Cyber Recovery e Disaster Recovery: sono la stessa cosa? 

Come proteggete i vostri dati da un attacco ransomware o da un disastro naturale? Qual è il vostro piano di Recovery? Il vostro piano di Recovery in caso di disastri è lo stesso del vostro piano di Recovery informatico? Le misure che adottate per proteggere i vostri dati potrebbero essere le stesse, ma le vostre strategie di Recovery potrebbero variare. Entrambi i tipi di disastri potrebbero avere conseguenze devastanti per la vostra azienda, ma ciò che conta davvero è Recovery. Il costo medio dei tempi di inattività per le grandi imprese supera gli 11.600 dollari al minuto,^¹ e il 40-60% delle piccole imprese non riapre dopo una perdita di dati^.² Pertanto, il modo in cui concepite Recovery è fondamentale. 

• Che cos’è un attacco informatico, una calamità naturale, il “Recovery in caso di calamità” e il “Cyber Recovery”? 
• In cosa differiscono il “cyber Recovery” e il “disaster recovery”? 
• Che cos’è un piano di risposta agli incidenti? 
• Quali sono i tipi di attacchi informatici? 
• Come si diffonde il ransomware? 
• Come Commvault combatte il ransomware 
• Misure di sicurezza contro il ransomware

Che cos’è un attacco informatico? 

Gartner definisce un attacco ransomware come “un’estorsione informatica che si verifica quando un software dannoso si infiltra nei sistemi informatici e crittografa i dati, tenendoli in ostaggio fino a quando la vittima non paga un riscatto”.³ Un attacco informatico è molto diverso da un disastro naturale. In questo caso, i vostri dati vengono compromessi intenzionalmente. I malintenzionati hanno ottenuto l’accesso in modo proattivo e hanno introdotto malware nel vostro ambiente, bloccando i vostri sistemi, appropriandosi di dati critici e chiedendo un riscatto. Si stima che si verifichi un attacco ransomware ogni 11 secondi.⁴ 

Che cos’è un disastro naturale? 

Quando si verifica un disastro, come un’alluvione, un terremoto, un incendio o una tempesta, i vostri sistemi informatici vengono inavvertitamente messi fuori uso o addirittura distrutti. In questi casi, i vostri dati non subiscono alcuna intrusione intenzionale. Nel 2021 si sono verificati 401 eventi legati a disastri naturali in tutto il mondo.⁵   

Che cos’è il disaster recovery? 

Il disaster recovery è la capacità di ripristinare l’accesso e la funzionalità dei sistemi di dati critici e dell’infrastruttura IT il più rapidamente possibile dopo il verificarsi di una calamità naturale. Si basa sulla replica dei dati da una sede esterna o da un ambiente cloud, dove i dati vengono sottoposti a backup e non subiscono l’impatto della calamità naturale. In una situazione di disaster recovery, l’obiettivo è ripristinare le operazioni aziendali in modo efficiente con tempi di inattività minimi e nessuna perdita di dati, poiché la Readiness operativa dei dati è considerata prequalificata per il ripristino. In una situazione di Recovery, i vostri sforzi sono incentrati sull’efficienza del ripristino delle operazioni. 

Che cos’è il “cyber Recovery”? 

Il cyber recovery mira a garantire la possibilità di ripristinare l’accesso e la funzionalità dei sistemi di dati critici e dell’infrastruttura IT il più rapidamente possibile dopo un attacco informatico, come ad esempio un attacco ransomware. In una situazione di cyber recovery, gli obiettivi sono quelli di riportare l’azienda operativa partendo da una copia dei dati isolata (air-gapped) e immutabile, che garantisca l’integrità dei dati. Le soluzioni di protezione dei dati che implementano un’architettura zero-trust assicurano un approccio difensivo a più livelli anche per l’ambiente di backup. Tuttavia, «vedere per credere» ed è proprio qui che è importante assicurarsi di verificare frequentemente la Readiness operativa dei dati nell’ambito delle esercitazioni teoriche di cyber Recovery. Ciò può essere ottenuto eseguendo la convalida applicativa dei dati tramite script personalizzati in un ambiente sandbox in quarantena di rete. In questo modo, è possibile prevenire qualsiasi potenziale reinfezione dell’ambiente e quindi contenere il “raggio d’azione” dopo un attacco. 

In cosa differiscono il Cyber Recovery e il Disaster Recovery? 

