Rilevamento del ransomware: tecniche e best practice

Come individuare l’attività dei ransomware: individuare le violazioni

Cybersecurity Ventures prevede che entro il 2031 un attacco ransomware colpirà un consumatore o un’azienda ogni 2 secondi, con un costo medio per le aziende pari a 4,4 milioni di dollari nel 2025. Questi attacchi si sono evoluti da semplici schemi di crittografia a operazioni sofisticate che combinano furto di dati, sabotaggio operativo e guerra psicologica contro le vittime.

Il rilevamento del ransomware moderno richiede un approccio a più livelli che combini analisi comportamentale, monitoraggio della rete e capacità di risposta automatizzata. Il successo dipende dal riconoscimento tempestivo dei modelli di attacco, dalla compromissione iniziale al movimento laterale, prima che inizi la crittografia e si verifichi l’esfiltrazione dei dati.

Che cos’è il rilevamento del ransomware?

Il rilevamento del ransomware comprende le tecnologie, i processi e le pratiche progettate per identificare le attività di crittografia dannose prima che compromettano i dati critici. L’obiettivo principale va oltre la semplice individuazione delle firme note del ransomware; un rilevamento efficace deve identificare anomalie comportamentali, modelli di traffico di rete insoliti e indicatori precoci di compromissione che precedono gli eventi di crittografia.

I metodi di attacco rientrano in due categorie distinte che richiedono approcci di rilevamento diversi. Gli attacchi più comuni sfruttano e-mail di phishing e vulnerabilità non corrette. I metodi avanzati impiegano tattiche di doppia estorsione, in cui gli aggressori sia crittografano che esfiltrano i dati. Queste operazioni sofisticate spesso comportano compromissioni della catena di fornitura, tecniche “living-off-the-land” e attacchi mirati contro i sistemi di backup.

Come rilevare il ransomware

Il rilevamento precoce delle violazioni inizia con il monitoraggio dell’attività del file system alla ricerca di modifiche rapide su più file, modelli di crittografia inattesi ed estensioni di file sospette. Il monitoraggio dell’attività degli account si concentra sul rilevamento di tentativi di escalation dei privilegi, orari o luoghi di accesso insoliti e accesso rapido a più sistemi che si discostano dal normale comportamento degli utenti.

L’analisi basata sul comportamento costituisce la base per individuare il ransomware prima che inizi la crittografia. Questo approccio identifica i processi che tentano di accedere in sequenza a un gran numero di file, le applicazioni che generano quantità insolite di traffico di rete e i programmi che tentano di eliminare le copie shadow o disabilitare gli strumenti di sicurezza. La moderna analisi comportamentale è in grado di rilevare varianti sconosciute di ransomware riconoscendo questi modelli di attacco universali.

L’analisi dei log di sicurezza rivela segnali di allarme precoci critici attraverso tentativi di autenticazione falliti, specialmente contro account amministrativi, installazioni impreviste di servizi e attività insolite di PowerShell o della riga di comando. Le organizzazioni dovrebbero monitorare l’ID evento 4625 (accessi non riusciti), l’ID evento 4720 (creazione di un nuovo account utente) e l’ID evento 7045 (installazione di un nuovo servizio) come potenziali indicatori di compromissione.

Quando viene rilevata un’attività sospetta, l’isolamento immediato aiuta a prevenire la diffusione laterale. Ciò comporta la disconnessione dei sistemi interessati dalle condivisioni di rete, la disabilitazione degli account utente che mostrano comportamenti anomali e il blocco degli indirizzi IP sospetti a livello di firewall. La rapidità è fondamentale: una volta attivato, il ransomware può crittografare migliaia di file al minuto.

I seguenti metodi rappresentano gli approcci fondamentali per rilevare l’attività del ransomware:

• Rilevamento basato su firme: confronta campioni noti di ransomware con un database di firme di malware.
• Analisi euristica/comportamentale: identifica il ransomware sulla base di azioni e modelli sospetti piuttosto che di firme.
• Rilevamento delle anomalie: stabilisce un comportamento di riferimento e segnala eventuali deviazioni.
• Monitoraggio dell’integrità dei file: tiene traccia delle modifiche apportate ai file critici e alle configurazioni di sistema.
• Analisi del traffico di rete: monitora le comunicazioni di comando e controllo e l’esfiltrazione dei dati.
• Honeypot e tecniche di inganno: crea risorse fasulle per individuare e intrappolare gli aggressori.

