La vostra organizzazione è appena stata colpita da un attacco ransomware. I vostri reparti IT e di sicurezza informatica si stanno affrettando ad avviare e rendere operativo il piano di risposta agli incidenti. All’improvviso, tutti si rendono conto di non riuscire ad accedere a nulla. Active Directory (AD) deve essere fuori servizio!? Gli strumenti di autenticazione e autorizzazione della vostra organizzazione sono compromessi.
Dopo ore di valutazione e analisi dell’entità del problema, il vostro team di risposta agli incidenti informatici riferisce che il ripristino dei servizi fondamentali di AD, autenticazione e autorizzazione richiederà più di una settimana, se tutto va per il meglio.
Pensavate che il vostro piano di resilienza, basato su backup di AD e una piattaforma di identità SaaS, fosse sufficiente. Ma anche con l’integrazione del SaaS, il ripristino risulta complesso e manuale, ritardando il ritorno a un livello minimo di operatività proprio quando il tempo è fondamentale.
Resilienza significa poter ripristinare l’autenticazione e l’autorizzazione in modo rapido, prevedibile e affidabile, indipendentemente dal fatto che l’interruzione sia causata da attività dannose, da un’interruzione del servizio o da una configurazione errata accidentale.
Comprendere la minaccia
Gli aggressori prendono di mira AD perché rappresenta il centro di controllo delle identità. Una volta ottenuto un punto d’appoggio, spesso stabiliscono la persistenza creando account ombra o backdoor, per poi raccogliere credenziali ed elevare i privilegi. Grazie all’accesso privilegiato, si muovono lateralmente tra sistemi e applicazioni, a volte rimanendo inattivi abbastanza a lungo da far sì che il primo segnale evidente sia proprio il fallimento dell’autenticazione.
Acquisiscono una vasta conoscenza della rete, delle persone e delle applicazioni dell’organizzazione. E quando sono pronti a massimizzare l’impatto, possono crittografare o corrompere la foresta di AD, interrompendo gli accessi e complicando la Recovery in tutto l’ambiente.
Perché l’identità (e perché proprio AD)?
È comune che lo stack delle identità di un’organizzazione, in particolare AD ed Entra ID, diventi complesso nel tempo. Le foreste si espandono, le autorizzazioni si moltiplicano, le politiche legacy si accumulano e i processi “sufficientemente validi” spesso si trasformano in una deriva di sicurezza a lungo termine. Tale complessità crea punti ciechi e i responsabili della sicurezza perdono una chiara visibilità su come si evolvono ruoli, privilegi e politiche.
E non si tratta mai “solo di AD”. L’identità è un ecosistema: le soluzioni di governance delle identità e degli accessi (IGA), l’accesso privilegiato, l’identità dei clienti, i provider di identità, i database di autenticazione e il Single Sign-On sono tutti collegati alla stessa realtà. Ecco perché gli incidenti relativi alle identità (e persino le configurazioni errate quotidiane) possono causare disagi sproporzionati rispetto a molti altri guasti infrastrutturali.
La sfida della Recovery è il punto in cui la maggior parte dei piani viene messa a dura prova. Anche con i backup, la Recovery della foresta è un processo in più fasi e ad alto rischio, in cui le procedure per la Recovery manuale possono comportare da 50 a 100 (o più) passaggi singoli e richiedere da giorni a settimane, a seconda della complessità dell’ambiente e del livello di preparazione.
La vera domanda non è «abbiamo dei backup?», ma «i team sono in grado di utilizzare i backup per agire correttamente sotto pressione, e le procedure operative sono state testate e verificate affinché il ripristino non si trasformi in una corsa frenetica soggetta a errori nel momento peggiore possibile?».
La soluzione
La necessità di disporre di un piano di Recovery è fondamentale. Deve essere testato e verificato. Le organizzazioni devono sapere e comprendere che la propria piattaforma di gestione delle identità è l’obiettivo numero uno dei criminali informatici e degli attacchi. Deve essere protetta di conseguenza. Deve essere sottoposta a backup, testata e verificata per garantirne il ripristino. Ciò include:
- Backup delle piattaforme AD, Entra ID e IGA.
- Piani di Recovery testati e verificati.
- Ambienti di Recovery isolati e Cleanroom Recovery.
- Flusso di lavoro e automazione del Recovery di AD.
