Il nostro backup reggerebbe a un ransomware?
Gli attaccanti cercano prima i backup, poi cifrano. Un backup che si può raggiungere e cancellare dalla rete non vi salverà: ecco come costruirne uno che regge.
Il problema
"Il backup c'è, lo facciamo ogni notte." Durante un attacco ransomware, però, gli attaccanti passano giorni nella rete prima di colpire, e uno dei loro obiettivi sono proprio le copie: le cancellano o le cifrano insieme a tutto il resto. Quando arriva il riscatto, l'azienda scopre che il backup era raggiungibile con le stesse credenziali dei server.
Come capire se ti riguarda
- Il sistema di backup è nello stesso dominio dei server, con gli stessi amministratori.
- Non esiste una copia offline, immutabile o in un luogo separato.
- L'ultima prova di ripristino completo risale a mesi fa, o non è mai stata fatta.
- Non sapete quanto tempo servirebbe per ripartire da zero.
Il primo passo
Fate oggi una domanda scomoda: "Se un attaccante avesse le credenziali di amministratore di dominio, potrebbe cancellare i nostri backup?". Se la risposta è sì o "non so", sapete da dove cominciare.
Come risolverlo
- Regola 3-2-1, con un'aggiunta. Tre copie, su due supporti diversi, una fuori sede. E almeno una immutabile o scollegata, che nessuno possa modificare dalla rete. *Evidenza: schema del backup.*
- Separate le identità. Il sistema di backup ha credenziali proprie, con MFA, fuori dal dominio aziendale.
- Proteggete la console. Accesso solo da postazioni dedicate, notifiche su cancellazioni e modifiche delle policy.
- Provate il ripristino, non solo il backup. Prove periodiche, a campione e complete, con tempi misurati. *Evidenza: verbale di prova con tempi.*
- Definite l'ordine di ripartenza. Quali sistemi tornano su per primi, in base ai servizi critici. *Evidenza: piano di ripristino.*
Come evitare che si ripeta
Calendario fisso delle prove di ripristino, e confronto tra tempi reali e tempi accettabili per ogni servizio critico. Se non tornano, si interviene su architettura o priorità.
Quando chiedere aiuto
Se i tempi di ripristino misurati superano quelli accettabili per il business, serve ripensare l'architettura con un esperto di continuità operativa.
Dal libro
«Un backup raggiungibile e cancellabile dall'attaccante è un backup che non c'è.»
— *NIS2. La carta che guida*, capitolo 8
Uno spunto in più
Scegliete un file a caso dalla cartella di un collega e provate a recuperarne la versione di tre mesi fa. Cronometrate. È il test più onesto che esista.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.