Un approccio multilivello alla resilienza informatica

Gli attacchi ransomware sono ormai una realtà inevitabile nell’attuale panorama delle minacce e rappresentano una delle principali preoccupazioni per tutte le aziende. Infatti, gli incidenti legati al ransomware hanno registrato un’impennata drammatica nella prima metà del 2025, con un aumento del 49% rispetto allo stesso periodo del 2024.

Ora che le organizzazioni si trovano ad affrontare minacce ancora più sofisticate, progettate per crittografare i dati, paralizzare le operazioni e sfruttare i processi di Recovery, questi numeri non mostrano alcun segno di rallentamento.

La posta in gioco si sta alzando ed è sempre più evidente che, quando si verifica un disastro, limitarsi ad avere un backup non è sufficiente. Le organizzazioni non possono adottare un approccio reattivo alla sicurezza e sperare di operare con successo. Sono necessari dati immutabili, un rilevamento intelligente delle minacce, un ripristino pulito e il collaudo dei piani di ripristino, oltre a una protezione 24 ore su 24, 7 giorni su 7.

Commvault offre un framework di difesa contro il ransomware profondamente integrato e multistrato che dà priorità alla sicurezza, alla velocità e alla fiducia. Combinando meccanismi all’avanguardia di rilevamento delle minacce, isolamento e Recovery con le informazioni dei partner, Commvault contribuisce a garantire la resilienza informatica.

Questo articolo esplora quattro componenti della strategia di difesa dal ransomware di Commvault: immutabilità dei dati, Threat Scan in tempo reale, Recovery convalidato e automazione intelligente del Recovery. Insieme, queste funzionalità costituiscono una risposta completa e affidabile a una delle sfide più persistenti che affliggono i moderni team IT.

Immutabilità dei dati: la prima linea di difesa

L’immutabilità dei dati è parte integrante di qualsiasi strategia di difesa dal ransomware di successo. In un mondo in cui il ransomware prende sempre più di mira non solo i sistemi di produzione ma anche l’infrastruttura di backup stessa, l’immutabilità rappresenta una salvaguardia fondamentale. Commvault sfrutta l’immutabilità dei dati con una serie di funzionalità progettate per aiutare a mantenere i dati a prova di manomissione. Ciò si ottiene tramite archiviazione immutabile, controlli di accesso a più livelli e protocolli di autorizzazione obbligatori.

Ecco uno sguardo più da vicino alle funzionalità di immutabilità dei dati di Commvault:

• Archiviazione immutabile: Commvault adotta un approccio multilivello all’immutabilità. Combina i propri controlli a livello di software con tecnologie WORM (write-once, read-many) applicate a livello hardware e basate sul cloud. Retention Lock (precedentemente WORM Copy) impedisce la cancellazione prematura o la scadenza dei backup, anche da parte degli amministratori, e protegge da azioni quali la rimozione delle politiche di archiviazione o l’eliminazione delle librerie di archiviazione. Si tratta di un’importante forma di difesa contro amministratori disonesti o aggressori malintenzionati.
  Analogamente, per l’immutabilità applicata a livello hardware, Commvault si integra con piattaforme di archiviazione che supportano l’API S3 Object Lock, standard del settore. S3 Object Lock opera in due modalità principali: governance e conformità. Mentre la modalità governance aiuta a proteggere dalle cancellazioni accidentali e mantiene la flessibilità amministrativa, è adatta principalmente ai controlli interni. La modalità di conformità, più rigorosa, d’altra parte, impone periodi di conservazione inderogabili ed è progettata per soddisfare requisiti normativi stringenti quali la norma SEC 17a-4, la FINRA e l’HIPAA 12.
  Quando Commvault scrive i dati di backup su una destinazione abilitata per Object Lock, come un bucket AWS S3 o un object store Zadara, imposta il timestamp dei metadati “Object-Lock-Retain-Until-Date”. Qualsiasi chiamata API volta a modificare o eliminare l’oggetto prima di tale data viene respinta dal sistema di archiviazione, indipendentemente dalle autorizzazioni dell’utente. Commvault aggiunge inoltre un periodo di tolleranza predefinito di 7 giorni al periodo di conservazione del blocco WORM configurato nel software.
  Infine, su Commvault Grid, l’appliance integrata e scalabile di Commvault, l’azienda garantisce l’immutabilità end-to-end tramite Retention Lock, un sistema operativo rinforzato e un file system immutabile. Questo stack integrato è certificato per la conformità alla norma SEC 17a, rendendolo una potente soluzione all-in-one per lo storage immutabile.

• Commvault AirGap: la protezione air-gapped è fornita tramite un ambiente di backup gestito da Commvault e logicamente isolato che crittografa i dati, li separa dalla rete di produzione ed elimina i costi di uscita. Questa funzionalità è abilitata di default per i clienti SaaS di Commvault, contribuendo a mantenere i dati protetti anche nel caso in cui i sistemi di produzione vengano compromessi.

