Passi fondamentali per garantire la resilienza al ransomware

Raggiungere la resilienza contro il ransomware

Attacchi ransomwaresono diventati la principale minaccia per le imprese moderne. Secondo Cybersecurity Ventures, si prevede che i costi dei danni causati dal ransomware a livello globale raggiungeranno57 miliardi di dollari nel 2025. L’impatto finanziario va ben oltre il pagamento dei riscatti: le organizzazioni si trovano ora a dover affrontarecosti medi di recupero pari a 2,73 milioni di dollari, pur registrando una media di24 giorni di inattivitàche compromette il funzionamento delle attività e mina la fiducia dei clienti.

Per garantire la resilienza nei confronti del ransomware non bastano le tradizionali strategie di backup o gli strumenti di sicurezza. Le organizzazioni devono adottare modelli di difesa completi che combinino capacità di prevenzione, rilevamento e Recovery, al fine di garantire la continuità operativa in caso di attacchi.

La posta in gioco continua ad aumentare man mano che gli autori delle minacce evolvono le loro tattiche. Con il ransomware che rappresenta un fattore in un numero sbalorditivo diIl 44% di tutte le violazioni dei dati, e gli hacker orasabotaggio deliberato delle operazioni nell’86% dei casi, le aziende hanno bisogno di strategie collaudate per proteggere i dati critici e garantire la continuità operativa in qualsiasi scenario di attacco.

Spiegazione della resilienza al ransomware

La resilienza al ransomware rappresenta la capacità di un’organizzazione di mantenere operative le attività critiche e proteggere i dati essenziali prima, durante e dopo un attacco ransomware. Si tratta della capacità di resistere agli attacchi ransomware, reagire ad essi e riprendersi con interruzioni minime.

Questa funzionalità va oltre il semplice backup dei dati; comprende strategie complete che consentono alle aziende di individuare tempestivamente le minacce, limitare rapidamente i danni e ripristinare le operazioni con interruzioni minime.

Gli attacchi si sono evoluti ben oltre i semplici schemi di crittografia: i moderni gruppi di ransomware utilizzanoestorsione sofisticatatattiche quali il furto di dati, le vessazioni pubbliche nei confronti dei clienti e il sabotaggio intenzionale delle infrastrutture, volte a esercitare la massima pressione possibile sulle vittime.

Comprensioneresilienza al ransomwaresignifica riconoscere che la prevenzione da sola non può eliminare il rischio. Le organizzazioni devono prepararsi all’eventualità che aggressori sofisticati possano violare le difese, rendendo indispensabili capacità di rilevamento e Recovery rapidi per la sopravvivenza dell’azienda.

Elementi chiave della resilienza al ransomware

Una strategia completa di resilienza contro il ransomware richiede cinque componenti interconnessi che operino in sinergia affinché la vostra organizzazione sia in grado di proteggere i dati e le operazioni:

