La vostra organizzazioneè appena stata colpita da un attacco ransomware. I vostri reparti informatici edi sicurezza cibernetica si stanno affrettando ad avviareerendereoperativo il piano di risposta agli incidenti. All’improvviso, tutti si rendono conto di non riusciread accederea nulla. ActiveDirectory deveesserefuori servizio!? Gli strumenti di autenticazioneeautorizzazionedella vostra organizzazionesono compromessi.
Dopo oredi valutazioneeanalisi dell’entità del problema, il vostro team di risposta agli incidenti informatici riferiscecheil ripristino dei servizi fondamentali di AD, autenticazioneeautorizzazionerichiederà più di una settimana, setutto va per il meglio.
Pensavatecheil vostro piano di resilienza, basato su backup di AD euna piattaforma di identità SaaS, fossesufficiente. Ma anchecon l’integrazionedel SaaS, il ripristino risulta complesso emanuale, ritardando il ritorno a un livello minimo di operatività proprio quando il tempo è fondamentale.
Resilienza significa poter ripristinarel’autenticazioneel’autorizzazionein modo rapido, prevedibileeaffidabile, indipendentementedal fatto chel’interruzionesia causata da attività dannose, da un’interruzionedi servizio o da una configurazioneerrata accidentale.
Comprenderela minaccia
Gli aggressori prendono di mira AD perché rappresenta il piano di controllo delleidentità. Una volta ottenuto un punto d’appoggio, spesso stabiliscono la persistenza creando account ombra o backdoor, per poi raccoglierecredenziali ed elevarei privilegi. Grazieall’accesso privilegiato, si muovono lateralmentetra sistemi eapplicazioni, a volterimanendo inattivi abbastanza a lungo da far sì cheil primo segnaleevidentesia proprio il fallimento dell’autenticazione.
Acquisiscono una vasta conoscenza della rete, dellepersoneedelleapplicazioni dell’organizzazione. E quando sono pronti a massimizzarel’impatto, possono crittografareo corromperela foresta di AD, interrompendo gli accessi ecomplicando la Recovery in tutto l’ambiente.
Perché l’identità (eperché AD in primo luogo)?
È comunechelo stack delleidentità di un’organizzazione, in particolareAD ed ID Entra, diventi complesso nel tempo. Leforestesi espandono, leautorizzazioni si moltiplicano, lepolitichelegacy si accumulano ei processi “sufficientementevalidi” spesso si trasformano in una deriva di sicurezza a lungo termine. Talecomplessità crea punti ciechi ei responsabili della sicurezza perdono una chiara visibilità su comesi evolvono ruoli, privilegi epolitiche.
E non si tratta mai “solo di AD”. L’identità è un ecosistema: lesoluzioni di governancedelleidentità edegli accessi (IGA), l’accesso privilegiato, l’identità dei clienti, i provider di identità, i databasedi autenticazioneeil SingleSign-On sono tutti collegati alla stessa realtà. Ecco perché gli incidenti relativi alleidentità (epersino leconfigurazioni erratequotidiane) possono causaredisagi sproporzionati rispetto a molti altri guasti infrastrutturali.
La sfida della Recovery è il punto in cui la maggior partedei piani vienemessa a dura prova. Anchecon i backup, la Recovery della foresta è un processo in più fasi ead alto rischio, in cui leprocedureper la Recovery manualepossono comportareda 50 a 100 (o più) passaggi singoli erichiedereda giorni a settimane, a seconda della complessità dell’ambienteedel livello di preparazione.
La vera domanda non è “abbiamo dei backup?”, ma “i team sono in grado di sfruttarei backup per agirein modo corretto sotto pressione, eleprocedureoperativesono statetestateeverificateaffinché il ripristino non si trasformi in una corsa frenetica soggetta a errori nel momento peggiorepossibile?”.
La soluzione
La necessità di disporredi un piano di Recovery è fondamentale. Deveesseretestato everificato. Leorganizzazioni devono sapereecomprenderechela propria piattaforma di gestionedelleidentità è l’obiettivo numero uno dei criminali informatici edegli attacchi. Deveessereprotetta di conseguenza. Deveesseresottoposta a backup, testata everificata per assicurarneil ripristino. Questo include:
- Backup dellepiattaformeAD, ID Entra eIGA.
- Piani di Recovery testati everificati.
- Ambienti di Recovery isolati eRecupero in Cleanroom.
- Flusso di lavoro eautomazionedel Recovery di AD.
