Passi fondamentali per garantire la resilienza al ransomware

Raggiungere la resilienza contro il ransomware

Gli attacchi ransomware sono diventati la principale minaccia per le aziende moderne. Secondo Cybersecurity Ventures, si prevede che i costi dei danni causati dal ransomware a livello globale raggiungeranno i 57 miliardi di dollari nel 2025. L’impatto finanziario va ben oltre il pagamento del riscatto: le organizzazioni devono ora far fronte a costi medi di Recovery pari a 2,73 milioni di dollari, oltre a subire in media 24 giorni di inattività che interrompono le operazioni e minano la fiducia dei clienti.

Per sviluppare la resilienza al ransomware non bastano le tradizionali strategie di backup o gli strumenti di sicurezza. Le organizzazioni devono adottare strutture di difesa complete che combinino capacità di prevenzione, rilevamento e Recovery per poter garantire la continuità operativa in caso di attacchi.

La posta in gioco continua ad aumentare man mano che gli autori delle minacce evolvono le loro tattiche. Con il ransomware coinvolto in un incredibile 44% di tutte le violazioni dei dati e gli autori degli attacchi che ora sabotano deliberatamente le operazioni nell’86% degli incidenti, le aziende hanno bisogno di strategie collaudate per proteggere i dati critici e mantenere le operazioni in qualsiasi scenario di attacco.

Spiegazione della resilienza al ransomware

La resilienza al ransomware rappresenta la capacità di un’organizzazione di mantenere le operazioni critiche e proteggere i dati essenziali prima, durante e dopo un attacco ransomware. È la capacità di resistere, rispondere e riprendersi dagli attacchi ransomware con interruzioni minime.

Questa capacità va oltre il semplice backup dei dati; comprende strategie complete che consentono alle aziende di rilevare tempestivamente le minacce, contenere rapidamente i danni e ripristinare le operazioni con interruzioni minime.

Gli attacchi si sono evoluti ben oltre i semplici schemi di crittografia: i moderni gruppi di ransomware utilizzano sofisticate tattiche di estorsione, tra cui il furto di dati, le vessazioni pubbliche nei confronti dei clienti e il sabotaggio intenzionale delle infrastrutture, progettate per massimizzare la pressione sulle vittime.

Comprendere la resilienza al ransomware significa riconoscere che la prevenzione da sola non può eliminare il rischio. Le organizzazioni devono prepararsi alla realtà che aggressori sofisticati possano violare le difese, rendendo essenziali le capacità di rilevamento e Recovery rapidi per la sopravvivenza aziendale.

Componenti chiave della resilienza al ransomware

Una strategia completa di resilienza al ransomware richiede cinque componenti interconnesse che operino in sinergia affinché la vostra organizzazione sia in grado di proteggere i dati e le operazioni:

• Prevenzione: la prevenzione inizia con l’implementazione di solidi controlli di accesso e meccanismi di autenticazione, come l’autenticazione a più fattori e le architetture zero-trust. L’applicazione regolare delle patch rimane fondamentale, poiché lo sfruttamento di software non aggiornato costituisce il principale punto di ingresso per gli aggressori.
  La formazione degli utenti affronta il fattore umano, particolarmente importante dato che SentinelOne riporta che il 90% di tutti gli incidenti informatici deriva da errori umani, come cadere vittima di attacchi di phishing.
• Rilevamento e contenimento: i sistemi di monitoraggio in tempo reale e di rilevamento delle anomalie forniscono un allarme tempestivo su potenziali attività di ransomware. I meccanismi di risposta automatizzata possono isolare i sistemi infetti prima che la crittografia si diffonda attraverso le reti.
  Questi sistemi devono funzionare regolarmente, analizzando i modelli comportamentali e le modifiche al file system che indicano la diffusione del ransomware. I sistemi di allerta precoce sono diventati sufficientemente sofisticati da rilevare comportamenti precedenti alla crittografia, comprese le attività di ricognizione e i tentativi di movimento laterale.
• Risposta e Recovery: i piani di risposta agli incidenti definiscono ruoli chiari e protocolli di comunicazione per gli eventi legati al ransomware. Tali piani devono includere procedure tecniche di Recovery insieme a misure di continuità operativa.
• Backup immutabili e con isolamento fisico: i backup immutabili creano copie dei dati che il ransomware non può crittografare né eliminare. Questi backup utilizzano la tecnologia WORM (Write-Once, Read-Many) o protezioni simili per preservare l’integrità dei dati anche nel caso in cui gli aggressori ottengano l’accesso amministrativo.
  L’archiviazione con isolamento fisico aggiunge una separazione fisica o logica tra i sistemi di produzione e i repository di backup. Questo isolamento impedisce al ransomware di diffondersi ai dati di backup attraverso le connessioni di rete, preservando copie di ripristino integre anche in caso di infezioni su larga scala.
• Test regolari: frequenti esercitazioni di ripristino verificano che i sistemi di backup funzionino correttamente e che i team comprendano le procedure di ripristino. I test rivelano lacune nella documentazione, individuano margini di miglioramento nei processi e sviluppano la “memoria muscolare” necessaria per affrontare incidenti reali. Le organizzazioni dovrebbero condurre trimestralmente esercitazioni di ripristino informatico su vasta scala, simulando vari scenari di attacco per convalidare i piani di risposta.

