Punti di forza
- L’infrastruttura di identità rappresenta una delle principali superfici di attacco che, se compromessa, può bloccare le operazioni aziendali.
- La valutazione delle vulnerabilità di Commvault aiuta a individuare configurazioni errate e impostazioni rischiose grazie a chiari indicatori di esposizione e a linee guida per la correzione.
- L’auditing in tempo reale consente ai team di individuare sottili modifiche dannose non appena vengono apportate e di tracciare l’attività degli aggressori in tempo reale.
- Il rollback con un solo clic può contribuire a ripristinare rapidamente le modifiche non autorizzate, aiutando a ridurre al minimo i tempi di inattività e a limitare la diffusione dell’attacco.
La sicurezza informatica e l’importanza dell’identità
Quando la maggior parte delle persone pensa alla sicurezza informatica, immagina file rubati o database crittografati. Ma esiste un livello sottostante a tutto ciò che, se compromesso, rende tutto il resto irrilevante: la vostra infrastruttura di identità. I sistemi di gestione delle identità come Active Directory (AD), Entra ID e Okta sono i sistemi che decidono chi può effettuare l’accesso, a cosa può accedere e se la vostra azienda possa funzionare o meno. Quando gli aggressori vi penetrano, gli utenti non riescono ad autenticarsi, le applicazioni smettono di funzionare e le operazioni si arrestano completamente. A quel punto non si tratta più di un problema di dati, ma di un problema di controllo. Il ripristino automatico delle risorse con ricostruzioni pulite del sistema operativo consente alle organizzazioni di ripristinare i sistemi di identità in modo sicuro senza reintrodurre minacce. Ecco come.
Scoprite a quali minacce siete esposti prima che lo facciano gli hacker
La valutazione delle vulnerabilità di Commvault assegna al vostro ambiente AD un punteggio di sicurezza. Consideratelo come una «valutazione dello stato di salute» della vostra directory. La maggior parte degli ambienti presenta un’esposizione maggiore di quanto si pensi, e questo strumento la rende visibile.
Il nostro strumento aiuta a individuare gli indicatori di esposizione (IOE), ovvero specifiche configurazioni errate o impostazioni rischiose che potrebbero essere sfruttate. Un esempio comune è rappresentato dagli account con password impostate per non scadere mai. Le credenziali obsolete e non aggiornate sono uno dei modi più comuni con cui gli aggressori mantengono l’accesso a lungo termine a un ambiente.
Commvault non si limita a segnalare il problema, ma aiuta a identificare gli account interessati, illustra le procedure di risoluzione e consente di esportare l’elenco per semplificare la creazione dello script di correzione.
Coglilo al volo
Il primo passo è conoscere i propri punti deboli. Il secondo passo è rendersi conto quando qualcuno li sta sfruttando attivamente. La funzione di auditing della gestione delle identità di Commvault consente di acquisire in tempo reale ogni modifica apportata ai sistemi di gestione delle identità, come Active Directory ed Entra ID, fornendo dettagli quali chi ha effettuato la modifica, quando, da dove e quali erano i valori prima e dopo.
Gli hacker di solito non agiscono in modo eclatante, ma apportano modifiche sottili e mirate. Un account compromesso potrebbe creare un utente “backdoor”, aggiungerlo silenziosamente al gruppo degli amministratori di dominio, quindi collegare un oggetto di politica di gruppo (GPO) dannoso progettato per distribuire un ransomware, e ognuna di queste operazioni viene registrata nel registro di audit.
Una volta individuato un account sospetto, il filtro ti permette di visualizzare immediatamente tutte le modifiche che quell’account ha mai apportato, aiutandoti a farti un quadro completo di ciò su cui l’autore dell’attacco ha agito.
Ripara rapidamente i danni
L’individuazione ha senso solo se è possibile intervenire di conseguenza. Dalla stessa schermata di auditing, è possibile annullare una modifica dannosa con un solo clic, contribuendo a ripristinare l’ambiente all’ultimo stato corretto noto senza dover passare da uno strumento all’altro o scrivere uno script personalizzato. L’obiettivo è aiutare a ridurre al minimo i tempi di inattività e limitare la diffusione dell’attacco prima che venga individuato.
