Punti di forza
- L’infrastruttura di identità rappresenta una delle principali superfici di attacco che, se compromessa, può bloccare le operazioni aziendali.
- La valutazione delle vulnerabilità di Commvault aiuta a individuare configurazioni errateeimpostazioni rischiose grazie a chiari indicatori di esposizioneea linee guida per la correzione.
- L’auditing in tempo reale consente ai team di individuare sottili modifiche dannose non appena vengono apportateedi tracciare l’attività degli aggressori in tempo reale.
- Il rollback con un solo clic può contribuire a ripristinare rapidamente le modifiche non autorizzate, aiutando a ridurre al minimo i tempi di inattivitàea limitare la diffusione dell’attacco.
La sicurezza informaticael’importanza dell’identità
Quando la maggior parte delle persone pensa alla sicurezza informatica, immagina file rubati o database crittografati. Ma c’è un livello sottostante a tutto ciò che, se compromesso, rende tutto il resto irrilevante: lavostrainfrastruttura di identità. I sistemi di gestione delle identità come Active Directory(AD),ID EntraeOkta sono i sistemi che decidono chi può effettuare l’accesso, a cosa può accedereese lavostraazienda possa funzionare o meno. Quando gli aggressori vi penetrano, gli utenti non riescono ad autenticarsi, le applicazioni smettono di funzionareele operazioni si arrestano completamente. A quel punto non si tratta più di un problema di dati, ma di un problema di controllo. Il ripristino automatico delle risorse con ricostruzioni pulite del sistema operativo consente alle organizzazioni di ripristinare i sistemi di identità in modo sicuro senza reintrodurre minacce. Ecco come.
Scoprite a quali minacce siete esposti prima che lo facciano gli hacker
La valutazione delle vulnerabilità di Commvault assegna al vostro ambiente AD un punteggio di sicurezza. Consideratelo come un «voto di salute» per lavostradirectory. La maggior parte degli ambienti presenta un’esposizione maggiore di quanto si pensi,equesto strumento la rende visibile.
Il nostro strumento aiuta a individuare gli indicatori di esposizione (IOE), ovvero specifiche configurazioni errate o impostazioni rischiose che potrebbero essere sfruttate. Un esempio comune è rappresentato dagli account con password impostate per non scadere mai. Le credenziali obsoleteenon aggiornate sono uno dei modi più comuni con cui gli aggressori mantengono l’accesso a lungo termine a un ambiente.
Commvault non si limita a segnalare il problema, ma aiuta a identificare gli account interessati, illustra le procedure di risoluzioneeconsente di esportare l’elenco per semplificare la creazione dello script di correzione.
Coglilo al volo
Il primo passo è conoscere i propri punti deboli. Il secondo passo è rendersi conto quando qualcuno li sta sfruttando attivamente. La funzione di auditing della gestione delle identità di Commvault consente di acquisire in tempo reale ogni modifica apportata ai sistemi di gestione delle identità, come Active Directory ed ID Entra, fornendo dettagli quali chi ha effettuato la modifica, quando, da doveequali erano i valori primaedopo.
Gli hacker di solito non agiscono in modo eclatante, ma apportano modifiche sottiliemirate. Un account compromesso potrebbe creare un utente “backdoor”, aggiungerlo silenziosamente al gruppo degli amministratori di dominio, quindi collegare un oggetto di politica di gruppo (GPO) dannoso progettato per distribuire un ransomware,eognuna di queste operazioni risulta nel registro di audit.
Una volta individuato un account sospetto, il filtro ti permette di visualizzare immediatamente tutte le modifiche che quell’account ha mai apportato, aiutandoti a farti un quadro completo di ciò su cui l’autore dell’attacco ha agito.
Ripara rapidamente i danni
L’individuazione ha senso solo se è possibile intervenire di conseguenza. Dalla stessa schermata di auditing, è possibile annullare una modifica dannosa con un solo clic, contribuendo a ripristinare l’ambiente all’ultimo stato corretto noto senza dover passare da uno strumento all’altro o scrivere uno script personalizzato. L’obiettivo è aiutare a ridurre al minimo i tempi di inattivitàelimitare la diffusione dell’attacco prima che venga individuato.
