Il mondo che ci circonda sta cambiando rapidamente: tutto viene offerto e consumato come servizio, compreso il ransomware. Il ransomware as a Service (RaaS) si sta rivelando il “virus” (gioco di parole voluto) che sta costringendo le organizzazioni a evolvere le proprie strategie di sicurezza.
Le organizzazioni si trovano in fasi diverse del loro percorso verso il cloud, reso ancora più complesso da malintenzionati e vettori di minaccia. A ciò si aggiungono le preoccupazioni relative alle configurazioni errate nel cloud, che gli analisti di mercato hanno definito una delle principali vulnerabilità che i malintenzionati tendono a sfruttare per prime.
Nell’attuale contesto informatico, con la minaccia del ransomware che incombe, l’architettura Zero Trust è diventata fondamentale per la strategia di sicurezza di tutte le aziende. “Verificare e autenticare” tutte le comunicazioni e i percorsi di accesso tra i componenti dell’infrastruttura IT è il principio fondamentale di un’architettura Zero Trust, che, se disponibile su una piattaforma di facile utilizzo, la rende una proposta davvero allettante.
L’architettura Zero Trust rappresenta un cambiamento di paradigma rispetto ai concetti di “persistenza” della connessione a cui eravamo abituati in passato. Si parte dalla creazione delle basi per la microsegmentazione del panorama IT, con accessi limitati secondo il principio del “privilegio minimo” e tutte le comunicazioni verso e tra i microsegmenti sottoposte ad autenticazione, controllo e verifica. L’utilizzo della microsegmentazione contribuisce a creare zone di microcontenimento in caso di emergenza, al fine di ridurre al minimo il movimento laterale dei vettori di minaccia.
Tuttavia, nonostante i piani più accurati, assistiamo a casi in cui le organizzazioni cadono vittime di attacchi ransomware e subiscono una doppia estorsione. In tali casi, la capacità di un’organizzazione di ridurre al minimo i tempi di inattività dell’attività dipende in larga misura dalla disponibilità di copie di backup sicure e dalla possibilità di ripristinare i dati in modo sicuro, con velocità, prestazioni e costi ottimali. Questa si sta rivelando la polizza assicurativa su cui i clienti fanno affidamento.
Sempre al passo con i tempi, Commvault, forte di 25 anni di esperienza nel campo della protezione e della gestione dei dati, aiuta i clienti a recuperare i propri dati e a riprendersi da crisi informatiche e situazioni di disaster recovery (DR) attraverso un approccio di sicurezza a più livelli. Queste storie di successo non fanno che sottolineare l’importanza di copie di backup pronte ad affrontare gli attacchi informatici e a garantire il Recovery!
Riuscire a riunire tutti i carichi di lavoro isolati – riducendo così la superficie di attacco – in un framework unificato in grado di integrarsi facilmente nell’attuale ecosistema ibrido dei clienti, che comprende sia soluzioni on-premise che SaaS, e garantire costantemente il massimo livello di protezione e affidabilità nel Recovery a ogni livello di interazione, rappresenta oggi lo standard di riferimento nella cyber-recuperabilità. Per Commvault, il rispetto degli SLA aziendali è una priorità assoluta e un parametro non negoziabile.
Grazie alla nostra piattaforma Intelligent Data Services, i clienti dispongono di un’ampia gamma di opzioni per gestire i propri carichi di lavoro e garantire flessibilità di implementazione. I clienti Commvault beneficiano di un’esperienza senza soluzione di continuità nella protezione e nella gestione dei dati su piattaforme on-premise, cloud e SaaS.
- Commvault HyperScale X è la soluzione di infrastruttura iperconvergente (HCI) di Commvault che sfrutta la tecnologia Commvault Distributed Storage. I clienti beneficiano di standard uniformemente elevati in termini di sicurezza, segmentazione e facilità di implementazione. HyperScale X offre inoltre ai clienti opzioni di integrazione con il cloud senza soluzione di continuità.
