Readiness al ransomware: 6 passaggi per proteggere la tua organizzazione dal ransomware

La prevenzione e la protezione dal ransomware richiedono un approccio a più livelli che preveda best practice e processi, formi il personale e sfrutti le tecnologie più recenti per proteggere l’organizzazione dagli autori degli attacchi. Una strategia di sicurezza a più livelli è fondamentale, così come lo è la Readiness al ripristino.

1. Formare e istruire regolarmente i dipendenti.
Le aziende possono proteggersi dal ransomware fornendo una formazione regolare ai dipendenti per aiutarli a identificare gli attacchi dannosi. Ad esempio, i tentativi di phishing si basano spesso su tecniche di ingegneria sociale che cercano di indurre gli utenti finali a rivelare informazioni sensibili. Formare dipendenti, partner e clienti sui segnali di tali tentativi di ingegneria sociale per evitare che cadano vittime di un attacco.

Insegnate ai dipendenti le buone abitudini di navigazione e spiegate loro perché è importante non cliccare su link sospetti, rafforzando le loro conoscenze su come individuare ed evitare potenziali minacce. La formazione consentirà ai dipendenti di fungere da prima linea di difesa contro gli attacchi di ransomware, prendendo decisioni più consapevoli online ed evitando le insidie note.

2. Attuare una strategia di backup immutabile.
Le strategie di backup devono essere sofisticate quanto i migliori tentativi di attacco ransomware da parte dei malintenzionati. Una pratica di protezione dei dati ampiamente accettata prevede di mantenere tre copie dei dati, archiviarle su due diversi tipi di supporti e conservare una copia in un luogo sicuro fuori sede.

Questo approccio 3-2-1 riduce i rischi di perdita di dati in caso di attacchi ransomware, diversificando le posizioni di archiviazione e i tipi di supporto. Creare tre copie dei dati critici, inclusi i dati originali sul sistema primario e due copie di backup. Archiviare le copie di backup su due tipi distinti di supporti di archiviazione, come un disco rigido locale e un archivio cloud, per evitare un unico punto di guasto.

Gli esperti raccomandano alle aziende di archiviare una copia dei propri dati in un sistema di archiviazione secondario, come un’appliance hyperscale, un nastro o uno spazio di archiviazione cloud. Questo tipo di supporto può aiutare a conservare i dati in una modalità protetta dal ransomware, che non è facilmente accessibile agli attacchi di questo tipo. Assicurarsi che una delle copie di backup sia archiviata in una sede remota, separata dal data center principale, per proteggersi da disastri naturali locali.

È inoltre fondamentale investire in un backup immutabile. Un backup immutabile è una copia di file o dati che non può essere alterata o modificata in alcun modo, il che significa che rimane invariata anche da parte di amministratori o malintenzionati. Il backup immutabile protegge dalla cancellazione dei dati e garantisce un backup sicuro che può essere ripristinato anche se il sistema primario è compromesso dal ransomware. Una volta reso immutabile, il backup non può essere cancellato, sovrascritto o modificato in alcun modo – il che è fondamentale per la protezione dagli attacchi ransomware.

3. Utilizzare tecniche di isolamento, segmentazione e air gap.
Le tecniche di isolamento e air gap si riferiscono a una strategia di sicurezza in cui i dati di backup vengono archiviati separatamente e fisicamente isolati dalla rete primaria. Ciò crea una barriera che impedisce l’accesso non autorizzato alle copie di backup, proteggendole da eventuali attacchi di malware o ransomware che potrebbero infettare il sistema primario. I dati di backup vengono separati in destinazioni di archiviazione isolate utilizzando LAN virtuali (VLAN), firewall o altri metodi di segmentazione della rete per limitare l’accesso. La segmentazione della rete impedirà inoltre i movimenti east-west o laterali da parte degli aggressori qualora questi fossero riusciti a penetrare le difese perimetrali.

