Punti di forza
- Le promesse di “ripristino istantaneo” spesso falliscono su larga scala a causa delle operazioni di I/O al secondo (IOPS) effettive, della reidratazione e dei vincoli infrastrutturali.
- Il montaggio in tempo reale di grandi quantità di dati su uno storage di backup deduplicato può causare un crollo delle prestazioni, costringendo a una lenta reidratazione verso lo storage primario.
- Le “cleanroom” consentono di effettuare indagini forensi e il ripristino delle attività aziendali in parallelo, anziché in modo seriale, evitando tempi di inattività causati dai ritardi.
- La compromissione delle identità amplia il raggio d’azione dell’incidente, rendendo il Recovery isolato e il Recovery di Active Directory (AD) fondamentali per garantire la sicurezza delle operazioni.
- I runbook automatizzati per le “cleanroom” e i test ripetibili aiutano le organizzazioni a convalidare le metriche di Recovery reali prima che si verifichi una crisi.
Cominciamo con una breve storia su un ambiente “a prova di ransomware” che ha richiesto 72 ore per il ripristino, ben oltre le aspettative dell’organizzazione in termini di obiettivo di tempo di ripristino (RTO). È esattamente il tipo di situazione in cui il Recupero in Cleanroom di Commvault avrebbe potuto aiutare a trasformare un’interruzione dolorosa di tre giorni in un ripristino più rapido, più controllato e con meno rischi.
Storia di guerra: la fisica contro il marketing
Su Reddit, un utente ha raccontato come la società di servizi finanziari per cui lavora sia stata colpita da una violazione. Pensavano di disporre di uno “stack da sogno” per un ripristino rapido (ma si può davvero avere uno “stack da sogno” senza Recupero in Cleanroom?): backup immutabili, snapshot di archiviazione sicuri e un moderno hypervisor. Le schede tecniche promettevano un “ripristino di massa istantaneo”, eppure l’azienda è rimasta offline per tre giorni mentre tutti cercavano di riportare in vita il proprio ambiente.
La causa principale non era il fallimento dei backup, ma il fatto che gli aspetti pratici di reidratazione, analisi forense e identità non fossero mai stati testati su larga scala. L’autore del post originale ha sottolineato che l’accesso a un ambiente “cleanroom” avrebbe accelerato il processo. Approfondiamo la questione e cerchiamo di capire il perché.
La soluzione Recupero in Cleanroom di Commvault è progettata proprio per affrontare questi punti deboli: aiuta ad automatizzare un ripristino pulito e isolato nel cloud, convalida i dati e orchestra il ripristino in modo da allinearsi all’effettivo svolgimento degli incidenti, non soloa come appaiono gli schemi nelle diapositive.
Problema 1: La trappola della reidratazione
Nella storia, il “montaggio in tempo reale” di una manciata di macchine virtuali (VM) ha funzionato bene, ma il tentativo di montarne centinaia ha mandato in tilt l’Appliance di backup. L’I/O casuale eseguito direttamente sullo storage di backup deduplicato e compresso ha fatto crollare gli IOPS, costringendo il team a reidratare tutto sulla memoria primaria Non-Volatile Memory Express a una velocità di circa 3 TB/ora per circa 100 TB di dati.
Commvault Recupero in Cleanroom aiuta a ripristinare i carichi di lavoro in una “cleanroom” isolata basata su Azure, costruita su risorse di elaborazione e archiviazione cloud scalabili, invece di cercare di eseguire la produzione su larga scala da un’Appliance di backup.
Ciò consente di ripristinare le macchine virtuali critiche in un ambiente di Recovery appositamente progettato, di sfruttare l’elasticità del cloud per assorbire l’I/O e di automatizzare la sequenza di Recovery in modo che i sistemi giusti (identità, applicazioni principali, dati critici) vengano avviati per primi senza creare colli di bottiglia su un singolo target di backup.
Problema 2: Il rallentamento forense
Durante l’audit, lo stack tecnologico era pronto in circa quattro ore, ma l’ufficio legale ha ritardato qualsiasi intervento per 72 ore poiché non disponeva di una “cleanroom” preconfigurata. Senza un ambiente isolato privo di collegamenti con l’ambiente di produzione, il team forense non poteva condurre indagini in sicurezza mentre l’azienda procedeva al ripristino, quindi tutti hanno atteso il via libera prima di avviare qualsiasi ripristino effettivo.
Recupero in Cleanroom fornisce un ambiente di ripristino isolato e on-demand, progettato specificatamente per il ripristino simultaneo e l’analisi forense. È possibile avviare una “cleanroom” protetta in Azure in poche ore, ripristinarvi i sistemi e consentire ai team di sicurezza e legale di eseguire analisi forensi in sola lettura e Threat Scan mentre il reparto operativo convalida le applicazioni e si prepara al passaggio definitivo – riducendo drasticamente il “rallentamento forense” come fattore che contribuisce ai tempi di inattività.
Problema 3: Raggio d’azione delle identità
L’ambiente descritto nella storia disponeva di un unico account amministratore con accesso sia all’hypervisor che alla console di backup; ciò significava che, se gli aggressori fossero riusciti ad arrivare a quel punto, l’immutabilità avrebbe potuto diventare semplicemente un’altra impostazione da disattivare. L’identità, non soloi dati, rappresentava il vero problema relativo al raggio d’azione.
Recupero in Cleanroom è progettato per aiutare a ridurre la dipendenza dal piano delle identità di produzione compromesso durante il ripristino, consentendo un accesso isolato e un supporto pianificato per il ripristino di AD nella “cleanroom”.