Confronto tra i metodi di rilevamento del ransomware

Questa tabella mette a confronto i principali metodi di rilevamento del ransomware e i relativi scenari di applicazione:

Migliori pratiche consigliate per la difesa dal ransomware

L’autenticazione a più fattori (MFA) rappresenta la prima linea di difesa. Le organizzazioni dovrebbero applicare l’MFA su tutti gli account, in particolare per l’accesso amministrativo, le connessioni VPN e i sistemi di posta elettronica. Gli incidenti di Snowflake dimostrano l’importanza fondamentale di questa misura di sicurezza.

La gestione delle patch è direttamente correlata al successo nella prevenzione del ransomware. Le vulnerabilità nelle applicazioni accessibili al pubblico, in particolare nelle VPN e negli strumenti di accesso remoto, costituiscono i punti di ingresso iniziali per gli aggressori. Le organizzazioni dovrebbero dare priorità all’applicazione delle patch in base alla disponibilità degli exploit e implementare la distribuzione automatizzata delle patch per gli aggiornamenti di sicurezza critici.

La formazione sulla consapevolezza della sicurezza affronta il fattore umano. La formazione dovrebbe includere il riconoscimento delle e-mail sospette, la verifica delle richieste inattese tramite canali secondari e la segnalazione immediata di potenziali incidenti. Simulazioni periodiche di phishing aiutano a misurare l’efficacia della formazione e a identificare gli utenti che necessitano di ulteriore supporto.

Le strategie di backup richiedono un’attenta pianificazione per resistere agli attacchi mirati. I backup sicuri dovrebbero essere immutabili, per impedire eventuali modifiche anche con credenziali amministrative; dovrebbero essere archiviati offline o in un ambiente isolato (air-gapped) per prevenire attacchi basati sulla rete e testati regolarmente tramite esercitazioni di ripristino completo. Le organizzazioni dovrebbero conservare più copie di backup su diversi tipi di supporti e in diverse località geografiche.

Il principio del privilegio minimo può limitare il potenziale di danno limitando l’accesso degli utenti solo alle risorse necessarie. Ciò include l’implementazione di controlli di accesso basati sui ruoli, la richiesta di flussi di lavoro di approvazione per l’elevazione dei privilegi e lo svolgimento di revisioni periodiche degli accessi per rimuovere le autorizzazioni non necessarie.

Le seguenti strategie possono fornire ulteriori livelli di difesa contro gli attacchi ransomware:

• Implementare strumenti di rilevamento a più livelli su endpoint, rete e ambienti cloud. Distribuire soluzioni di rilevamento e risposta sugli endpoint (EDR) su tutti gli endpoint, sistemi di rilevamento e risposta di rete sul perimetro e nei segmenti interni, e sicurezza cloud-native per le applicazioni SaaS.
• Mantenere aggiornati i sistemi e gli strumenti di sicurezza per individuare le varianti più recenti di ransomware. Mantenere aggiornati i feed di intelligence sulle minacce, aggiornare quotidianamente le firme di rilevamento e partecipare ai programmi di condivisione delle informazioni sulle minacce del settore.
• Rivedere regolarmente le regole di rilevamento e adattare l’analisi comportamentale al proprio ambiente. Personalizzare le soglie di rilevamento in base alle normali operazioni aziendali, creare eccezioni per gli strumenti amministrativi legittimi e adeguare le regole in base ai tassi di falsi positivi.
• Utilizzare i feed di intelligence sulle minacce per migliorare il rilevamento grazie agli indicatori di compromissione (IoC) del ransomware in tempo reale. Abbonarsi a feed sulle minacce sia commerciali che open source, automatizzare l’integrazione degli IoC negli strumenti di sicurezza e correlare la telemetria interna con i dati esterni sulle minacce.

Tecniche per migliorare il rilevamento e la risposta al ransomware

La segmentazione della rete crea confini difensivi che aiutano a contenere la diffusione del ransomware. Una segmentazione efficace separa le postazioni di lavoro degli utenti dai server, isola i sistemi critici come i controller di dominio e i server di backup e implementa un firewall east-west tra i segmenti di rete. Le organizzazioni possono utilizzare VLAN, reti definite dal software (SDN) o la microsegmentazione per creare questi confini.

