Protezione da ransomware di Microsoft 365

Il ransomware rimane una delle principali minacce per gli ambienti Microsoft 365. Le e-mail di phishing e i link dannosi continuano a rappresentare i punti di accesso più comuni, consentendo agli aggressori di ottenere le credenziali degli utenti e di crittografare i file di SharePoint, i contenuti di OneDrive e le caselle di posta di Exchange.

Microsoft offre funzionalità quali il Cestino, la cronologia delle versioni e le politiche di conservazione di base. Queste sono utili in scenari limitati, ma non supportano il recupero completo dei dati su larga scala. Gli strumenti nativi, inoltre, non dispongono di automazione e il ripristino di grandi volumi di dati può richiedere giorni a causa dei limiti di throttling delle API.
Secondo una ricerca di settore, l’80% delle organizzazioni ha subito attacchi ransomware nel 2024 e il 93% di tali attacchi ha preso di mira i backup. Le operazioni aziendali critiche possono subire ritardi o essere interrotte del tutto.

Una strategia di backup gestita offre ai team IT il controllo necessario per reagire rapidamente e limitare i danni.

Esistono diverse semplici misure che è possibile adottare per valutare le vulnerabilità del proprio ambiente. È necessario:

1. Verificare i punti di accesso: individuare le modalità con cui gli utenti accedono ai servizi M365, inclusi browser, dispositivi mobili e integrazioni di terze parti. Prestare particolare attenzione all’accesso degli ospiti e alle modalità di autenticazione legacy.
2. Esaminare i risultati dei test di phishing: utilizzare i risultati delle simulazioni interne di phishing per misurare il rischio degli utenti. Tassi di clic elevati possono evidenziare punti deboli nella consapevolezza degli utenti o nel livello di sicurezza.
3. Verificare le impostazioni di conservazione dei dati: esaminare le politiche di conservazione dei dati su Exchange, OneDrive e SharePoint. Allinearle ai requisiti legali e operativi.
4. Simulare un ripristino: eseguire un test di Recovery per verificare quali dati è possibile recuperare, quanto tempo occorre e dove esistono lacune. Ciò aiuta a convalidare il piano di Recovery.
5. Valutare i limiti delle API: i limiti dell’API Microsoft Graph possono rallentare i ripristini di grandi dimensioni. Comprendere in che modo questi limiti influiscono sui tempi di Recovery.

Una strategia mirata di Backup and Recovery per M365 aiuta a colmare le lacune lasciate dalle protezioni native. Offre alle organizzazioni un maggiore controllo sui propri dati, migliora i tempi di Recovery e supporta la conservazione a lungo termine e la conformità.

Ecco alcune azioni che puoi intraprendere per proteggere il tuo ambiente M365:

1. Abilita l’autenticazione a più fattori (MFA) per tutti gli utenti.
   Utilizza Entra ID per richiedere l’autenticazione a più fattori per tutti gli account, compresi quelli degli amministratori e degli account di servizio. Crea criteri di accesso condizionale per applicare questo requisito a livello di organizzazione.
2. Configurare i collegamenti sicuri e gli allegati sicuri.
   In Microsoft Defender per Microsoft 365, abilitare i collegamenti sicuri per eseguire la scansione e la riscrittura degli URL. Attivare gli allegati sicuri per analizzare i file in un ambiente sandbox prima della consegna.
3. Limitare i ruoli di amministratore globale.
   Esaminare le assegnazioni dei ruoli di amministratore in Entra ID. Adottare i principi del privilegio minimo e abilitare l'accesso just-in-time tramite Privileged Identity Management per le attività sensibili.
4. Configurare criteri di accesso condizionale.
   Richiedere dispositivi attendibili, bloccare l’autenticazione legacy e applicare restrizioni basate sulla posizione. Questi criteri aiutano a controllare l’accesso in base al rischio in tempo reale.
5. Utilizzare esclusivamente l’autenticazione moderna.
   Disattivare i protocolli legacy come POP e IMAP. Questi sono vulnerabili agli attacchi di tipo “password spray” e non supportano l’autenticazione a più fattori (MFA).
6. Monitorare i registri di accesso e di login.
   Controllare regolarmente i registri nel Centro sicurezza e conformità di Microsoft 365. Cercare modelli ricorrenti quali tentativi di accesso non riusciti, indirizzi IP insoliti o attività anomala sui file.

Ridurre il rischio di ransomware in Microsoft 365 richiede molto più di un semplice backup. Una volta entrati nel sistema, gli aggressori spesso si spostano lateralmente e prendono di mira i dati condivisi e gli account con privilegi. La segmentazione dei carichi di lavoro in base alla funzione e alla sensibilità aiuta a contenere l’impatto e limita l’accesso ai sistemi critici per l’azienda.