Vettori di minaccia del ransomware e strategie di mitigazione

Comprendere come il ransomware si infiltra nelle organizzazioni consente di mettere a punto strategie di difesa mirate. I vettori di attacco più comuni richiedono approcci di mitigazione specifici:

Principali metodi di infiltrazione

• Il phishing rimane uno degli attacchi più comuni legati alle credenziali. Gli autori degli attacchi creano e-mail sofisticate che aggirano i filtri tradizionali, spesso spacciandosi per contatti o servizi affidabili.
• Una gestione inadeguata delle patch crea ulteriori vulnerabilità, poiché gli autori delle minacce effettuano attivamente la scansione alla ricerca di sistemi non aggiornati ai margini della rete.
• Le compromissioni della catena di fornitura sono emerse come un altro vettore significativo, in cui gli autori degli attacchi si infiltrano presso fornitori di software o di servizi per raggiungere più organizzazioni contemporaneamente.
• Lo sfruttamento del protocollo RDP (Remote Desktop Protocol) continua nonostante la diffusa consapevolezza, prendendo di mira in particolare le organizzazioni con controlli di autenticazione deboli.

Riduzione sistematica dell’esposizione

Le organizzazioni possono implementare diversi approcci strutturati per ridurre la propria superficie di attacco. Questi metodi si concentrano sulla limitazione dei potenziali punti di ingresso e sulla riduzione al minimo del potenziale di danno:

1. Implementare politiche zero-trust: verificare ogni tentativo di connessione indipendentemente dalla fonte, eliminando i presupposti di fiducia impliciti.
2. Sensibilizzare gli utenti: condurre simulazioni mensili di phishing e corsi di formazione sulla sicurezza su misura per le attuali tattiche di minaccia.
3. Ridurre al minimo l’esposizione esterna: effettuare un audit di tutti i servizi esposti a Internet e rimuovere i punti di accesso non necessari.
4. Segmentare le reti: isolare i sistemi critici per impedire la diffusione laterale in caso di violazioni.
5. Monitorare gli accessi di terze parti: rivedere regolarmente le autorizzazioni dei fornitori e implementare controlli di accesso a tempo determinato.

Le verifiche periodiche di sicurezza identificano le vulnerabilità prima che gli aggressori possano sfruttarle. Queste valutazioni dovrebbero esaminare i controlli tecnici, l’adesione ai processi e i fattori umani. I test di penetrazione simulano attacchi reali per convalidare le misure difensive.

Valutazioni della resilienza al ransomware

Le organizzazioni dovrebbero condurre valutazioni formali della resilienza seguendo un approccio in tre fasi:

• Fase di valutazione: valutare gli attuali controlli di sicurezza, i sistemi di Backup and Recovery e le procedure di Recovery rispetto ai framework di settore. Documentare le discrepanze tra lo stato attuale e i livelli di resilienza desiderati.
• Fase di identificazione: assegnare priorità alle vulnerabilità in base alla probabilità e all’impatto potenziale. Mappare i flussi di dati critici e le dipendenze per comprendere i requisiti di Recovery.
• Fase di definizione delle priorità: elaborare piani correttivi che affrontino per primi le aree ad alto rischio. Assegnare le risorse in base all’analisi dell’impatto sul business e ai requisiti normativi.

Il miglioramento continuo richiede rivalutazioni trimestrali, poiché il panorama delle minacce si evolve e l’infrastruttura organizzativa cambia.