Il monitoraggio continuo con il rilevamento delle anomalie basato sul machine learning (ML) può identificare indicatori di attacco impercettibili che sfuggono ai sistemi basati su regole. Gli algoritmi di ML possono stabilire un comportamento di riferimento per utenti, applicazioni e traffico di rete, per poi segnalare deviazioni statisticamente significative. Questi sistemi aiutano a rilevare varianti di ransomware zero-day e minacce interne.

I flussi di lavoro automatizzati di risposta agli incidenti possono ridurre i tempi di risposta da ore a secondi. L’automazione può isolare gli endpoint infetti, disabilitare gli account utente compromessi, bloccare indirizzi IP e domini dannosi e avviare la raccolta di dati forensi. Altre tecniche e strumenti includono:

• Rilevamento e risposta degli endpoint (EDR): le piattaforme EDR forniscono una visibilità approfondita sulle attività degli endpoint, rilevando la creazione di processi, le modifiche ai file, le connessioni di rete e le modifiche al registro di sistema. Le moderne soluzioni EDR utilizzano l’analisi comportamentale per rilevare attività simili a quelle del ransomware e possono isolare automaticamente gli endpoint che mostrano segni di compromissione.
• Rilevamento e risposta estesi: le piattaforme XDR sono in grado di correlare i dati tra endpoint, reti, carichi di lavoro nel cloud e sistemi di posta elettronica. Questa visione consente il rilevamento di catene di attacchi complesse che coinvolgono più sistemi e fornisce capacità unificate di risposta agli incidenti in tutto l’ambiente.
• Gestione delle informazioni e degli eventi di sicurezza: i sistemi SIEM aggregano e analizzano i dati di log provenienti dall’intera infrastruttura. Per il rilevamento del ransomware, le piattaforme SIEM possono correlare indicatori quali tentativi di autenticazione falliti seguiti da accessi riusciti, trasferimenti di dati insoliti e manomissione degli strumenti di sicurezza.
• Protezioni native del sistema operativo: i sistemi operativi includono protezioni integrate contro il ransomware, come l’accesso controllato alle cartelle e il monitoraggio del comportamento di Windows Defender. Questi strumenti nativi forniscono una protezione di base e si integrano con le piattaforme di sicurezza aziendali per una gestione centralizzata.
• Strumenti anti-ransomware specializzati: le soluzioni anti-ransomware appositamente progettate si concentrano specificamente sul rilevamento e sulla prevenzione degli attacchi di crittografia. Questi strumenti utilizzano tecniche quali il monitoraggio del file system, i file esca e algoritmi di rilevamento della crittografia ottimizzati per il comportamento del ransomware.

Come rilevare il ransomware su una rete

Il rilevamento a livello di rete si concentra sull’identificazione dei modelli di comunicazione del ransomware e dei movimenti laterali. I team di sicurezza dovrebbero monitorare volumi insoliti di traffico SMB/CIFS indicativi di enumerazione dei file, picchi nelle query DNS che suggeriscono l’attività di algoritmi di generazione di domini e connessioni in uscita verso infrastrutture di comando e controllo note. I tentativi di esfiltrazione dei dati si manifestano come trasferimenti massicci di dati verso servizi di archiviazione cloud, traffico crittografato verso destinazioni insolite e connessioni al di fuori dell’orario di lavoro.

I sensori di rete posizionati in punti strategici possono fornire visibilità sul traffico est-ovest. Questi sensori dovrebbero attivare avvisi in caso di modelli di accesso rapido ai file nelle condivisioni di rete, rilevamento di firme note di ransomware nel traffico di rete e identificazione di attività di crittografia tramite analisi dell’entropia. Un corretto posizionamento dei sensori prevede l’installazione lungo i perimetri di rete, tra i segmenti di rete e ai confini dei data center.

L’integrazione di più fonti di dati può garantire una visibilità completa. Le piattaforme SIEM e XDR possono correlare i dati di telemetria degli endpoint che evidenziano anomalie nei processi, i dati di rete che rivelano modelli di movimento laterale e i log di autenticazione che indicano l’uso improprio delle credenziali. Questa correlazione consente di rilevare attacchi in più fasi che i singoli strumenti potrebbero non individuare.