Il cyber recovery e il disaster recovery sono due concetti distinti. Nel caso del disaster recovery, l’attenzione è rivolta al tempo medio di ripristino (MTTR) delle operazioni e al regolare svolgimento delle attività aziendali. Nello scenario ideale di disaster recovery, i dati non subiscono alcun danno. Per quanto riguarda il cyber recovery, invece, l’obiettivo principale è la sopravvivenza dell’azienda, con particolare attenzione ai dati, alle applicazioni, all’infrastruttura e ad altri aspetti. 

Caratteristiche del disaster recovery rispetto al cyber recovery 

Che cos’è un piano di risposta agli incidenti? 

Disponete di un piano di risposta agli incidenti? La vostra organizzazione e i suoi dipendenti sono preparati ad affrontare un attacco ransomware o una calamità naturale?    

Tutti i team coinvolti devono essere in grado di svolgere efficacemente il proprio ruolo nel processo di Recovery informatico 

Devono essere in grado di mettere in atto i piani e avere l’autorizzazione a eseguirli qualora si verifichi un evento. Durante un attacco reale, non è auspicabile che i team si accusino a vicenda su chi sia responsabile di cosa. Questo fenomeno viene spesso definito “collisione IT” e può influire in modo significativo sulla capacità di un’organizzazione di rispondere in modo efficiente a una crisi informatica. Garantire che tutte le parti interessate chiave e i team dispongano delle autorizzazioni adeguate assicura che possano prendere decisioni rapide con autorità – e ciò può essere ottenuto concedendo ai team, in genere, un’autorizzazione preventiva a eseguire le azioni previste. La latenza causata dai processi nell’ambito dell’esercizio di Recovery può essere eliminata senza dover svegliare le persone nel cuore della notte e farle partecipare a una chiamata Zoom per ricevere l’autorizzazione. 

Per quanto riguarda i dirigenti di livello C, i vostri leader aziendali sono allineati? Quante unità aziendali e quanti partner diversi devono essere coinvolti in un piano di risposta agli incidenti? Siete preoccupati per le conseguenze che un attacco ransomware potrebbe avere sugli azionisti?  

1. È importante che i dirigenti promuovano un’analisi dell’impatto aziendale sull’intero patrimonio aziendale, che includa PPT (Persone, Processi e Tecnologia), al fine di misurare l’impatto complessivo dei tempi di inattività a seguito di un incidente informatico. 
2. Individuare gli elementi da includere nel piano di Recovery informatico. 
3. Identificare i team con cui è necessario collaborare, quali i team di sicurezza, gli IRT (team di risposta agli incidenti), i partner assicurativi nel settore della sicurezza informatica e i team preposti alla protezione dei dati, poiché tutti devono lavorare in stretta collaborazione affinché l’esercitazione di Recovery informatico sia efficace.  
4. È necessario definire procedure dettagliate da seguire in caso di attacco ransomware. 
5. Infine, esercitatevi, esercitatevi, esercitatevi fino a quando non diventerà una memoria muscolare collettiva, in modo da poter reagire con il minimo attrito durante la gestione effettiva delle crisi.  

Quali sono i tipi di attacchi informatici? 

È facile dare per scontato che tutti i ransomware siano simili, e non è raro pensare che esista un approccio unico valido per tutti in termini di prevenzione e preparazione. Tuttavia, poiché ogni tipo di ransomware viene solitamente sviluppato per attaccare reti diverse e mirate, il loro funzionamento può variare notevolmente. È fondamentale comprendere i diversi tipi attualmente in uso (tenendo presente che gli autori degli attacchi sono in grado di combinare più tipi di ransomware).   

L’efficacia della protezione contro qualsiasi attacco ransomware dipende dalla vostra strategia di difesa, soprattutto alla luce dell’aumento dei vettori zero-day per i quali non si conoscono tattiche, tecniche o procedure (TTP). 

Sei tipi di ransomware:  

CryptoWall – è responsabile di un’elevata percentuale di attacchi ransomware. In genere, CryptoWall viene utilizzato per attaccare le vittime tramite e-mail di phishing. Il virus ransomware WannaCry è un derivato della famiglia Crypto ed è stato al centro dei più grandi attacchi informatici mai perpetrati. Purtroppo, gli autori di CryptoWall continuano a rilasciare nuove versioni progettate per aggirare le misure di sicurezza. 

Locky – come suggerisce il nome stesso, Locky fa esattamente ciò che dice (blocca l’accesso ai file e li sostituisce con file con estensione .lockey). Tuttavia, il suo nome non rende conto dell’aspetto più dannoso di questo tipo di ransomware: la sua velocità. Locky si distingue per la capacità di diffondersi ad altri file in rete più rapidamente rispetto ad altre varianti di ransomware. 