Misure proattive di difesa dal ransomware per le imprese

La protezione aziendale dal ransomware richiede difese multilivello in grado di affrontare le diverse fasi dell’attacco. Le seguenti pratiche costituiscono le basi di un’efficace resilienza al ransomware:

• Rilevamento e risposta sugli endpoint (EDR): implementare una protezione avanzata degli endpoint che monitori i modelli comportamentali anziché affidarsi esclusivamente al rilevamento basato sulle firme. Le moderne piattaforme EDR identificano attività specifiche del ransomware, come i tentativi di crittografia di massa dei file o l’eliminazione delle copie shadow.
• Segmentazione della rete: isolare i sistemi critici e gli archivi di dati utilizzando VLAN, firewall e liste di controllo degli accessi. Una corretta segmentazione limita la diffusione del ransomware anche se le difese iniziali falliscono.
• Gestione degli accessi privilegiati: implementare controlli di accesso just-in-time e monitorare l’utilizzo degli account amministrativi. Poiché il ransomware spesso sfrutta privilegi elevati, limitare e sottoporre a audit questi account riduce l’efficacia degli attacchi.
• Verifica automatizzata dei backup: pianificare controlli regolari sull’integrità dei backup ed eseguire test di ripristino. L’automazione aiuta a identificare backup danneggiati o incompleti prima che siano necessari per Recovery.
• Integrazione delle informazioni sulle minacce: abbonarsi a feed sulle minacce specifici per il settore e integrare tali informazioni negli strumenti di sicurezza. Gli avvisi tempestivi sulle varianti emergenti di ransomware consentono di aggiornare in modo proattivo le difese.

Servizi gestiti di resilienza

Le organizzazioni prive di competenze specialistiche in materia di sicurezza possono avvalersi di servizi gestiti di resilienza contro il ransomware. Queste offerte forniscono monitoraggio continuo, ricerca delle minacce e capacità di risposta agli incidenti attraverso centri operativi di sicurezza esperti. I modelli di “resilienza come servizio” offrono una protezione completa senza richiedere ingenti risorse interne.

Recovery dopo un attacco ransomware nella pratica: il caso di studio di Bilthoven Biologicals

L’esperienza di Bilthoven Biologicals (BBio), uno dei principali produttori olandesi di vaccini, dimostra come soluzioni adeguate di Backup and Recovery possano mitigare l’impatto degli attacchi ransomware sulle operazioni sanitarie critiche. In qualità di produttore di vaccini antipolio di alta qualità per organizzazioni come l’Organizzazione Mondiale della Sanità e l’UNICEF, le operazioni produttive di BBio devono rimanere operative nonostante le minacce informatiche.

Il 21 settembre 2022, BBio ha subito un grave attacco ransomware che è iniziato con l’impossibilità per gli utenti di accedere ai propri file. Il team IT ha scoperto una richiesta di riscatto che indicava che i file erano stati crittografati, con gli aggressori che chiedevano un pagamento per la decrittografia. L’attacco si è diffuso rapidamente all’interno del dominio e dello stabilimento, compromettendo tutto ciò che era collegato ad Active Directory.

«Il ransomware si è diffuso nel dominio e nello stabilimento. In pratica, tutto ciò che era connesso ad Active Directory è stato compromesso», ha affermato Paul Vries, consulente IT presso BBio. «Abbiamo dovuto agire rapidamente per fermare la diffusione, poiché non eravamo certi dell’esatta portata dell’impatto».

Risposta rapida e Recovery

Il team di risposta di BBio ha immediatamente scollegato la rete e spento i server infetti, preservando al contempo le macchine non colpite per ridurre al minimo le interruzioni nella produzione dei vaccini. Già dal secondo giorno sono stati ripristinati Active Directory e l’ambiente di backup, consentendo di avviare il ripristino sistematico dei servizi critici.

Grazie a Commvault Cloud Backup and Recovery, il team è riuscito a ripristinare le macchine virtuali e i dati di backup con il minimo sforzo. «Apprezziamo molto la semplicità della dashboard di Commvault. Con pochi clic possiamo ripristinare una macchina virtuale o i backup dopo un attacco, cosa fondamentale nel nostro settore come azienda farmaceutica che gestisce dati molto sensibili», ha spiegato Vries.

Lavorando a turni per tutta la notte, il team IT è riuscito a ripristinare con successo i servizi in diverse sedi e nello stabilimento in soli nove giorni. Questo rapido ripristino ha garantito a BBio la possibilità di continuare la produzione di vaccini, fondamentale per la sua missione, dimostrando il valore di soluzioni di backup complete nel mantenere la continuità operativa durante gli incidenti di ransomware.

Lezioni apprese e protezione potenziata

L’incidente causato dal ransomware ha messo in luce l’importanza della pianificazione della Recovery per BBio. «Prima dell’attacco non avevamo un piano di Recovery in atto», ha affermato Vries. «Ora stiamo collaborando con Commvault per elaborare un piano di Recovery, in modo da capire meglio quali elementi è fondamentale riattivare per primi e in quale ordine».

BBio ha scoperto che alcuni file non erano stati crittografati perché aveva spostato gli agenti multimediali al di fuori del dominio, fornendo informazioni preziose per la sua futura strategia di protezione. A seguito dell’attacco, l’organizzazione ha implementato misure di sicurezza aggiuntive, tra cui Commvault Air Gap, per rafforzare la propria resilienza al ransomware nel proprio ambiente ibrido.