Caso di studio: la rapida Recovery da un attacco ransomware di Bilthoven Biologicals

Il 21 settembre 2022, Bilthoven Biologicals (BBio), un’azienda farmaceutica, ha scoperto di essere vittima di un attacco ransomware quando gli utenti hanno segnalato l’impossibilità di accedere ai file. Il consulente IT Paul Vries ha trovato note di riscatto che richiedevano il pagamento per la decrittografia dei file, segno di una grave violazione.

«Il ransomware si è diffuso attraverso il dominio e lo stabilimento. In pratica, tutto ciò che era connesso ad Active Directory è stato compromesso», ha affermato Vries. L’attacco ha minacciato le operazioni di produzione dei vaccini di BBio, rendendo necessarie misure immediate di contenimento per limitare i danni.

Il team di risposta ha disconnesso la rete, spento i server e le macchine virtuali infette, mantenendo strategicamente operativi i sistemi non colpiti per ridurre al minimo l’impatto sulla produzione. Ha inoltre dato priorità a una chiara comunicazione ai dipendenti riguardo alla gravità della situazione.

Già dal secondo giorno, il team è riuscito a ripristinare con successo Active Directory e l’ambiente di backup. «Apprezziamo molto la semplicità della dashboard di Commvault. Con pochi clic, possiamo ripristinare una macchina virtuale o i backup dopo un attacco, il che è fondamentale nel nostro settore di attività come azienda farmaceutica che gestisce dati molto sensibili», ha spiegato Vries.

L’interfaccia intuitiva ha permesso ai membri del team di lavorare a turni per tutta la notte, ripristinando metodicamente i servizi. Grazie alla collaborazione tra il team IT di BBio, il suo fornitore di servizi gestiti KEMBIT e Commvault, è stato possibile ripristinare completamente le operazioni in più uffici e in uno stabilimento in soli nove giorni.

L’esperienza ha spinto BBio a rafforzare il proprio piano di ripristino di emergenza. «Prima dell’attacco non avevamo un piano di ripristino in atto», ha osservato Vries. «Ora stiamo collaborando con Commvault per elaborare un piano di ripristino di emergenza, in modo da capire meglio quali elementi è importante riattivare per primi e in quale ordine».

BBio ha inoltre implementato ulteriori misure di protezione, tra cui lo spostamento degli agenti multimediali al di fuori del dominio e l’adozione di Commvault Cloud AirGap per migliorare la protezione del proprio ambiente ibrido. “Con Commvault e Commvault AirGap, possiamo gestire, proteggere e recuperare facilmente i dati sia nel cloud che on-premise, anche nel peggiore dei casi”, ha affermato Vries.

Supporto di Commvault per il rilevamento del ransomware

L’approccio di Commvault alla protezione dal ransomware combina il rilevamento proattivo delle minacce con funzionalità di Recovery automatizzate. La funzione Threat Scan Predict della piattaforma sfrutta il rilevamento delle minacce basato sull’intelligenza artificiale per identificare potenziali attività di ransomware prima che inizi la crittografia, analizzando i modelli dei dati di backup e le modifiche ai file negli ambienti ibridi.

La piattaforma è progettata per rilevare le firme e le anomalie del ransomware attraverso il monitoraggio continuo dei flussi di backup, l’analisi dell’entropia dei file e il riconoscimento dei modelli comportamentali. Quando viene rilevata un’attività sospetta, i flussi di lavoro automatizzati possono creare istantaneamente copie di backup isolate, allertare i team di sicurezza e avviare procedure di indagine. Questo sistema di allerta precoce aiuta le organizzazioni a reagire prima che il ransomware possa diffondersi nell’infrastruttura.

L’approccio unificato alla gestione dei dati migliora sia la conformità che la continuità operativa grazie a tracciati di audit immutabili, politiche di conservazione automatizzate e crittografia dei dati sia inattivi che in transito. Durante le operazioni di Recovery, le funzionalità di ripristino granulare contribuiscono a ridurre al minimo la perdita di dati, mentre l’orchestrazione automatizzata aiuta a ridurre i tempi di Recovery.