• Prevenzione: la prevenzione inizia con l’implementazione di solidi controlli di accesso e meccanismi di autenticazione, come l’autenticazione a più fattori e le architetture zero-trust. L’applicazione regolare delle patch rimane fondamentale poichéLo sfruttamento di software non aggiornato costituisce un punto di accesso primarioper gli aggressori.
  La formazione degli utenti riguarda la componente umana, aspetto particolarmente importante alla luce di quanto riportato da SentinelOneIl 90% di tutti gli incidenti informatici è causato da errori umanicome cadere vittima di attacchi di phishing.
• Rilevamento e contenimento: i sistemi di monitoraggio in tempo reale e di rilevamento delle anomalie forniscono un allarme tempestivo in caso di potenziali attività di ransomware. I meccanismi di risposta automatizzata consentono di isolare i sistemi infetti prima che la crittografia si diffonda nella rete.
  Questi sistemi devono funzionare regolarmente, analizzando i modelli comportamentali e le modifiche al file system che indicano la diffusione di un ransomware. I sistemi di allerta precoce sono ormai sufficientemente sofisticati da rilevare comportamenti precedenti alla crittografia, comprese le attività di ricognizione e i tentativi di movimento laterale.
• Risposta e Recovery: i piani di risposta agli incidenti definiscono ruoli chiari e protocolli di comunicazione in caso di attacchi ransomware. Tali piani devono includere procedure tecniche di Recovery, oltre a misure di continuità operativa.
• Backup immutabili e isolati fisicamente: I backup immutabilicreare copie dei dati che il ransomware non può crittografare né eliminare. Questi backup utilizzano la tecnologia WORM (Write Once, Read Many) o protezioni simili per preservare l’integrità dei dati anche nel caso in cui gli aggressori ottengano l’accesso amministrativo.
  Archiviazione in modalità air-gapgarantisce una separazione fisica o logica tra i sistemi di produzione e gli archivi di backup. Questo isolamento impedisce al ransomware di diffondersi ai dati di backup attraverso le connessioni di rete, preservando copie di ripristino integre anche in caso di infezioni su larga scala.
• Test periodici: frequenti esercitazioni di ripristino consentono di verificare che i sistemi di backup funzionino correttamente e che i team abbiano compreso le procedure di ripristino. I test mettono in luce eventuali lacune nella documentazione, individuano opportunità di miglioramento dei processi e consentono di acquisire la prassi necessaria per affrontare gli incidenti reali. Le organizzazioni dovrebbero condurre trimestralmente esercitazioni di ripristino informatico su vasta scala, simulando vari scenari di attacco per verificare l’efficacia dei piani di risposta.

Vettori di minaccia del ransomware e strategie di mitigazione

Comprendere in che modo il ransomware si infiltra nelle organizzazioni consente di mettere in atto strategie di difesa mirate. I vettori di attacco più comuni richiedono approcci specifici di mitigazione:

Metodi di infiltrazione primari

• Il phishing rimane uno degli attacchi più comuni legati alle credenziali di accesso. Gli autori degli attacchi creano e-mail sofisticate in grado di eludere i filtri tradizionali, spesso spacciandosi per contatti o servizi affidabili.
• Una gestione inadeguata delle patch crea ulteriori vulnerabilità, poiché gli autori delle minacce effettuano attivamente scansioni alla ricerca di sistemi non aggiornati ai margini della rete.
• Le violazioni della catena di approvvigionamento si sono rivelate un altro vettore significativo, attraverso il quale gli autori degli attacchi si infiltrano presso fornitori di software o di servizi per colpire contemporaneamente più organizzazioni.
• Gli attacchi basati sul protocollo RDP continuano nonostante la diffusa consapevolezza del problema, prendendo di mira in particolare le organizzazioni con controlli di autenticazione carenti.

Riduzione sistematica dell’esposizione

Le organizzazioni possono adottare diversi approcci strutturati per ridurre il propriosuperficie di attacco. Questi metodi mirano a limitare i potenziali punti di ingresso e a ridurre al minimo i possibili danni:

1. Implementare zero-trust Politiche: verificare ogni tentativo di connessione indipendentemente dalla fonte, eliminando i presupposti di fiducia implicita.
2. Sensibilizzare maggiormente gli utenti: organizzare simulazioni mensili di phishing e corsi di formazione sulla sicurezza su misura per le attuali tattiche di attacco.
3. Ridurre al minimo l’esposizione esterna: effettuare una verifica di tutti i servizi esposti a Internet e rimuovere i punti di accesso non necessari.
4. Reti di segmento: isolare i sistemi critici per impedire la diffusione laterale in caso di violazioni.
5. Monitorare gli accessi di terze parti: verificare regolarmente le autorizzazioni dei fornitori e implementare controlli di accesso a durata limitata.