Crysis – porta gli attacchi ai dati a un nuovo livello, “rapendo” di fatto i dati e trasferendoli in una nuova posizione virtuale. L’importanza di questo aspetto dell’attacco risiede nel fatto che, se la vostra azienda tratta dati personali, tale evento costituisce una violazione; le organizzazioni devono quindi contattare chiunque possa disporre di informazioni presenti sulla vostra rete per garantire la conformità alle normative locali, statali e federali. 

SamSam – attacca i server applicativi WildFly privi di patch nella parte della rete esposta a Internet. Una volta entrato nella rete, il ransomware cerca altri sistemi da attaccare.  

Cerber – attacca i processi del server del database per ottenere l’accesso, invece di prendere di mira direttamente i file. I suoi creatori vendono il software ransomware ai criminali in cambio di una percentuale del riscatto riscosso, ovvero il cosiddetto “Ransomware-as-a-Service”. 

Maze – è una variante di ransomware che rappresenta la tendenza nota come “leakware”. Una volta crittografati i dati, i malintenzionati minacciano di divulgare sul dark web i dati privati oggetto del riscatto, a meno che non venga pagato il riscatto. 

La protezione contro il ransomware deve essere al centro delle iniziative di sicurezza delle organizzazioni.   

Come si diffonde il ransomware? 

L’ingegneria sociale è una tattica fondamentale utilizzata dai criminali informatici per indurre utenti ignari a scaricare o cliccare su un link o un sito web fasullo. Il ransomware viene spesso diffuso tramite messaggi di phishing via e-mail contenenti link dannosi o tramite il cosiddetto «drive-by download», che si verifica quando un utente visita involontariamente un sito infetto e il malware viene scaricato sul suo computer o dispositivo mobile. Una volta entrati nell’ambiente IT, i vettori di minaccia si muovono lateralmente all’interno della rete fino a quando non vengono rilevati. La dinamica tipica di un attacco ransomware consiste nel muoversi attraverso i dati non strutturati per rimanere inosservati il più a lungo possibile. Fino a poco tempo fa, era noto che il malware e i vettori di minaccia potessero rimanere latenti all’interno di un ambiente per un periodo fino a 300 giorni, crittografando gradualmente i set di dati e causando danni su vasta scala.  

Tuttavia, con gli attacchi più recenti, osserviamo che i vettori di minaccia sono in grado di penetrare nei sistemi e provocare una distruzione istantanea e su larga scala, effettuando cancellazioni di massa o crittografia. La velocità di questi attacchi non consente ai team di reagire con sufficiente rapidità. Pertanto, è fondamentale garantire che l’ambiente di protezione dei dati sia tutelato fin dal primo giorno contro attacchi di qualsiasi entità. I professionisti della sicurezza devono fare affidamento su copie di backup “air-gapped e immutabili” come loro polizza assicurativa. 

Come Commvault combatte il ransomware 

La protezione e il Recovery dei dati di Commvault possono rappresentare una componente preziosa della vostra strategia anti-ransomware. La sicurezza multilivello di Commvault si basa sui principi dello “zero trust” e sul quadro di riferimento per la sicurezza informatica del National Institute of Standards and Technology (NIST), al fine di proteggere i dati e consentire un rapido Recovery in caso di attacco ransomware. Commvault contribuisce a proteggere e isolare i vostri dati, fornisce monitoraggio proattivo e avvisi e consente Recovery rapidi. Tecnologie avanzate basate sull’intelligenza artificiale e sull’apprendimento automatico, tra cui gli honeypot, consentono di rilevare e segnalare potenziali attacchi nel momento stesso in cui si verificano, permettendovi di reagire rapidamente. Mantenendo al sicuro i vostri backup e garantendo il ripristino entro i tempi previsti dai vostri accordi sul livello di servizio (SLA), potrete ridurre al minimo l’impatto di un attacco ransomware, riprendendo immediatamente la vostra attività (ed evitando di pagare costosi riscatti). 