Quando accade il peggio: il ripristino delle foreste
A volte un attacco riesce a sfondare le difese e occorre ricominciare da zero. Il ripristino della foresta AD, ovvero la ricostruzione dell’intero ambiente di directory dopo un attacco ransomware, è notoriamente complesso e spesso comporta da 50 a oltre 100 passaggi singoli, a seconda del numero di domini e controller di dominio presenti.
Commvault contribuisce ad automatizzare questo processo grazie a runbook orchestrati che definiscono la sequenza di ogni fase: ricostruzione dei controller di dominio nell’ordine corretto in base ai loro ruoli FSMO (Flexible Single Master Operation), ripristino di SYSVOL, verifica dei metadati e ristabilimento della relazione di fiducia tra i domini. Una vista topologica dell’intera foresta AD aiuta a chiarire visivamente quali controller di dominio debbano tornare online per primi.
L’elemento di spicco in questo contesto è ciò che Commvault chiama “Clean OS Recovery”. Anziché ripristinare macchine virtuali potenzialmente compromesse, ricostruisce i controller di dominio su macchine virtuali completamente nuove. Il ripristino di una macchina infetta comporta il rischio di reintrodurre il malware. Il ripristino su un’infrastruttura nuova significa non solo recuperare i dati, ma anche ripartire da zero.
Un’unica dashboard per l’ambiente on-premises e cloud
Oggi la maggior parte delle organizzazioni non opera esclusivamente in locale né esclusivamente nel cloud, ma adotta un modello ibrido, in cui Active Directory gestisce gli accessi legacy ed Entra ID si occupa delle identità moderne nel cloud. Il piano di controllo unificato di Commvault consente di gestire entrambi gli aspetti da un’unica console: valutazioni, audit, rilevamento e ripristino su entrambe le piattaforme.
Il vantaggio è evidente: meno strumenti, meno complessità e una spiegazione più chiara da fornire alla dirigenza quando chiede come venga protetta l’infrastruttura delle identità dall’inizio alla fine. La resilienza delle identità merita un approfondimento a sé stante, distinto sia dal tema dei backup che da quello della protezione degli endpoint. La combinazione di scansione proattiva delle vulnerabilità, monitoraggio delle modifiche in tempo reale, rollback rapido e ripristino completo della foresta aiuta la vostra organizzazione a considerare l’infrastruttura di directory come una priorità di sicurezza a sé stante.
Domande frequenti
D: Perché l’infrastruttura delle identità rappresenta un aspetto così cruciale in materia di sicurezza?
R: I sistemi di gestione delle identità controllano l’autenticazione e l’accesso all’interno di un’organizzazione. Se compromessi, gli aggressori possono bloccare completamente le operazioni, rendendo inutili le altre misure di sicurezza.
D: Cosa sono gli indicatori di esposizione (IOE)?
R: Gli IOE sono configurazioni errate specifiche o impostazioni rischiose negli ambienti di gestione delle identità che gli aggressori possono sfruttare. Individuarli può fornire visibilità sui punti deboli e aiutare i team a risolvere tali problemi.
D: In che modo l’auditing in tempo reale contribuisce a bloccare gli attacchi?
R: Il monitoraggio in tempo reale consente di tenere traccia di ogni modifica apportata ai sistemi di gestione delle identità, indicando chi l’ha effettuata e quali modifiche sono state apportate. Questa visibilità aiuta i team di sicurezza a individuare tempestivamente comportamenti sospetti e a indagare sull’intero ambito di un attacco.
D: È davvero possibile annullare rapidamente le modifiche dannose?
R: Sì, Commvault consente di annullare direttamente le modifiche non autorizzate dalla stessa interfaccia. Ciò contribuisce a ridurre i tempi di risposta e a ripristinare i sistemi in uno stato sicuro senza ricorrere a script complessi.
D: Cosa rende così difficile il ripristino di una foresta AD?
R: La ricostruzione di una foresta AD comporta numerose fasi interdipendenti, tra cui il ripristino dei controller di dominio e il ristabilimento delle relazioni di fiducia. La complessità aumenta con le dimensioni dell’ambiente.
D: Che cos’è la funzione “Clean OS Recovery” di Commvault e perché è importante?
R: Clean OS Recovery consente di ricostruire i controller di dominio su sistemi nuovi e non compromessi, anziché ripristinare i computer infetti. Questo approccio contribuisce a eliminare il malware residuo e può favorire un ripristino sicuro.
Nico Guerrera è Senior Technical Marketing Manager presso Commvault.
