Punti di forza
- Le promesse di “ripristino istantaneo” spesso falliscono su larga scala a causa delle operazioni di I/O al secondo (IOPS) effettive, della reidratazione e dei vincoli infrastrutturali.
- Il montaggio in tempo reale di grandi quantità di dati su uno storage di backup deduplicato può causare un crollo delle prestazioni, costringendo a una lenta reidratazione verso lo storage primario.
- Le “cleanroom” consentono di svolgere indagini forensi e di ripristinare le attività aziendali in parallelo, anziché in modo seriale, evitando i tempi di inattività causati dai ritardi.
- La compromissione delle identità amplia la portata dell’incidente, rendendo il Recovery isolato e il Recovery di Active Directory (AD) fondamentali per garantire la sicurezza delle operazioni.
- I runbook automatizzati per le “cleanroom” e i test ripetibili aiutano le organizzazioni a convalidare le metriche di Recovery effettive prima che si verifichi una crisi.
Cominciamo con una breve storia su un ambiente “a prova di ransomware” che ha richiesto 72 ore per il ripristino, ben oltre le aspettative dell’organizzazione in termini di obiettivo di tempo di ripristino (RTO). È esattamente il tipo di situazione in cui la soluzioneRecupero in Cleanroomdi Commvault avrebbe potuto contribuire a trasformare un’interruzione dolorosa di tre giorni in un ripristino più rapido, più controllato e con meno rischi.
Storia di guerra: la fisica contro il marketing
Su Reddit, un utente ha raccontato come la società di servizi finanziari per cui lavora sia stata vittima di una violazione. Pensavano di disporre di uno “stack da sogno” per un ripristino rapido (ma si può davvero avere uno “stack da sogno” senza Cleanroom Recovery?): backup immutabili, snapshot di archiviazione sicuri e un moderno hypervisor. Le schede tecniche promettevano un “ripristino di massa istantaneo”, eppure l’azienda è rimasta offline per tre giorni mentre tutti cercavano di riportare in vita il proprio ambiente.
La causa principale non era il fallimento dei backup, ma il fatto che gli aspetti pratici di reidratazione, analisi forense e identità non fossero mai stati testati su larga scala. L’autore del post originale ha sottolineato che l’accesso a un ambiente “cleanroom” avrebbe accelerato il processo. Approfondiamo la questione e cerchiamo di capire il perché.
La soluzione Cleanroom Recovery di Commvault è progettata proprio per affrontare questi punti deboli: aiuta ad automatizzare un ripristino pulito e isolato nel cloud, convalida i dati ecoordina il ripristino in modo da allinearsi all’effettivo svolgimento degli incidenti, non soloacome appaiono gli schemi nelle diapositive.
Problema 1: La trappola della reidratazione
Nella storia, il “montaggio in tempo reale” di una manciata di macchine virtuali (VM) ha funzionato bene, ma il tentativo di montarne centinaia ha mandato in tilt l’Appliance di backup. L’I/O casuale eseguito direttamente sullo storage di backup deduplicato e compresso ha fatto crollare gli IOPS, costringendo il team a reidratare tutto sulla memoria primaria Non-Volatile Memory Express a una velocità di circa 3 TB/ora per circa 100 TB di dati.
Commvault Cleanroom Recovery aiuta a ripristinare i carichi di lavoro in una “cleanroom” isolata basata su Azure, costruita su risorse di elaborazione e archiviazione cloud scalabili, invece di cercare di eseguire la produzione su larga scala da un’appliance di backup.
Ciò consente diripristinare le macchine virtuali critiche in un ambiente di Recovery appositamente progettato, di sfruttare l’elasticità del cloud per assorbire l’I/O e di automatizzare la sequenza di Recovery in modo che i sistemi giusti (identità, applicazioni principali, dati critici) vengano avviati per primi senza creare colli di bottiglia su un singolo target di backup.
Problema 2: Il rallentamento delle attività forensi
Durante l’audit, lo stack tecnologico era pronto in circa quattro ore, ma l’ufficio legale ha ritardato qualsiasi intervento di 72 ore poiché non disponeva di una “cleanroom” preconfigurata. Senza un ambiente isolato privo di collegamenti con l’ambiente di produzione, il team forense non poteva condurre indagini in sicurezza mentre l’azienda procedeva al ripristino; pertanto, tutti hanno atteso il via libera prima di avviare qualsiasi ripristino effettivo.
Cleanroom Recovery fornisce un ambiente di ripristino isolato e on-demand, progettato specificamente per il ripristino simultaneo e l’analisi forense.È possibile avviare una “cleanroom” protetta su Azure in poche ore, ripristinarvi i sistemi e consentire ai team di sicurezza e legale di eseguire analisi forensi in sola lettura e Threat Scan mentre il reparto operativo convalida le applicazioni e si prepara al passaggio definitivo – riducendo drasticamente il “rallentamento forense” come fattore che contribuisce ai tempi di inattività.
Problema 3: Ambito di applicazione delle identità
L’ambiente descritto nel caso di studio disponeva di un unico account amministratore con accesso sia all’hypervisor che alla console di backup; ciò significava che, se gli aggressori fossero riusciti ad arrivare a quel punto, l’immutabilità avrebbe potuto diventare semplicemente un’altra impostazione da disattivare. L’identità, non solo i dati, rappresentava il vero problema relativo alla portata.