Una solida governanceeun monitoraggio delleidentità rimangono fondamentali, ma sono solo una partedell’equazione. È necessario poter rilevaretempestivamentecomportamenti sospetti relativi alleidentità, contenerli rapidamenteeripristinarecon sicurezza quando si verifica un cambiamento inopportuno (chesi tratti di attività dannoseo di una modifica accidentalechecompromettel’autenticazione).
Ciò significa anchecheè necessario integraregli account di identità el’attività degli utenti nelleoperazioni di sicurezza (SecOps) emonitorarecostantementesegnali quali la creazionenon autorizzata di account, lemodifichedei privilegi ei modelli di autenticazioneanomali, oltrea disporredi un percorso di Recovery collaudato, ripetibileepulito.
Commvault eDeloitte: una partnership per la resilienza dell’identità
La resilienza delleidentità è una sfida aziendalecherichiedeuna solida governance, processi, controlli etecnologieabilitanti. Ecco perché DeloitteeCommvault hanno stretto una partnership per fornireprogrammi completi di protezione, Recovery eresilienza delleidentità su cui leorganizzazioni possano fareaffidamento quando conta di più.
Deloitteapporta una profonda competenza in materia di rischio informatico, resilienza aziendaleegestionedelleidentità edegli accessi per aiutareleorganizzazioni inclusenelleclassificheda Fortune100 a Fortune1000 a progettare, implementareerendereoperativi programmi di resilienza delleidentità.
Questi programmi aiutano i clienti a valutarelo stato di sicurezza, a migliorarelecapacità di rilevamento erisposta ea definirei requisiti minimi essenziali per l’azienda, per poi elaborarepiani di Recovery testati everificati con tempistichechiareeresponsabilità ben definitetra leparti interessatedel business edell’IT. Deloittetrasforma la resilienza delleidentità in un programma attuabilegraziea runbook, test eReadiness, in modo chei team sappiano cosa significa essere“pronti” sotto pressione.
Commvault rendeoperativi i programmi di resilienza con protezioneintegrata eflussi di lavoro di Recovery automatizzati su tutti i sistemi di identità, oltrea Commvault AirGapeRecupero in Cleanroom per supportareun ripristino ripetibile, pulito econvalidato nei momenti più critici. Commvault forniscela basetecnologica con funzionalità di resilienza delleidentità cheincludono:
- Protezioneper i sistemi di identità critici, tra cui AD ed ID Entra, confronto puntualeesupporto al rollback per modificheindesiderateo accidentali.
- Controlli erilevamento per individuaretempestivamentelemodifichesospette(chi ha modificato cosa equando), contribuendo a ridurreil tempo a disposizionedegli aggressori per diffondersi o persistere.
- Flussi di lavoro di Recovery automatizzati, compresa l’automazionedel Recovery a livello di foresta, per contribuirea ridurreil carico di lavoro manualeeil rischio di errori duranteil Recovery delleidentità.
- Commvault Cleanroom per aiutarea convalidareil ripristino delleidentità in isolamento prima di reintrodurrela fiducia nell’ambientedi produzione.
- Commvault AirGapper aiutarea mantenerecopiedi backup immutabili eisolate(air-gapped), creando una baseprotetta chesupporti il ripristino pulito ei test in ambientecontrollato quando l’identità (o l’ambientecircostante) non è affidabile.
Agisci
Sedesideratemetterealla prova la vostra Readiness al ripristino informatico, iniziatecon un workshop su ActiveDirectory organizzato da Deloitteper mappareledipendenzeedefinireun piano chiaro eattuabileper il ripristino di AD edei carichi di lavoro in produzione. Successivamente, convalidatelo nel modo corretto: utilizzando Commvault per simulareil ripristino in un ambienteprotetto prima chesenepresenti effettivamentela necessità in un evento reale.
Per leorganizzazioni prontea compiereil passo successivo, possiamo estenderequesta iniziativa in un progetto pilota di 30 giorni chemetta in atto il ripristino ei test in ambientecontrollato con elementi reali erisultati misurabili. Contattateil vostro rappresentanteDeloitteall’indirizzo commvaultsalesteam@deloitte.com o il vostro rappresentanteCommvault all’indirizzo deloittealliance@commvault.com per ulteriori informazioni.
DaveNowak è Principal per la difesa informatica ela resilienza presso Deloitte, mentreMichael Fasulo è Senior Director del Portfolio Marketing presso Commvault.