Implementare l’archivio di backup isolato in modo che sia fisicamente scollegato dalla rete primaria, impedendo l’accesso diretto ai dati. Replicare i dati in questo ambiente isolato per garantire che le copie di backup vengano trasferite in modo sicuro nell’archivio con air gap. Isolando i dati di backup, le tecniche di air gap riducono significativamente il rischio che il ransomware crittografi le copie di backup, poiché il malware non può raggiungerle sulla rete isolata.

4. Implementare controlli di accesso, privilegi utente e sistemi di rilevamento delle intrusioni (IDS).
Per comprendere meglio lo stato complessivo della posizione di sicurezza di un’organizzazione, è fondamentale esaminare le politiche di controllo degli accessi e la loro implementazione. Verificare in che modo gli utenti finali si connettono alla rete sia internamente che esternamente e mettere in atto misure di protezione che vanno dalla protezione tramite password all’autenticazione a più fattori sulle VPN o su qualsiasi portale o risorsa accessibile da remoto da parte degli utenti finali o dei dipendenti.

Un solido IDS cercherà in modo proattivo attività dannose confrontando i log del traffico di rete con le firme che rilevano attività dannose note. L’IDS avviserà l’organizzazione nel caso in cui rilevi attività dannose. Questo tipo di approccio a più livelli alla sicurezza, che include IDS, VPN, firewall, software antivirus, filtri antispam e prevenzione della perdita di dati nel cloud, renderà più difficile per i potenziali aggressori l’accesso al vostro ambiente e ai dati sensibili.

5. Monitorare regolarmente l’ambiente. La maggior
parte delle organizzazioni monitora già regolarmente i propri ambienti, ma per contrastare il ransomware il monitoraggio è fondamentale per consentire il rilevamento tempestivo di attività sospette che potrebbero essere indicative di un attacco. Il monitoraggio del traffico alla ricerca di attività sospette aiuterà i team di sicurezza a identificare malware o ransomware in anticipo e ad adottare misure proattive per impedire la diffusione del ransomware.

Grazie a sistemi completi di monitoraggio dei dati e del traffico, i team di sicurezza possono inoltre crittografare i dati prima che si verifichino danni significativi. Modelli di accesso ai file insoliti, crittografia rapida dei dati o traffico di rete anomalo possono tutti indicare un tentativo di attacco ransomware e, monitorando costantemente l’attività del sistema, i team di sicurezza possono individuare gli autori degli attacchi e agire rapidamente per contenere la minaccia.

6. Sviluppare un piano di risposta agli incidenti.
Tutte queste misure di protezione contribuiranno a prevenire e rilevare attività dannose, ma nel caso in cui si verifichi un attacco, un piano di risposta agli incidenti fornirà le misure necessarie da adottare dopo aver individuato l’attacco, riducendo al contempo la probabilità di attacchi futuri. Un piano di risposta agli incidenti dovrebbe descrivere in dettaglio come raccogliere i dati per determinare l’origine, la natura e la portata dell’attacco ransomware. La vera Recovery informatica, che va oltre la risposta agli incidenti, comprende la capacità di ripristinare rapidamente i sistemi e i dati critici dopo un attacco.

Le organizzazioni dovrebbero testare regolarmente il proprio piano di risposta agli incidenti, in modo che le persone coinvolte comprendano i propri ruoli e le proprie responsabilità a seguito di un attacco ransomware. Test costanti del piano di risposta agli incidenti ne confermeranno inoltre l’efficacia e identificheranno le aree di miglioramento. È fondamentale investire in una piattaforma che consenta il rapido recupero e ripristino dei dati in caso di attacco informatico, garantendo una risposta tempestiva e riducendo al minimo i tempi di inattività.

Le aziende devono investire in un approccio multilivello alla Readiness contro il ransomware, che sottolinei l’importanza di una solida protezione dei dati per prevenire le minacce, rilevare tempestivamente le attività sospette e garantire un rapido recupero dei dati anche in caso di attacco. Grazie all’utilizzo di backup immutabili e fisicamente isolati (air-gapped), al monitoraggio continuo e al rilevamento avanzato delle anomalie in vari ambienti, le organizzazioni possono dare priorità alle protezioni proattive e alle capacità di Recovery rapido per ridurre al minimo le interruzioni dell’attività aziendale.