Proteggere e isolare le copie di backup è fondamentale per l’integrità e la sicurezza dei dati. Pertanto, Commvault ha adottato un approccio indipendente all’immutabilità. Con Commvault, non sono necessari hardware specifico o account di archiviazione cloud per proteggere i dati di backup dalle minacce del ransomware. Se si dispone di hardware con supporto WORM (Write-Once, Read Many), blocco degli oggetti o snapshot (che Commvault supporta pienamente), è comunque possibile utilizzare le funzionalità di blocco integrate di Commvault per integrare e potenziare i controlli di sicurezza esistenti. La capacità di Commvault di supportare una difesa a più livelli per proteggere i set di dati dal ransomware garantisce ai nostri clienti i vantaggi di un’architettura solida e pronta per la Recovery. Ecco alcuni elementi da includere nella vostra architettura di immutabilità:  

• Bloccare l’accesso per isolare l’archivio di copia dal ransomware 
• Immutabilità con blocchi legati al ciclo di vita per ridurre i rischi, bilanciata con l’impatto sui consumi 
• Rete di isolamento con intercapedine d’aria e sistemi di controllo 
• Governance della configurazione a tutela da modifiche intenzionali o accidentali 
• Prestazioni del Recovery concorrente: ridurre la latenza prestando la dovuta attenzione alla velocità e all’impatto sui costi 
• Aggiornamenti automatici per garantire la massima attualità, semplificando la gestione e la manutenzione dell’infrastruttura di protezione dei dati 
• Conformità alla filosofia di protezione dei dati “3-2-1” (3 copie dei dati, 2 supporti diversi, 1 copia archiviata in un deposito sicuro)  

Per saperne di più sull’architettura dell’infrastruttura immutabile di Commvault, clicca qui. 

Protezione di sicurezza multilivello di Commvault 

Poiché ogni ambiente presenta una combinazione di infrastrutture diverse, proteggere i dati di backup da modifiche non autorizzate casuali può sembrare un compito arduo. Proprio come quando si mette in sicurezza la propria casa, è necessario identificare i rischi e attivare le funzionalità di protezione e monitoraggio più adatte alle proprie esigenze. 

Molti esperti raccomandano di adottare una strategia a più livelli contro malware e ransomware. Commvault ha integrato queste funzionalità di sicurezza nel proprio software e nelle proprie politiche di protezione dei dati senza comportare un aumento dei costi di gestione. La piattaforma di protezione e gestione dei dati di Commvault comprende cinque livelli di sicurezza: 

• Identificare  e mitigare i rischi relativi ai dati di backup tramite un’unica interfaccia 
• Proteggere adottando misure di sicurezza basate sugli standard leader del settore 
• Monitorare la presenza di ransomware, minacce interne e altre minacce 
• Rispondere alle minacce e intervenire di conseguenza, verificando costantemente i dati di backup 
• Recuperare rapidamente i dati in diversi ambienti on-premise, cloud e ibridi 

La sicurezza multilivello di Commvault è costituita da insiemi di funzionalità, linee guida e best practice volte a gestire i rischi legati alla sicurezza informatica e a garantire la pronta disponibilità dei dati. È fondamentale comprendere che queste funzionalità fanno parte dell’esperienza della piattaforma principale di Commvault, Commvault Complete™ Data Protection. Non sono previste licenze speciali, né costi aggiuntivi, né hardware o software obbligatori. La profondità della sicurezza a più livelli è potenziata grazie a una maggiore integrazione con Metallic™ e Commvault Grid per quei clienti che cercano, rispettivamente, la semplicità del Backup as a Service o di un’appliance di protezione dei dati.    

Misure di sicurezza contro il ransomware 

Air gap: tradizionalmente, le reti con air gap non hanno alcuna connettività con le reti pubbliche. Il nastro è un supporto tradizionale per i backup con air gap, poiché può essere rimosso dalla libreria nastri e conservato fuori sede. Per isolare le destinazioni di backup secondarie su disco o nel cloud, è necessario un certo livello di accesso, ma la comunicazione viene interrotta quando non è richiesta. Quando non è necessario accedere ai dati isolati, la comunicazione viene interrotta disattivando le porte di comunicazione, disabilitando lo switching VLAN, attivando i controlli dei firewall di nuova generazione o spegnendo i sistemi.  

Autenticazione a più fattori (MFA)^⁶: si tratta di un approccio a più livelli per la protezione dei dati e delle applicazioni, in cui un sistema richiede all’utente di fornire due o più credenziali per verificare la propria identità al momento dell’accesso. L’MFA aumenta la sicurezza perché, anche se una delle credenziali dovesse essere compromessa, gli utenti non autorizzati non sarebbero in grado di soddisfare il secondo requisito di autenticazione e non potrebbero accedere allo spazio fisico, al dispositivo informatico, alla rete o al database di destinazione. 