- Metallic Cloud Storage Services (MCSS) è un’offerta di punta di Commvault/Metallic basata sui servizi Azure. Metallic Hub offre la flessibilità del modello SaaS per Microsoft 365 e Salesforce.com, oltre a numerosi altri carichi di lavoro incentrati sul cloud. Allo stesso modo, i servizi Metallic Cloud Storage integrano i casi d’uso ibridi delle aziende alla ricerca di dati segmentati logicamente e isolati fisicamente (air-gapped), fondamentali per una copia secondaria o terziaria. Lo storage MCSS offre ai clienti la tranquillità e la garanzia che, grazie all’astrazione dell’accesso e a livelli di sicurezza aggiuntivi, integrati dalla crittografia dei dati sia in fase di archiviazione che in fase di trasmissione, i loro dati siano immutabili.
Poiché le copie di backup sono diventate la “polizza assicurativa” che consente alle aziende di ripristinare i dati, l’immutabilità dei dati è fondamentale.
I clienti hanno a disposizione un’ampia gamma di funzionalità integrate nel software Commvault che includono meccanismi di rilevamento delle anomalie e di notifica, rendendolo una soluzione di protezione dei dati sicura e pronta ad affrontare le minacce informatiche. Come descritto dal Cybersecurity Framework del NIST, le aziende si stanno rapidamente allineando alla strategia della “difesa in profondità”. Quando esteso agli ambienti di protezione e gestione dei dati, lo stesso framework aiuta a raggiungere i livelli desiderati di immutabilità e sicurezza senza compromettere il Recovery, le prestazioni e i costi.
Migliori pratiche per la sicurezza e l’immutabilità dei dati di backup
L’immutabilità è definita come la capacità di qualsiasi dato di essere mantenuto in uno stato non fungibile per un determinato periodo di tempo. L’immutabilità dei dati può essere ottenuta attraverso vari metodi che operano in sinergia tra loro.
Ecco le principali best practice raccomandate da Commvault per garantire la sicurezza e l’immutabilità dei dati di backup:
1. Rafforzare i controlli di accesso basati sui ruoli (RBAC) per garantire che solo le risorse interne all’organizzazione abbiano accesso agli archivi di backup. In combinazione con l’autenticazione a più fattori (MFA) e l’autenticazione multipla, ciò garantisce protezione contro amministratori malintenzionati o credenziali di amministratore compromesse. Rispondere a domande fondamentali come «Chi ha accesso a cosa e perché?» aiuta a orientarsi nei principi del controllo degli accessi basato sui ruoli (RBAC). Ciò è in linea con le linee guida relative all’accesso con il minimo privilegio.
2. Proteggetevi dal rischio che un «amministratore malintenzionato» o «credenziali amministrative compromesse» causino gravi danni al vostro ambiente Commvault abilitando Commvault Retention Lock sulle policy (precedentemente noto come WORM Copy). Una volta abilitata su una policy, questa configurazione di blocco a livello software aiuta a proteggere da cancellazioni o modifiche accidentali o intenzionali alla conservazione della policy, ai processi cancellati o alle librerie smontate/eliminate, da parte di chiunque, compresi gli amministratori.
3. La crittografia è un’impostazione predefinita di Commvault. I dati inattivi e in transito vengono crittografati, garantendo che i dati di backup, anche se sottratti, risultino inutilizzabili per i malintenzionati in assenza delle chiavi di decrittografia. Inoltre, poiché i dati scritti da Commvault sono organizzati in blocchi deduplicati, tali blocchi non hanno alcuna utilità per i malintenzionati in caso di minacce ransomware di tipo “doppia estorsione”.
L’integrazione e il supporto offerti da Commvault per i server di gestione delle chiavi di terze parti garantiscono un ulteriore livello di sicurezza.
4. La funzionalità Ransomware Lock di Commvault protegge i percorsi di montaggio dei data mover on-premise, ove applicabile. Ciò garantisce che i dati possano essere scritti sul disco di destinazione solo da Commvault e dai processi approvati da Commvault, rendendo così il percorso di montaggio inaccessibile alla lettura, alla scrittura e all’aggiornamento da parte di qualsiasi processo non Commvault, rendendolo quindi immutabile.