• Applicazione del modello zero-trust: Commvault applica rigorosi principi zero-trust all’infrastruttura di backup attraverso il controllo degli accessi basato sui ruoli, l’autenticazione a più fattori e la gestione degli accessi privilegiati. Questi livelli limitano l’esposizione e impongono l’accesso con il minimo privilegio, riducendo l’impatto delle credenziali compromesse.

• Autorizzazione multipla: per impedire modifiche dolose o accidentali alle politiche di protezione, Commvault impone approvazioni basate sul quorum per le operazioni sensibili. Ciò contribuisce a impedire che un singolo amministratore disabiliti o elimini i dati protetti senza supervisione.

Intelligence sulle minacce in tempo reale: rilevamento e contenimento proattivi

La suite Threat Scan di Commvault è un pilastro della sua difesa contro il ransomware. File e programmi dannosi possono infiltrarsi nei backup e rimanere nascosti, in attesa dell’occasione perfetta per colpire. Pertanto, l’intelligence sulle minacce in tempo reale di Commvault è progettata per identificare le minacce in ogni fase: durante il backup, dopo il backup e prima del ripristino.

Commvault è inoltre l’unico fornitore di soluzioni per la resilienza informatica dotato di funzionalità di inganno integrate, quali i sensori Threatwise e i file canary. Questi strumenti possono attivare avvisi mentre un autore della minaccia sta effettuando attività di ricognizione e prima ancora che il ransomware raggiunga i dati di backup.

Il rilevamento delle minacce in tempo reale prende vita grazie a queste potenti Features:

• Scansione in linea, pre-backup e post-backup: mentre Threat Scan è un’attività post-backup, Commvault monitora attivamente gli indicatori di ransomware durante le fasi in linea e pre-backup. Ciò include la ricerca di modifiche in attributi quali il tipo MIME, la dimensione del backup e l’aumento di estensioni specifiche che riflettono l’attività del ransomware.
  Grazie a questo approccio completo, indipendentemente dal fatto che i dati siano in transito, appena archiviati o in fase di ripristino, vengono continuamente ispezionati alla ricerca di minacce nascoste o latenti. Ciò consente un rilevamento precoce e contribuisce a eliminare i punti ciechi.

• Rilevamento basato su firme e su IA/ML: Commvault sfrutta l’SDK anti-malware di Avira, un motore OEM affidabile e ampiamente utilizzato nel settore, per potenziare notevolmente le proprie capacità difensive. Questo motore include diversi livelli di rilevamento che, combinati tra loro, forniscono un approccio di sicurezza completo.
  La scansione basata su firme confronta gli hash dei file con l’ampio database di firme malware di Avira. Gli aggiornamenti avvengono ogni 24 ore per mantenere il motore al passo con le minacce emergenti. Questo database viene aggiornato automaticamente ogni 24 ore tramite una connessione sicura ai server di aggiornamento di Avira, fornendo protezione contro le minacce più recenti catalogate.
  Analogamente, per il malware non ancora presente nel database delle firme, il motore Avira utilizza l’euristica per analizzare la struttura del codice, il comportamento e le caratteristiche di un file. Ciò gli consente di identificare varianti di famiglie di malware note e altro codice sospetto, anche in assenza di una corrispondenza esatta con una firma.
  Infine, il Machine Learning (MicroVision™), il modello di ML locale di Avira, valuta un’ampia serie di attributi e anomalie del codice per identificare minacce mai viste prima. È particolarmente efficace contro il malware zero-day che non presenta una firma nota ma mostra segni di comportamento dannoso.

• Analisi dell’entropia e della discrepanza MIME: Commvault utilizza modelli di rilevamento della crittografia, costituiti da molteplici caratteristiche statistiche, per identificare file crittografati o camuffati. Una di queste caratteristiche è l’entropia, che misura il livello di casualità nei dati a livello binario. Un’entropia elevata può indicare una crittografia da ransomware, ma è solo una delle numerose proprietà utilizzate nel modello di rilevamento della crittografia di Commvault.
  Parallelamente, il rilevamento delle discrepanze MIME segnala i file il cui contenuto non corrisponde al tipo di file previsto, come ad esempio uno script camuffato da PDF. Queste tecniche aiutano a scoprire minacce latenti che altrimenti potrebbero passare inosservate.

• Rilevamento delle anomalie: Commvault monitora costantemente le deviazioni comportamentali. Picchi insoliti nel volume dei backup o cambiamenti nei modelli dei dati vengono considerati segnali di allarme. Una volta individuate, queste anomalie possono essere prontamente analizzate, contribuendo a un contenimento tempestivo.

• Integrazione dei segnali dei partner: Commvault potenzia le proprie capacità di rilevamento grazie all’integrazione con partner di sicurezza esterni. Ad esempio, quando CrowdStrike rileva un malware su un endpoint, i clienti protetti da Commvault possono visualizzare le informazioni relative agli Indicatori di Compromissione (IoC) all’interno della dashboard degli Indicatori di Minaccia per avviare azioni quali la Threat Scan o il Recovery dei dati.

