La medida tiene una finalidad concreta. Si un atacante todavía conserva credenciales privilegiadas o acceso a determinados sistemas, puede intentar modificar o eliminar las copias que posteriormente serían necesarias para recuperar la infraestructura.

El flujo de seguridad puede ahora incorporar la restricción de acceso como parte de las medidas adoptadas tras detectar el incidente, en lugar de depender de una intervención independiente del equipo de backup.

Otra acción afecta a las políticas de retención.

Los sistemas de copias de seguridad eliminan normalmente datos antiguos siguiendo las políticas configuradas por cada organización. Es un proceso necesario para gestionar la capacidad disponible, pero durante una investigación puede provocar que desaparezca un punto de recuperación que posteriormente resulte útil.

Commvault permite que Charlotte Agentic SOAR suspenda automáticamente las políticas de envejecimiento de los datos de backup durante un incidente.

No significa que cualquier copia conservada pase automáticamente a ser segura. Su utilidad tendrá que determinarse durante la investigación. La función evita que determinados puntos desaparezcan mientras los equipos intentan reconstruir qué ocurrió y desde cuándo estaba comprometido el entorno.

Restaurar un servidor sospechoso sin devolverlo a producción

La tercera función conecta la investigación con Commvault Cleanroom Recovery.

En lugar de restaurar directamente un activo potencialmente comprometido sobre la infraestructura productiva, el sistema puede llevarlo a un entorno aislado.

Los investigadores disponen así de una copia sobre la que analizar archivos, configuraciones y otros elementos relacionados con el incidente sin interferir en los sistemas que siguen prestando servicio.

Esta separación es importante porque recuperar datos y recuperar un servicio de forma segura son problemas diferentes.

Una copia de seguridad puede haberse completado correctamente y contener todos los datos esperados, pero proceder de un momento en el que el atacante ya estaba presente.

También puede incluir malware, mecanismos de persistencia, configuraciones modificadas o credenciales comprometidas.

Restaurarla directamente puede devolver el sistema a un estado funcional y, al mismo tiempo, reintroducir parte del compromiso que provocó el incidente.

Los entornos aislados permiten introducir una etapa intermedia entre backup y producción: restaurar, inspeccionar, validar y solo después decidir qué puede regresar.

La nueva integración permite incorporar ese procedimiento al flujo iniciado desde Charlotte Agentic SOAR.

La automatización conecta dos momentos diferentes del ataque

El valor práctico de la integración no está únicamente en ejecutar automáticamente una restauración.

La secuencia completa es más interesante.

Una plataforma de detección puede identificar una actividad sospechosa, iniciar una investigación y contener determinados sistemas. A partir de ese momento también puede ser necesario proteger inmediatamente la infraestructura de recuperación.

Antes de esta integración, esas tareas podían exigir avisos manuales entre equipos, acceso a diferentes consolas y ejecución de procedimientos separados.

Commvault quiere convertir algunas de ellas en acciones disponibles directamente para el flujo de seguridad de CrowdStrike.

Esto puede resultar especialmente útil cuando cada minuto cuenta.

Un atacante que ha conseguido privilegios elevados puede intentar atacar las copias de seguridad precisamente porque sabe que constituyen la última opción de la organización para evitar pagar un rescate o reconstruir sistemas desde cero.

Automatizar la protección de esos recursos reduce el tiempo entre la detección de una amenaza y las primeras medidas sobre el entorno de recuperación.

Eso no elimina la intervención humana ni convierte la recuperación completa en un proceso autónomo.

Decidir qué datos son fiables, cuándo restaurarlos y cuándo volver a conectar un sistema a producción continúa requiriendo controles, políticas y validaciones adaptadas a cada organización.

CrowdStrike y Commvault ya compartían información de seguridad

La relación entre ambas plataformas no comienza con Charlotte Agentic SOAR.

Commvault ya había integrado CrowdStrike Falcon Insight XDR para utilizar información procedente de CrowdStrike dentro de Commvault Cloud.

Posteriormente añadió una integración con Falcon Next-Gen SIEM, destinada a ampliar la visibilidad sobre eventos relacionados con los entornos protegidos.

La nueva conexión completa otra parte del recorrido.

Las anteriores integraciones permitían compartir señales e información. Ahora las acciones de recuperación de Commvault pueden incorporarse directamente a procedimientos automatizados de respuesta.

El cambio refleja además una evolución más amplia de la ciberseguridad empresarial.

Durante años el backup se consideró principalmente una herramienta para solucionar fallos, errores humanos o problemas de infraestructura. El ransomware lo convirtió también en una pieza de seguridad.