Questo caso offre diverse lezioni fondamentali per le organizzazioni:

1. Il valore dei protocolli di risposta rapida per contenere la diffusione del ransomware.
2. L’importanza di soluzioni di Backup and Recovery intuitive e affidabili.
3. La necessità di una pianificazione completa del Recovery prima che si verifichino gli attacchi.
4. L’efficacia delle soluzioni di backup con isolamento fisico (air gap) nella protezione dei dati critici.

L’esperienza di BBio dimostra che, sebbene gli attacchi ransomware rappresentino una minaccia significativa, le organizzazioni dotate di adeguati sistemi di Backup and Recovery possono ridurre al minimo i tempi di inattività e mantenere operative le attività critiche anche dopo un attacco andato a buon fine.

In che modo Commvault migliora la resilienza al ransomware

La piattaforma completa di protezione dei dati di Commvault affronta la resilienza al ransomware attraverso funzionalità integrate progettate per i moderni ambienti ibridi. La piattaforma combina più livelli di difesa con funzionalità di Recovery automatizzate che aiutano le aziende a ridurre al minimo i tempi di inattività e la perdita di dati.

• Backup immutabile: Commvault implementa l’immutabilità attraverso un approccio indipendente dall’hardware, consentendo alle organizzazioni di bloccare i dati di backup senza richiedere sistemi di archiviazione specializzati. Questa flessibilità permette di stratificare i controlli di sicurezza su diversi tipi di infrastruttura, sia che si utilizzi l’archiviazione WORM, funzionalità di blocco degli oggetti o i meccanismi di blocco integrati di Commvault.
• Protezione «air-gapped»: Commvault AirGap crea ambienti di Recovery isolati progettati per rimanere inaccessibili al ransomware. Queste copie «air-gapped» forniscono punti di Recovery puliti anche quando i sistemi primari e secondari vengono compromessi. La soluzione automatizza la creazione e la gestione delle copie «air-gapped», mantenendo al contempo rigorosi controlli di accesso.
• Rilevamento automatico delle minacce: le funzionalità di rilevamento automatico delle minacce della piattaforma monitorano continuamente gli indicatori di ransomware negli ambienti protetti. Gli algoritmi di machine learning analizzano i modelli di backup, le modifiche ai file e i comportamenti del sistema per identificare tempestivamente potenziali attacchi. Quando vengono rilevate minacce, i flussi di lavoro automatizzati possono isolare i sistemi interessati e avviare le procedure di Recovery.
• Commvault Cleanroom: gli ambienti Commvault Cleanroom offrono spazi affidabili per la convalida dei dati e il ripristino dei sistemi. Questi ambienti isolati consentono alle organizzazioni di eseguire la scansione dei dati recuperati alla ricerca di malware prima di riportare i sistemi in produzione, contribuendo a prevenire i cicli di reinfezione che affliggono molte vittime del ransomware.
• Supporto per ambienti multi-cloud: le organizzazioni che operano su più piattaforme cloud traggono vantaggio dall’approccio unificato di Commvault alla protezione dei dati. La piattaforma fornisce difese coerenti contro il ransomware, indipendentemente dal fatto che i dati risiedano su AWS, Azure, Google Cloud o su un’infrastruttura on-premise.
  Ciò elimina le lacune di protezione che spesso emergono ai confini del cloud. Le funzionalità di Recovery cross-cloud consentono alle organizzazioni di ripristinare i carichi di lavoro in sedi alternative qualora i siti primari venissero compromessi. Questa flessibilità supporta le strategie di continuità operativa che sfruttano l’infrastruttura cloud per garantire la resilienza.

Combinando queste funzionalità, Commvault consente alle organizzazioni di sviluppare una resilienza completa contro il ransomware che aiuta a proteggere i dati critici, a mantenere le operazioni aziendali e ad accelerare il Recovery in caso di attacchi. L’approccio integrato della piattaforma affronta una varietà di minacce ransomware, adattandosi al contempo alle tecniche di attacco in continua evoluzione e alle esigenze aziendali.

La resilienza al ransomware richiede un approccio multilivello che combini capacità di prevenzione, rilevamento e Recovery rapido. Le organizzazioni devono proteggere i propri dati tramite backup immutabili, archiviazione in modalità air-gap e sistemi di monitoraggio completi. La posta in gioco è troppo alta per rimandare: con gli attacchi ransomware che aumentano in frequenza e sofisticazione, le aziende hanno bisogno di soluzioni collaudate per mantenere le operazioni e proteggere i dati critici.

Richiedi una demo per scoprire come possiamo aiutarti a rafforzare la tua strategia di resilienza al ransomware.