Recovery completo: isolato, convalidato e automatizzato

Poiché il ransomware cresce in complessità e velocità, un ripristino pulito è fondamentale. In caso di ransomware, il ripristino della versione sbagliata può causare una reinfezione, tempi di inattività operativa o violazioni della conformità. Inoltre, può essere dannoso per la fiducia, l’affidabilità e il successo a lungo termine dell’azienda. Commvault affronta questi rischi con una serie di opzioni di Recovery convalidate che non solo aiutano a ripristinare dati puliti, ma contribuiscono anche a verificarne la sicurezza prima ancora che entrino in contatto con i sistemi di produzione.

La funzione Cleanroom Recovery di Commvault crea un ambiente di ripristino sicuro e isolato per testare e convalidare i dati di backup prima della loro reintroduzione. Questa configurazione è ideale per eseguire scansioni antimalware senza rischiare la diffusione nell’ambiente di produzione. Inoltre, le cleanroom sono fornite su richiesta nel cloud, evitando la necessità di un’infrastruttura dedicata.

All’interno della “Commvault Cleanroom”, Commvault supporta un’ampia gamma di carichi di lavoro, tra cui macchine virtuali, file system e Active Directory. Questa flessibilità consente ai team di simulare ambienti live e verificare appieno la Readiness operativa.

La “Cleanroom Recovery” potenzia la difesa contro il ransomware di Commvault:

• Flussi di lavoro di Recovery automatizzati: Commvault automatizza l’intero ciclo di vita della Recovery, dall’identificazione dei punti puliti al ripristino finale dei carichi di lavoro. Questi flussi di lavoro contribuiscono a ridurre l’intervento manuale, garantiscono la coerenza e aiutano i team a raggiungere obiettivi di Recovery ambiziosi.

• Pave and Repave: per i sistemi compromessi a livello di sistema operativo, Commvault supporta le funzionalità “pave and repave”. Questo approccio ripristina le macchine utilizzando immagini pulite del sistema operativo, per poi sovrapporre i dati del cliente provenienti dal backup. Il risultato è un sistema completamente ricostruito, privo di malware o manomissioni a livello di sistema operativo.

• Indicizzazione dei file non validi: durante la scansione, Commvault contrassegna come “non validi” tutti i file infetti o le versioni sospette. Questi contrassegni vengono automaticamente presi in considerazione durante la Recovery, consentendo alla piattaforma di selezionare punti di ripristino puliti senza necessità di revisione manuale.

Auto Recovery e intelligenza operativa: veloce, coordinato e scalabile

Il ripristino in condizioni di integrità può essere l’aspetto più essenziale, ma anche la rapidità del ripristino è una priorità. Le funzionalità di Auto Recovery di Commvault consentono alle organizzazioni di ripristinare i sistemi su larga scala con rapidità, sicurezza e il minimo sforzo manuale. Queste funzionalità combinano orchestrazione intelligente, scansione integrata e visibilità in tempo reale per garantire la resilienza del ripristino.

Ecco un’analisi più approfondita delle soluzioni di intelligenza operativa automatizzata di Commvault:

• Orchestrazione dell’Auto Recovery: Commvault individua automaticamente il punto di ripristino pulito più recente e avvia i flussi di lavoro di ripristino in base a policy predefinite. Questi processi orchestrati eliminano le incertezze e contribuiscono a ridurre il tempo necessario per riportare i sistemi online dopo un attacco. Il processo completo dell’Auto Recovery di Commvault prevede passaggi automatizzati descritti in dettaglio qui.

• Integrazione della Threat Scan: i carichi di lavoro ripristinati vengono sottoposti a scansione nell’ambito del flusso di lavoro di Recovery prima di tornare in produzione. Questo processo aumenta la fiducia nei dati ripristinati, contribuendo a mantenerli liberi da malware nascosto o minacce residue.

• Rapporti di convalida della Recovery: ogni operazione di Recovery genera un rapporto dettagliato che illustra i risultati della scansione, le anomalie segnalate e le eventuali azioni correttive intraprese. Questi rapporti offrono ai team di sicurezza una visibilità inestimabile su ciò che è stato ripristinato e sul motivo del ripristino.

• Dashboard Security IQ: la dashboard Security IQ fornisce informazioni in tempo reale sul rischio di ransomware, sull’esposizione dei dati e sulla Readiness complessiva al Recovery. Aiuta gli amministratori a identificare i punti deboli critici, a monitorare i miglioramenti e ad agire in base ai cambiamenti, se necessario.

Resilienza al ransomware quando conta di più

L’architettura di difesa dal ransomware di Commvault è un ecosistema intelligente e multilivello. Dal momento in cui i dati vengono sottoposti a backup fino al secondo in cui vengono ripristinati, ogni livello è protetto, convalidato e recuperabile. Grazie a un’architettura completa che abbraccia ogni aspetto della difesa dal ransomware, Commvault offre alle vostre aziende sicurezza, fiducia e resilienza.