Lo primero que debo decir: sé que necesito una copia de seguridad y tengo una, por supuesto, pero mi pregunta no es sobre la seguridad de los datos, sino sobre cómo reducir el posible tiempo necesario para restaurar los datos.
Ya estoy limitando el acceso de escritura de todos los usuarios en la medida de lo posible para evitar una situación en la que un host infectado pueda cifrar todos los datos en el peor de los casos. Además, es relativamente poco probable que el propio servidor de archivos se infecte porque el único servicio accesible desde las estaciones de trabajo son los recursos compartidos SMB.
Lo que me gustaría tener es una forma de detectar el comportamiento malicioso y prevenir más si es posible. Por ejemplo, cuando un cliente abre y cambia archivos rápidamente de una manera sistemática, ¿no sería esto una señal clara de ransomeware y no hay una manera de evitar esto?