Regolari verifiche di sicurezza consentono di individuare le vulnerabilità prima che gli aggressori possano sfruttarle. Tali valutazioni dovrebbero prendere in esame i controlli tecnici, il rispetto delle procedure e i fattori umani. I test di penetrazione simulano attacchi reali per verificare l’efficacia delle misure difensive.

Valutazioni della resilienza al ransomware

Le organizzazioni dovrebbero effettuare valutazioni formali della resilienza seguendo un approccio articolato in tre fasi:

• Fase di valutazione: valutare gli attuali controlli di sicurezza, i sistemi di backup e le procedure di Recovery alla luce dei modelli di riferimento del settore. Documentare le discrepanze tra lo stato attuale e i livelli di resilienza desiderati.
• Fase di identificazione: classificare le vulnerabilità in ordine di priorità in base alla probabilità di verificarsi e al potenziale impatto. Mappare i flussi di dati critici e le dipendenze per comprendere i requisiti di Recovery.
• Fase di definizione delle priorità: elaborare piani di intervento che affrontino innanzitutto le aree ad alto rischio. Assegnare le risorse sulla base dell’analisi dell’impatto sul business e dei requisiti normativi.

Il miglioramento continuo richiede una rivalutazione trimestrale, poiché il panorama delle minacce è in continua evoluzione e l’infrastruttura organizzativa subisce cambiamenti.

Misure proattive di difesa contro il ransomware per le aziende

ImpresaRansomwareLa protezione richiede un sistema di difese a più livelli in grado di contrastare le diverse fasi dell’attacco. Le seguenti pratiche costituiscono le basi per una resilienza efficace contro il ransomware:

• Rilevamento e risposta sugli endpoint (EDR): implementare una protezione avanzata degli endpoint che monitori i modelli comportamentali anziché affidarsi esclusivamente al rilevamento basato sulle firme. Le moderne piattaforme EDR identificano attività specifiche del ransomware, come i tentativi di crittografia di massa dei file o la cancellazione delle copie shadow.
• Segmentazione della rete: isolare i sistemi critici e gli archivi di dati utilizzando VLAN, firewall ed elenchi di controllo degli accessi. Una corretta segmentazione limita la diffusione del ransomware anche in caso di fallimento delle difese iniziali.
• Gestione degli accessi privilegiati: implementare controlli di accesso “just-in-time” e monitorare l’utilizzo degli account amministrativi. Poiché il ransomware sfrutta spesso privilegi elevati, limitare e monitorare tali account riduce l’efficacia degli attacchi.
• Verifica automatizzata dei backup: pianificare controlli periodici dell’integrità dei backup ed eseguire test di ripristino. L’automazione consente di individuare eventuali backup danneggiati o incompleti prima che siano necessari per Recovery.
• Integrazione delle informazioni sulle minacce: iscriviti ai feed sulle minacce specifici per il settore e integra tali informazioni negli strumenti di sicurezza. Gli avvisi tempestivi sulle varianti emergenti di ransomware consentono di aggiornare le difese in modo proattivo.

Servizi gestiti di resilienza

Le organizzazioni che non dispongono di competenze specialistiche in materia di sicurezza possono avvalersi di servizi gestiti di resilienza contro il ransomware. Queste soluzioni offrono monitoraggio continuo, ricerca delle minacce e capacità di risposta agli incidenti attraverso centri operativi di sicurezza esperti. I modelli di “resilienza come servizio” offrono una protezione completa senza richiedere ingenti risorse interne.

Recovery dopo un attacco ransomware nella pratica: il caso di Bilthoven Biologicals

L’esperienza diBilthoven Biologicals(BBio), azienda olandese leader nella produzione di vaccini, dimostra come soluzioni adeguate di Backup and Recovery possano mitigare l’impatto degli attacchi ransomware sulle operazioni sanitarie critiche. In qualità di produttore di vaccini antipolio di alta qualità per organizzazioni quali l’Organizzazione Mondiale della Sanità e l’UNICEF, le attività produttive di BBio devono rimanere operative nonostante le minacce informatiche.