5. Con Commvault HyperScale X, i clienti ottengono una protezione dei dati più rigorosa a livello di sistema operativo, che impedisce agli utenti e/o agli attacchi ransomware di aggirare altri livelli di sicurezza tramite i controlli di accesso. A livello tecnico, HyperScale X integra SELinux per migliorare l’immutabilità, fornendo politiche di accesso che limitano le modifiche ai file o le operazioni a livello di disco, come la riformattazione delle unità. Ma soprattutto, HyperScale X, basato sul file system scalabile integrato di Commvault, garantisce un’ulteriore immutabilità a livello di storage. Ciò assicura che i dati presenti nei repository di backup non possano essere modificati o crittografati a livello di file system. Questa funzionalità è abilitata per impostazione predefinita.
6. L’accesso ai servizi di archiviazione cloud viene autenticato immediatamente prima dell’avvio delle operazioni di backup. Ciò è inoltre in stretta sintonia con l’architettura Zero Trust, che impone che tutti i canali di comunicazione siano prima “sottoposti a verifica” e poi “convalidati”, annullando così il concetto di persistenza.
7. Commvault consente inoltre di avvalersi del blocco di conservazione basato sul tempo (blocco immutabile WORM) sui sistemi di archiviazione a oggetti nel cloud e su quelli on-premise che lo supportano. Le copie di backup archiviate nel cloud, dove viene applicato un blocco di conservazione basato sul tempo, non possono essere eliminate o aggiornate da alcun processo o persona, compresi i fornitori di servizi IaaS cloud, fino al raggiungimento del periodo di conservazione previsto.
8. Le topologie di rete raccomandate da Commvault privilegiano l’architettura “Pull” rispetto a quella “Push”, aderendo così ai principi dell’architettura Zero Trust. L’architettura “Push” si basa sulla persistenza della connessione e presenta il rischio che il malware si infiltri attraverso questa connessione sempre attiva; nell’architettura “Pull”, invece, la connessione ai client è periodica e richiede una richiesta di accesso, l’autenticazione dell’accesso e, infine, il “recupero” di dati ed eventi.
9. Per i servizi Metallic Cloud Storage (MCSS), l’abbonamento a Metallic Storage viene nascosto ai clienti, poiché questi ultimi hanno visibilità solo sul proprio account Metallic Storage e non sull’abbonamento Metallic. Questo livello di astrazione, se utilizzato in combinazione con Commvault Retention Lock, garantisce una copia sicura e immutabile dei dati su MCSS.
Considerazioni chiave sull’architettura in materia di immutabilità
Una delle domande più frequenti è: come si progetta l’architettura più adatta a un determinato ambiente, tenendo conto di tutte queste funzionalità? Quali sono gli aspetti chiave da considerare nella progettazione di un ambiente ibrido, cercando di trovare il giusto equilibrio tra sicurezza, costi e prestazioni?
Includi questi elementi nella tua architettura basata sull’immutabilità
- Bloccare l’accesso per proteggere il copy store dal ransomware
- Immutabilità con blocchi legati al ciclo di vita per ridurre i rischi, bilanciata con l’impatto sui consumi
- Rete di isolamento con intercapedine d’aria e sistemi di controllo
- Governance della configurazione a tutela da modifiche intenzionali o accidentali
- Prestazioni di Recovery in parallelo: ridurre la latenza tenendo in debita considerazione l’impatto sulla velocità e sui costi
- Aggiornamenti automatici per garantire la massima attualità, semplificando la gestione e la manutenzione dell’infrastruttura di protezione dei dati
- 3-2-1 Copia di sicurezza in una sede esterna
L’immagine qui sotto illustra questi punti salienti e può fungere da guida rapida e semplice.
Per saperne di più sull’immutabilità di Commvault, consulta la guida sull’architettura dell’infrastruttura immutabile di Commvault.