Una solida governance e un monitoraggio delle identità rimangono fondamentali, ma sono solo una parte dell’equazione. È necessario poter rilevare tempestivamente comportamenti sospetti relativi alle identità, contenerli rapidamente e ripristinare in modo sicuro quando si verifica un cambiamento inopportuno (che si tratti di attività dannose o di una modifica accidentale che compromette l’autenticazione).
Ciò significa anche che è necessario integrare gli account di identità e l’attività degli utenti nelle operazioni di sicurezza (SecOps) e monitorare costantemente segnali quali la creazione non autorizzata di account, le modifiche dei privilegi e i modelli di autenticazione anomali, oltre a disporre di un percorso di Recovery collaudato, ripetibile e pulito.
Commvault e Deloitte: una partnership per la resilienza delle identità
La resilienza delle identità è una sfida aziendale che richiede una solida governance, processi, controlli e tecnologie abilitanti. Ecco perché Deloitte e Commvault hanno stretto una partnership per fornire programmi completi di protezione, Recovery e resilienza delle identità su cui le organizzazioni possano fare affidamento quando conta di più.
Deloitte apporta una profonda competenza in materia di rischio informatico, resilienza aziendale e gestione delle identità e degli accessi per aiutare le organizzazioni incluse nelle classifiche da Fortune 100 a Fortune 1000 a progettare, implementare e rendere operativi programmi di resilienza delle identità.
Questi programmi aiutano i clienti a valutare lo stato di sicurezza, a migliorare le capacità di rilevamento e risposta e a definire i requisiti minimi essenziali per l’azienda, per poi elaborare piani di Recovery testati e verificati con tempistiche chiare e responsabilità ben definite tra le parti interessate del business e dell’IT. Deloitte trasforma la resilienza delle identità in un programma attuabile grazie a runbook, test e Readiness, affinché i team sappiano cosa significa essere “pronti” sotto pressione.
Commvault rende operativi i programmi di resilienza con protezione integrata e flussi di lavoro di Recovery automatizzati su tutti i sistemi di identità, oltre a Commvault AirGap e Cleanroom Recovery per supportare un ripristino ripetibile, pulito e convalidato nei momenti più critici. Commvault fornisce la base tecnologica con funzionalità di resilienza delle identità che includono:
- Protezione per i sistemi di identità critici, tra cui AD ed Entra ID, confronto puntuale e supporto al rollback per modifiche indesiderate o accidentali.
- Controlli e monitoraggio per individuare tempestivamente le modifiche sospette (chi ha modificato cosa e quando), contribuendo a ridurre il tempo a disposizione degli aggressori per diffondersi o persistere.
- Flussi di lavoro di Recovery automatizzati, compresa l’automazione del Recovery a livello di foresta, per contribuire a ridurre il carico di lavoro manuale e il rischio di errori durante il Recovery delle identità.
- Commvault Cleanroom per aiutare a convalidare il ripristino delle identità in isolamento prima di ripristinare la fiducia nell’ambiente di produzione.
- Commvault AirGap per aiutare a mantenere copie di backup immutabili e isolate (air-gapped), creando una base protetta che supporti il ripristino pulito e i test in ambiente controllato quando l’identità (o l’ambiente circostante) non è affidabile.
Agisci
Se desiderate mettere alla prova la vostra Readiness al ripristino informatico, iniziate con un workshop su Active Directory organizzato da Deloitte per mappare le dipendenze e definire un piano chiaro e attuabile per il ripristino di Active Directory e dei carichi di lavoro in produzione. Successivamente, convalidatelo nel modo corretto: utilizzando Commvault per simulare il ripristino in un ambiente protetto prima che se ne presenti effettivamente la necessità in un evento reale.
Per le organizzazioni pronte a compiere il passo successivo, possiamo estendere questa iniziativa in un progetto pilota di 30 giorni che metta in atto il ripristino e i test in un ambiente controllato con elementi reali e risultati misurabili. Contattate il vostro rappresentante Deloitte all’indirizzo commvaultsalesteam@deloitte.com o il vostro rappresentante Commvault all’indirizzo deloittealliance@commvault.com per ulteriori informazioni.
Dave Nowak è Principal per la sicurezza informatica e la resilienza presso Deloitte, mentre Michael Fasulo è Senior Director del Portfolio Marketing presso Commvault.