Quando succede il peggio: il ripristino delle foreste
A volte un attacco riesce a sfondare le difeseeoccorre ricominciare da zero. Il ripristino della foresta AD, ovvero la ricostruzione dell’intero ambiente di directory dopo un attacco ransomware, è notoriamente complessoespesso comporta da 50 a oltre 100 passaggi singoli, a seconda del numero di dominiecontroller di dominio presenti.
Commvault contribuisce ad automatizzare questo processo grazie a runbook orchestrati che definiscono la sequenza di ogni fase: ricostruzione dei controller di dominio nell’ordine corretto in base ai loro ruoli FSMO (Flexible Single Master Operation), ripristino di SYSVOL, verifica dei metadatieristabilimento della relazione di fiducia tra i domini. Una vista topologica dell’intera foresta AD aiuta a chiarire visivamente quali controller di dominio debbano tornare online per primi.
L’elemento di spicco in questo contesto è ciò che Commvault chiama “Clean OS Recovery”. Anziché ripristinare macchine virtuali potenzialmente compromesse, ricostruisce i controller di dominio su macchine virtuali completamente nuove. Il ripristino di una macchina infetta comporta il rischio di reintrodurre il malware. Il ripristino su un’infrastruttura nuova significa non solo recuperare i dati, ma anche ripartire da zero.
Un’unica dashboard per l’ambiente on-premiseseCloud
Oggi la maggior parte delle organizzazioni non opera esclusivamente in locale né esclusivamente nel cloud, ma adotta un modello ibrido, in cui Active Directory gestisce gli accessi legacy ed ID Entra si occupa delle identità moderne cloud. Il piano di controllo unificato di Commvault consente di gestire entrambi gli aspetti da un’unica console: valutazioni, audit, rilevamentoeripristino su entrambe le piattaforme.
Il vantaggio è evidente: meno strumenti, meno complessitàeuna spiegazione più chiara da fornire alla dirigenza quando chiede come venga protetta l’infrastruttura delle identità dall’inizio alla fine. La resilienza delle identità merita un approfondimento a sé stante, distinto sia dal tema dei backup che da quello della protezione degli endpoint. La combinazione di scansione proattiva delle vulnerabilità, monitoraggio delle modifiche in tempo reale, rollback rapidoeripristino completo della foresta aiuta lavostraorganizzazione a considerare l’infrastruttura di directory come una priorità di sicurezza a sé stante.
Domande frequenti
D: Perché l’infrastruttura di identità rappresenta un aspetto così cruciale in materia di sicurezza?
A: I sistemi di gestione delle identità controllano l’autenticazioneel’accesso all’interno di un’organizzazione. Se compromessi, gli aggressori possono bloccare completamente le operazioni, rendendo inutili le altre misure di sicurezza.
D: Cosa sono gli indicatori di esposizione (IOE)?
A: Gli IOE sono configurazioni errate specifiche o impostazioni rischiose negli ambienti di gestione delle identità che gli aggressori possono sfruttare. Individuarli può fornire visibilità sui punti debolieaiutare i team a risolvere tali problemi.
D: In che modo l’auditing in tempo reale contribuisce a bloccare gli attacchi?
A: Il monitoraggio in tempo reale consente di tenere traccia di ogni modifica apportata ai sistemi di gestione delle identità, indicando chi l’ha effettuataequali modifiche sono state apportate. Questa visibilità aiuta i team di sicurezza a individuare tempestivamente comportamenti sospettiea indagare sull’intero ambito di un attacco.
D: È davvero possibile annullare rapidamente le modifiche dannose?
A: Sì, Commvault consente di annullare direttamente le modifiche non autorizzate dalla stessa interfaccia. Ciò contribuisce a ridurre i tempi di rispostaea ripristinare i sistemi in uno stato sicuro senza ricorrere a script complessi.
D: Cosa rende così difficile il ripristino di una foresta AD?
A: La ricostruzione di una foresta AD comporta numerose fasi interdipendenti, tra cui il ripristino dei controller di dominioeil ristabilimento delle relazioni di fiducia. La complessità aumenta con le dimensioni dell’ambiente.
D: Che cos’è la funzione “Clean OS Recovery” di Commvaulteperché è importante?
A: Clean OS Recovery consente di ricostruire i controller di dominio su sistemi nuovienon compromessi, anziché ripristinare i computer infetti. Questo approccio contribuisce a eliminare il malware residuoepuò favorire un ripristino sicuro.
Nico Guerrera è Senior Technical Marketing Manager presso Commvault.