Il 21 settembre 2022, BBio è stata vittima di un grave attacco ransomware, iniziato con l’impossibilità per gli utenti di accedere ai propri file. Il team IT ha scoperto una richiesta di riscatto in cui si indicava che i file erano stati crittografati e in cui gli autori dell’attacco chiedevano un pagamento per la decrittografia. L’attacco si è diffuso rapidamente all’interno del dominio e dello stabilimento, compromettendo tutti i sistemi collegati ad Active Directory.

“Il ransomware si è diffuso nel dominio e nello stabilimento. In sostanza, tutto ciò che era collegato ad Active Directory è stato compromesso”, ha affermato Paul Vries, consulente IT presso BBio. “Abbiamo dovuto agire rapidamente per fermare la diffusione, poiché non eravamo certi dell’esatta portata dell’impatto.”

Risposta rapida e Recovery

Il team di intervento di BBio ha immediatamente scollegato la rete e spento i server infetti, preservando al contempo i computer non colpiti per ridurre al minimo le interruzioni nella produzione dei vaccini. Già dal secondo giorno è riuscito a ripristinare l’Active Directory e l’ambiente di backup, consentendo così di avviare il ripristino sistematico dei servizi critici.

Utilizzo diCommvault Cloud Backup and Recovery, il team è riuscito a ripristinare macchine virtuali e dati di backup con il minimo sforzo. “Apprezziamo molto la semplicità della dashboard di Commvault. Con pochi clic possiamo ripristinare una macchina virtuale o i backup dopo un attacco, il che è fondamentale nel nostro settore, essendo un’azienda farmaceutica che gestisce dati estremamente sensibili”, ha spiegato Vries.

Lavorando a turni per tutta la notte, il team IT è riuscito a ripristinare i servizi in diverse sedi e nello stabilimento in soli nove giorni. Questo rapido ripristino ha permesso a BBio di continuare la produzione di vaccini, fondamentale per la sua missione, dimostrando l’importanza di soluzioni di backup complete per garantire la continuità operativa in caso di attacchi ransomware.

Esperienze acquisite e maggiore protezione

L’attacco ransomware ha messo in luce l’importanza di un piano di Recovery di emergenza per BBio. «Prima dell’attacco non avevamo un piano di Recovery», ha affermato Vries. «Ora stiamo collaborando con Commvault per elaborare un piano di Recovery di emergenza, in modo da capire meglio quali siano le priorità da ripristinare per prime e in quale ordine».

BBio ha scoperto che alcuni file erano sfuggiti alla crittografia perché aveva spostato gli agenti multimediali al di fuori del dominio, ottenendo così informazioni preziose per la sua futura strategia di protezione. A seguito dell’attacco, l’organizzazione ha implementato ulteriori misure di sicurezza, tra cuiCommvault Air Gapper rafforzare la propria resilienza contro il ransomware nel proprio ambiente ibrido.

Questo caso offre alle organizzazioni diversi insegnamenti fondamentali:

1. L’importanza dei protocolli di risposta rapida per contenere la diffusione del ransomware.
2. L’importanza di soluzioni di Backup and Recovery intuitive e affidabili.
3. La necessità di una pianificazione completa della Recovery in caso di disastri prima che si verifichino gli attacchi.
4. L’efficacia delle soluzioni di backup con isolamento fisico nella protezione dei dati critici.

L’esperienza di BBio dimostra che, sebbene gli attacchi ransomware rappresentino una minaccia significativa, le organizzazioni dotate di adeguati sistemi di Backup and Recovery sono in grado di ridurre al minimo i tempi di inattività e garantire il funzionamento delle operazioni critiche anche a seguito di un attacco andato a buon fine.