Ripristinando i servizi di identità in una “cleanroom” isolata e utilizzando percorsi di accesso separati con il minimo privilegio, è possibile contribuire a convalidare AD, a far rispettare le autorizzazioni appropriate e a proteggere i piani di controllo di backup da una compromissione banale da parte delle stesse credenziali utilizzate in produzione.
Come Recupero in Cleanroom avrebbe cambiato questa storia
Se questo cliente avesse utilizzato Recupero in Cleanroom, la sua esperienza di Recovery avrebbe potuto essere molto diversa.
- Recovery più rapida e consapevole delle limitazioni fisiche: avrebbe potuto orchestrare la Recovery in una “cleanroom” cloud con risorse di storage e di calcolo scalabili, evitando il crollo degli IOPS causato dal montaggio massiccio di partizioni attive e raggiungendo la velocità di Recovery di cui aveva effettivamente bisogno.
- Analisi forense e Recovery operativo in parallelo: un RTO predefinito per la “cleanroom” inferiore a quattro ore avrebbe consentito di avviare rapidamente un ambiente isolato sia per le attività forensi che per la convalida delle applicazioni,invece di attendere 72 ore in una fase di stallo.
- Riduzione del rischio di reinfezione e di compromissione delle identità: l’isolamento in “cleanroom”, la Threat Scan e un piano di controllo separato avrebbero contribuito a limitare la portata della compromissione delle identità, a confermare che i dati fossero privi di malware prima del ritorno in produzione e a fornire a revisori e assicuratori una traccia di Recovery chiara e verificabile.
- Procedure automatizzate e ripetibili:procedure automatizzate che coordinano l’individuazione dei punti puliti, la sequenzializzazione dei carichi di lavoro e i failover di prova avrebbero potuto aiutarli a simulare regolarmente questo scenario e a conoscere le loro metriche reali prima di un attacco – anziché apprenderle durante una crisi.
Per le organizzazioni che investono già in stack “a prova di ransomware”, il tassello mancante spesso non è un maggior numero di Features, ma una strategia “cleanroom” che rispetti la fisica, l’identità e la realtà giuridica. Commvault Recupero in Cleanroom è progettato per colmare tale lacuna e contribuire a trasformare il ripristino da una storia di guerra di tre giorni in un’operazione controllata, dimostrabile e molto più rapida.
Domande frequenti
D: Perché l’approccio del “ripristino di massa istantaneo” ha fallito nello scenario del ransomware?
R: Sebbene il montaggio in tempo reale di alcune macchine virtuali abbia funzionato, il passaggio a centinaia di macchine ha sovraccaricato l’Appliance di backup a causa dei limiti di I/O. Lo storage di backup deduplicato e compresso non è progettato per gestire carichi di lavoro di produzione completi su larga scala, il che porta a un crollo delle prestazioni e a un ritardo nel ripristino.
D: Che cos’è la “trappola della reidratazione” nel disaster recovery?
R: La trappola della reidratazione si verifica quando le organizzazioni devono ripristinare grandi volumi di dati di backup compressi nell’archivio primario prima che i sistemi possano funzionare normalmente. Questo processo è limitato dalle velocità di throughput, che possono prolungare drasticamente i tempi di Recovery quando si ha a che fare con decine o centinaia di terabyte.
D: In che modo una “cleanroom” aiuta a ridurre i tempi di inattività legati alle indagini forensi?
R: Una “cleanroom” fornisce un ambiente isolato in cui i team forensi possono indagare in sicurezza mentre il reparto IT ripristina contemporaneamente i sistemi. Questo approccio parallelo contribuisce a eliminare i lunghi periodi di attesa per l’approvazione legale o di sicurezza prima di avviare le operazioni di ripristino.
D: Perché l’identità è un fattore così critico nel ripristino dopo un attacco ransomware?
R: Se gli aggressori compromettono le credenziali amministrative associate sia ai sistemi di produzione che a quelli di backup, i controlli di immutabilità potrebbero non garantire più protezione. Il ripristino isolato delle identità e l’accesso con privilegi minimi possono aiutare a limitare la portata dell’attacco e favorire un processo di ripristino più sicuro.
D: In che modo Recupero in Cleanroom contribuisce a migliorare l’orchestrazione del ripristino?
R: Recupero in Cleanroom contribuisce ad automatizzare la sequenzializzazione dei carichi di lavoro, la convalida dei punti puliti e il provisioning dell’infrastruttura di ripristino basata sul cloud. Questo approccio strutturato allinea il ripristino all’effettivo svolgimento degli incidenti, aiutando le organizzazioni a riprendere il controllo più rapidamente e con maggiore sicurezza.
D: Qual è la lezione strategica per le organizzazioni con stack “a prova di ransomware”?
R: Le funzionalità avanzate da sole non garantiscono un ripristino rapido. Una strategia “cleanroom” che tenga conto degli aspetti fisici dell’infrastruttura, dell’isolamento delle identità e delle realtà legali aiuta le organizzazioni a trasformare la resilienza teorica in prestazioni di ripristino misurabili e ripetibili.
Nico Guerrera è Senior Solutions Marketing Manager presso Commvault.
Blog correlati
Recovery della foresta di Active Directory: perché i metodi manuali non sono più praticabili
Test di Recovery: il tassello mancante nella maggior parte dei programmi di resilienza informatica
La tua guida moderna per una risposta rapida e un ripristino pulito
Sbloccare la resilienza informatica: il potere delle “cleanroom”
Perché la Recupero in Cleanroom e i test informatici sono fondamentali per la resilienza informatica