Accesso con il minimo privilegio: questa prassi di sicurezza standard garantisce agli utenti e/o agli account l’accesso alle funzionalità strettamente necessarie per svolgere il proprio lavoro e nient’altro. Sei tu a decidere chi ha accesso a cosa. Ciò riduce al minimo l’esposizione in caso di compromissione dell’account e limita le fughe di dati.   

Eseguire backup regolari con immutabilità: si consiglia di aumentare la frequenza dei backup e di estendere la protezione dei dati adottando una strategia di backup 3-2-1, ovvero 3 copie dei dati su 2 tipi diversi di supporti, con una copia fuori sede e preferibilmente in un ambiente isolato (air-gapped). Altri strumenti essenziali per la protezione dei dati includono la crittografia, la tecnologia WORM (Write Once, Read Many) e rigorosi controlli sugli accessi. 

Immutabilità dei dati: dati che non possono essere modificati. Per garantire una protezione più efficace contro il ransomware, assicurarsi che le copie di backup siano immutabili utilizzando controlli di sicurezza a più livelli, funzionalità WORM (Write Once Read Many) e sistemi di archiviazione immutabili, oltre a una protezione integrata contro il ransomware per i dati di backup.  

Crittografia dei dati e gestione delle chiavi: tecnologia che consiste nel trasformare i dati in una forma o in un codice illeggibile, in modo che solo gli utenti in possesso di una chiave segreta o di una password possano leggerli. La crittografia sia a riposo che in transito garantisce che i dati di backup, anche se sottratti, risultino inutilizzabili per i malintenzionati che non dispongano delle chiavi di decrittografia o della password. 

Avvisi di anomalia: indicano una deviazione dal modello previsto di dati o eventi. Il rilevamento delle anomalie contribuisce a fornire informazioni sul comportamento, consentendo alla vostra organizzazione di apprendere i modelli di identificazione per comprendere il proprio ambiente e riconoscere comportamenti insoliti prima che una minaccia abbia un impatto sul vostro ambiente e sulla vostra attività. 

Honeypot7: un sistema collegato alla rete configurato come esca per attirare i cyber-aggressori e individuare, respingere e analizzare i tentativi di hacking volti a ottenere un accesso non autorizzato ai sistemi informativi. La funzione di un honeypot è quella di presentarsi su Internet come un potenziale bersaglio per gli aggressori – solitamente un server o un’altra risorsa di alto valore – e di raccogliere informazioni e segnalare ai responsabili della sicurezza eventuali tentativi di accesso all’honeypot da parte di utenti non autorizzati. 

Rafforzamento delle applicazioni⁸: termine generico che indica la protezione di un’applicazione dalle intrusioni attraverso l’eliminazione delle vulnerabilità e l’aumento dei livelli di sicurezza. La sicurezza dei dati prevede molteplici livelli di difesa che non si limitano all’applicazione stessa: il livello dell’host, quello del sistema operativo, quello dell’utente, quello dell’amministratore e persino il livello fisico del dispositivo presentano tutti vulnerabilità che un buon sistema di sicurezza deve affrontare. Per questo motivo, il rafforzamento delle applicazioni potrebbe essere definito anche “rafforzamento del sistema” o “rafforzamento del sistema operativo”. 

Che si tratti di un attacco informatico o di un disastro naturale, la realtà è che la vostra organizzazione deve essere preparata e adottare misure per proteggere i propri dati, collaborando con un fornitore in grado di offrire soluzioni rapide per la sicurezza informatica e la Recovery in caso di disastri. Ma quanto siete preparati? Leggete il nostro eBook “Comprendere i ruoli e le responsabilità del team nella lotta contro il ransomware”. 

Riferimenti 

1.,2. Branko K: Web tribunal: oltre 15 statistiche allarmanti sulla perdita di dati da tenere a mente nel 2022, marzo 2022. – 3. Gartner, 6 modi per difendersi da un attacco ransomware, di Manasi Sakpal, novembre 2020 – 4. Safe at Last, 22 statistiche sul ransomware per aiutarti a rafforzare i tuoi modelli di sicurezza informatica: gennaio 2022 – 5 Statistica, Madhumitha Jaganmohan, Numero globale di eventi di disastri naturali 2007-2021, febbraio 2022 – 6. CISA – 7. TechTarget, Ben Lutkevich, Casey Clark, Michael Cobb, honeypot (informatica) – 8. Thales, Rafforzamento delle applicazioni