In che modo Commvault migliora la resilienza contro il ransomware

La piattaforma completa di protezione dei dati di Commvault garantisce la resilienza contro il ransomware grazie a funzionalità integrate progettate per i moderni ambienti ibridi. La piattaforma combina diversi livelli di difesa con funzionalità di Recovery automatizzate che aiutano le aziende a ridurre al minimo i tempi di inattività e la perdita di dati.

• Backup immutabile: Commvault implementaimmutabilità grazie a un approccio indipendente dall’hardware, consentendo alle organizzazioni di bloccare i dati di backup senza dover ricorrere a sistemi di archiviazione specializzati. Questa flessibilità permette di applicare controlli di sicurezza a più livelli su diversi tipi di infrastruttura, sia che si utilizzi l’archiviazione WORM, le funzionalità di blocco degli oggetti o i meccanismi di blocco integrati di Commvault.
• Protezione con gap d’aria:Commvault AirGapcrea ambienti di Recovery isolati, progettati per rimanere inaccessibili al ransomware. Queste copie “air-gapped” forniscono punti di Recovery integri anche quando i sistemi primari e secondari vengono compromessi. La soluzione automatizza la creazione e la gestione delle copie “air-gapped”, mantenendo al contempo rigorosi controlli di accesso.
• Rilevamento automatico delle minacce: la funzione automatica della piattaformadi rilevamento delle minacceLe funzionalità monitorano costantemente la presenza di indicatori di ransomware negli ambienti protetti. Gli algoritmi di apprendimento automatico analizzano i modelli di backup, le modifiche ai file e i comportamenti del sistema per identificare tempestivamente potenziali attacchi. Quando vengono rilevate delle minacce, i flussi di lavoro automatizzati possono isolare i sistemi interessati e avviare le procedure di Recovery.
• Commvault Cleanroom: Commvault CleanroomQuesti ambienti offrono spazi affidabili per la convalida dei dati e il ripristino dei sistemi. Tali ambienti isolati consentono alle organizzazioni di eseguire una scansione dei dati recuperati alla ricerca di malware prima di riportare i sistemi in produzione, contribuendo così a prevenire i cicli di reinfezione che affliggono molte vittime di ransomware.
• Supporto per ambienti multi-cloud: le organizzazioni che operano su più piattaforme cloud traggono vantaggio dall’approccio unificato di Commvault alla protezione dei dati. La piattaforma offre difese coerenti contro il ransomware, indipendentemente dal fatto che i dati risiedano su AWS, Azure, Google Cloud o su un’infrastruttura on-premise.
  Ciò elimina le lacune di protezione che spesso si verificano ai confini del cloud. Le funzionalità di Recovery cross-cloud consentono alle organizzazioni di ripristinare i carichi di lavoro in sedi alternative qualora i siti primari venissero compromessi. Questa flessibilità supporta le strategie di continuità operativa che sfruttano l’infrastruttura cloud per garantire la resilienza.

Grazie alla combinazione di queste funzionalità, Commvault consente alle organizzazioni di sviluppare una resilienza completa contro il ransomware, che aiuta a proteggere i dati critici, a garantire la continuità delle operazioni aziendali e ad accelerare il Recovery in caso di attacchi. L’approccio integrato della piattaforma affronta una vasta gamma di minacce ransomware, adattandosi al contempo alle tecniche di attacco in continua evoluzione e alle esigenze aziendali.

La resilienza al ransomware richiede un approccio multilivello che combini capacità di prevenzione, rilevamento e Recovery rapido. Le organizzazioni devono proteggere i propri dati attraverso backup immutabili, sistemi di archiviazione “air-gapped” e sistemi di monitoraggio completi. La posta in gioco è troppo alta per poter rimandare: con gli attacchi ransomware che aumentano in frequenza e sofisticazione, le aziende hanno bisogno di soluzioni collaudate per garantire la continuità operativa e proteggere i dati critici.

Richiedi una demoper scoprire come possiamo aiutarti a rafforzare la tua strategia di resilienza contro il ransomware.