Cleanroom Recovery è progettato per aiutare a ridurre la dipendenza dal piano delle identità di produzione compromesso durante il ripristino, consentendo un accesso isolato e un supporto pianificato per il ripristino di AD nella “cleanroom”.Ripristino dei servizi di identità in una “cleanroom” isolatae utilizzando percorsi di accesso separati con privilegi minimi, è possibile contribuire a convalidare AD, a far rispettare le autorizzazioni appropriate e a proteggere i piani di controllo di backup da una compromissione banale da parte delle stesse credenziali utilizzate in produzione.
Come avrebbe cambiato questa storia “Cleanroom Recovery”
Se questo cliente avesse utilizzato Cleanroom Recovery, la sua esperienza di Recovery avrebbe potuto essere molto diversa.
- Recovery più rapida e consapevole dei propri limiti fisici:avrebbe potuto gestire il Recovery in una “cleanroom” cloud con risorse di archiviazione e di calcolo scalabili, evitando il crollo degli IOPS causato dall’installazione massiccia di partizioni attive e raggiungendo la velocità di Recovery di cui aveva effettivamente bisogno.
- Analisi forense e Recovery operativo in parallelo: un RTO predefinito per la “cleanroom” inferiore a quattro ore avrebbe consentito di avviare rapidamenteun ambiente isolato sia per le attività forensi che per la convalida delle applicazioni,anziché rimanere in una fase di stallo per 72 ore.
- Riduzione del rischio di reinfezione e di compromissione delle identità:l’isolamento in “cleanroom”, la Threat Scan e un piano di controllo separatoavrebbero contribuito a limitare la portata della compromissione delle identità, a confermare che i dati fossero privi di malware prima del ritorno in produzione e a fornire a revisori e assicuratori una traccia chiara e verificabile del processo di Recovery.
- Procedure automatizzate e ripetibili:procedure automatizzate che coordinano l’individuazione dei punti puliti, la sequenzializzazione dei carichi di lavoro e i failover di provaavrebbero potuto aiutarli a simulare regolarmente questo scenario e a conoscere i propri dati effettivi prima di un attacco, anziché scoprirli nel bel mezzo di una crisi.
Per le organizzazioni che investono già in stack “a prova di ransomware”, l’elemento mancante spesso non è un maggior numero di Features, ma unastrategia “camera bianca”che rispetti gli aspetti fisici, identitari e giuridici. Commvault Cleanroom Recovery è progettato per colmare tale lacuna e contribuire a trasformare il ripristino da una storia di guerra di tre giorni in un’operazione controllata, dimostrabile e molto più rapida.
Domande frequenti
D: Perché l’approccio del “ripristino di massa istantaneo” ha fallito nello scenario del ransomware? R:
Sebbene il montaggio in tempo reale di alcune macchine virtuali abbia funzionato, il passaggio a centinaia di macchine ha sovraccaricato l’appliance di backup a causa dei limiti di I/O. Lo storage di backup deduplicato e compresso non è progettato per gestire carichi di lavoro di produzione completi su larga scala, il che comporta un crollo delle prestazioni e un ritardo nel ripristino.
D: Che cos’è la “trappola della reidratazione” nel disaster recovery?
R:
La trappola della reidratazione si verifica quando le organizzazioni devono ripristinare grandi volumi di dati di backup compressi nell’archivio primario prima che i sistemi possano funzionare normalmente. Questo processo è limitato dalle velocità di throughput, che possono prolungare drasticamente i tempi di Recovery quando si ha a che fare con decine o centinaia di terabyte.
D: In che modo una “cleanroom” contribuisce a ridurre i tempi di inattività legati alle indagini forensi?
R:
Una “cleanroom” fornisce un ambiente isolato in cui i team forensi possono indagare in sicurezza mentre il reparto IT ripristina contemporaneamente i sistemi. Questo approccio parallelo contribuisce a eliminare i lunghi periodi di attesa per l’approvazione legale o di sicurezza prima di avviare le operazioni di ripristino.
D: Perché l’identità è un fattore così critico nel ripristino dopo un attacco ransomware?
R:
Se gli aggressori compromettono le credenziali amministrative associate sia ai sistemi di produzione che a quelli di backup, i controlli di immutabilità potrebbero non garantire più protezione. Il ripristino isolato delle identità e l’accesso con privilegi minimi possono aiutare a limitare la portata dell’attacco e favorire un processo di ripristino più sicuro.
D: In che modo Cleanroom Recovery contribuisce a migliorare l’orchestrazione del ripristino?
R:
Cleanroom Recovery contribuisce ad automatizzare la sequenzializzazione dei carichi di lavoro, la convalida dei punti puliti e il provisioning dell’infrastruttura di ripristino basata sul cloud. Questo approccio strutturato allinea il ripristino all’effettivo svolgimento degli incidenti, aiutando le organizzazioni a riprendere il controllo più rapidamente e con maggiore sicurezza.
D: Qual è la lezione strategica per le organizzazioni con stack “a prova di ransomware”?
R:
Le funzionalità avanzate da sole non garantiscono un ripristino rapido. Una strategia “cleanroom” che tenga conto degli aspetti fisici dell’infrastruttura, dell’isolamento delle identità e delle realtà legali aiuta le organizzazioni a trasformare la resilienza teorica in prestazioni di ripristino misurabili e ripetibili.Nico Guerrera è Senior Solutions Marketing Manager presso Commvault.
Blog correlati
Recovery della foresta di Active Directory: perché i metodi manuali non sono più praticabili
Test di Recovery: l’anello mancante nella maggior parte dei programmi di resilienza informatica
La tua guida moderna per una risposta rapida e un ripristino pulito
Sbloccare la resilienza informatica: il potere delle “cleanroom”
Perché la Cleanroom Recovery e i test informatici sono fondamentali per la resilienza informatica