La segmentazione della rete aiuta a isolare i dati di alto valore, come quelli finanziari, delle risorse umane o legali, dal traffico generale degli utenti. Questo approccio contribuisce a ridurre la probabilità che il malware si diffonda oltre il punto iniziale di compromissione.

Gli strumenti avanzati di protezione dalle minacce aiutano a rilevare tempestivamente comportamenti sospetti analizzando l’attività di accesso, l’accesso ai file e il comportamento degli utenti. Questi strumenti si basano sull’intelligence sulle minacce e sul rilevamento delle anomalie per identificare segni di compromissione che i filtri e le regole standard potrebbero non rilevare.

1. Esaminare i registri di accesso di Microsoft Entra ID.
   Filtrare i tentativi di accesso non riusciti, gli indirizzi IP sconosciuti e i dispositivi non riconosciuti. Individuare eventuali schemi ricorrenti che potrebbero indicare attacchi di forza bruta o di credential stuffing.
2. Verificare i ruoli con privilegi.
   Elencare tutti gli account con autorizzazioni di amministratore globale o di alto livello. Rimuovere eventuali assegnazioni non necessarie e configurare l’accesso just-in-time per le attività sensibili.
3. Verificare i criteri di accesso condizionato.
   Assicurarsi che siano in vigore criteri che richiedano l’autenticazione a più fattori (MFA), blocchino i protocolli legacy e limitino l’accesso in base alla posizione o alla conformità dei dispositivi.
4. Ispezionare le impostazioni di condivisione di SharePoint e OneDrive.
   Identificare eventuali file o cartelle condivisi tramite collegamenti anonimi o con utenti esterni. Rimuovere gli accessi non più necessari.
5. Esaminare le regole delle caselle di posta e le impostazioni di inoltro.
   Cercare regole che inoltrino le e-mail all’esterno o eliminino automaticamente i messaggi. Questi possono essere segni di un’appropriazione indebita dell’account.
6. Testare le politiche di prevenzione della perdita di dati (DLP).
   Simulare azioni che dovrebbero attivare le protezioni DLP e verificare che vengano generati gli avvisi. Confermare che le azioni di applicazione funzionino come configurate.
7. Documentare i risultati e assegnare i follow-up.
   Tenere traccia dei problemi individuati, assegnare i responsabili e fissare scadenze chiare. Ciò contribuisce a mantenere la responsabilità tra i team e favorisce il miglioramento continuo.

Yedioth Information Technologies (yit), una delle principali case editrici, doveva affrontare alcune sfide relative alla protezione del proprio ambiente Microsoft 365 in continua crescita. Con 1.000 caselle di posta da proteggere e piani di espansione fino a 1.500, l’azienda necessitava di una soluzione in grado di scalare, soddisfacendo al contempo i rigorosi requisiti di conservazione dei dati previsti per la propria attività editoriale.

Dopo aver utilizzato con successo Commvault per la protezione on-premise, yit ha implementato Commvault Cloud Backup and Recovery per Microsoft 365. L’implementazione è stata straordinariamente efficiente: nel giro di sole tre ore dall’installazione, il team ha iniziato a eseguire il backup delle caselle di posta.

«Disporre di una soluzione di gestione dei dati come servizio affidabile e flessibile, in grado di supportare la nostra attività editoriale, è fondamentale», ha affermato Eytan Molle, responsabile di sistema presso yit. «Commvault Cloud Backup and Recovery per Microsoft 365 è sicuro, affidabile e pratico. Possiamo recuperare facilmente i dati senza alcun problema».

I risultati sono stati rivoluzionari. Prima dell’implementazione della soluzione, il ripristino dei contenuti archiviati poteva richiedere giorni e spesso comportava la ricerca e il trasporto di nastri fisici da un magazzino. Questo processo era particolarmente impegnativo quando i redattori dovevano accedere ad articoli pubblicati anni fa.

“Ora, con Commvault Cloud Backup and Recovery per Microsoft 365, possiamo ripristinare completamente i dati di Office 365 in pochi minuti anziché in giorni”, ha spiegato Molle.

La soluzione ha inoltre ridotto i costi operativi. Anziché richiedere due membri del personale per gestire i backup, ora ne basta uno solo. Il lavoro nel fine settimana è stato eliminato e il team ha acquisito tranquillità sapendo che i propri dati erano protetti dalle minacce del ransomware, sia in locale che nel cloud.

Grazie a una dashboard integrata, il personale IT può monitorare facilmente sia i backup installati che quelli nel cloud da un’unica interfaccia, semplificando la gestione e contribuendo a garantire la continuità operativa. “Consiglierei
Commvault e Commvault Cloud Backup and Recovery for Microsoft 365 senza alcuna esitazione”, ha affermato Molle. “Ci si può dimenticare dei backup e dormire sonni più tranquilli.”