Una estrategia de recuperación frente a un ataque necesita saber no solo si existe una copia, sino cuándo se creó, si puede considerarse limpia, si el atacante pudo manipularla y cómo restaurarla sin comprometer nuevamente el entorno.

Por eso los sistemas de detección y las plataformas de recuperación están empezando a intercambiar cada vez más información.

La IA agéntica entra en la respuesta y también en la recuperación

Charlotte Agentic SOAR añade además otra dimensión: el creciente uso de agentes de IA dentro de las operaciones de seguridad.

La promesa de estas plataformas es reducir el trabajo manual necesario para investigar señales, correlacionar información y ejecutar procedimientos previamente definidos.

Pero la velocidad de una investigación automatizada sirve de poco si, llegado el momento de proteger las copias o iniciar una recuperación, el proceso vuelve a depender de comunicaciones manuales entre departamentos.

La integración de Commvault intenta extender esa automatización hacia la fase de recuperación.

Conviene, sin embargo, separar automatización de autonomía total.

La posibilidad de ejecutar acciones sobre copias de seguridad desde un flujo SOAR exige controles especialmente estrictos. Una automatización incorrecta sobre infraestructura de recuperación puede tener consecuencias importantes, precisamente porque esos datos constituyen la última línea disponible cuando producción ha quedado comprometida.

Las políticas, permisos y límites establecidos por cada organización continúan siendo por tanto una parte esencial del diseño.

Commvault presenta la integración como una forma de reducir los traspasos manuales entre los equipos de seguridad y recuperación, no como una sustitución de ambos.

La diferencia es relevante.

El objetivo es que cuando CrowdStrike detecte y gestione un incidente, el procedimiento pueda extenderse inmediatamente hasta los sistemas que serán necesarios si finalmente hay que recuperar la infraestructura.

Detectar antes sirve de poco si recuperar sigue llevando días

La ciberseguridad empresarial ha dedicado una gran cantidad de recursos a reducir el tiempo medio de detección y respuesta.

Pero un incidente grave puede dejar sistemas cifrados, eliminados o deliberadamente modificados incluso cuando el atacante ya ha sido expulsado.

En ese momento aparece otra métrica: cuánto tarda la empresa en recuperar realmente su actividad.

Un buen sistema de detección puede descubrir un ransomware rápidamente y aun así dejar a la organización varios días sin determinados servicios si el proceso de recuperación es lento, las copias tienen que verificarse manualmente o no está claro qué punto temporal es seguro.

La convergencia entre CrowdStrike y Commvault intenta acercar esas dos fases.

La plataforma de seguridad aporta información sobre el incidente y organiza la respuesta. La plataforma de protección de datos conserva las copias y proporciona los mecanismos para restaurarlas. El nuevo conector permite que algunas decisiones entre ambos mundos formen parte del mismo procedimiento.

La integración está disponible de forma general para los clientes conjuntos de Commvault y CrowdStrike y también se distribuye mediante CrowdStrike Marketplace.

No convierte automáticamente una infraestructura en resistente al ransomware ni asegura que una restauración vaya a ser limpia. Para eso siguen siendo necesarios copias protegidas, aislamiento, pruebas periódicas, controles de identidad y planes de recuperación.

Lo que sí reduce es una separación que puede resultar costosa durante una emergencia: la distancia operativa entre detectar que algo está ocurriendo y empezar a proteger los datos que harán posible volver a funcionar.

Preguntas frecuentes

¿Qué han integrado Commvault y CrowdStrike?

Commvault ha incorporado acciones de ciberrecuperación como pasos disponibles dentro de los flujos de CrowdStrike Charlotte Agentic SOAR. Esto permite coordinar determinadas tareas de protección y recuperación desde los procedimientos de respuesta de seguridad.

¿Qué puede hacer Charlotte Agentic SOAR sobre Commvault?

La integración permite restringir accesos a Commvault, suspender políticas de envejecimiento para conservar puntos de recuperación y restaurar activos potencialmente comprometidos dentro de Commvault Cleanroom para su análisis.

¿Para qué sirve Commvault Cleanroom?

Permite restaurar sistemas en un entorno aislado donde pueden investigarse y validarse antes de considerar su regreso a producción. El objetivo es evitar que una recuperación reintroduzca elementos relacionados con el ataque.

¿Está ya disponible la integración?

Sí. Commvault indica que la integración está disponible de forma general para clientes conjuntos de Commvault y CrowdStrike y también puede encontrarse en CrowdStrike Marketplace.