Il recupero dal ransomware dipende dalla conservazione dei backup e dall'accesso al ripristino
La maggior parte dei team IT si sente pronta per un attacco ransomware, ma un sondaggio di Veeam mostra un netto divario tra fiducia e recupero. In uno studio su oltre 900 leader senior IT, della sicurezza e del rischio, il 90% ha dichiarato di essere fiducioso di poter recuperare da un incidente informatico. Eppure, tra le organizzazioni effettivamente colpite da ransomware che ha compromesso operazioni o dati, solo il 28% si è ripreso completamente, e il 44% ha recuperato meno di tre quarti di ciò che ha perso. Il ransomware è un software dannoso che blocca o crittografa i file e richiede un pagamento per sbloccarli. La vera debolezza, secondo una recente analisi del fornitore di backup Backblaze, non è il piano di risposta agli incidenti sulla carta, ma se il backup del computer stesso è stato costruito per sopravvivere a un attacco.
I gruppi ransomware sanno che i backup sono la via d'uscita della vittima, quindi prendono di mira direttamente i repository di backup. I repository di backup sono i luoghi di archiviazione in cui risiedono le copie di backup. La ricerca sulla protezione dei dati di Veeam ha rilevato che il 96% degli attacchi ransomware prende di mira specificamente questi repository, e la maggior parte di questi tentativi ha successo. Se un utente malintenzionato può eliminare la cronologia dei backup o abbreviare il tempo di conservazione dei file, il backup smette di essere un piano di ripristino e diventa un secondo bersaglio. Ecco perché la conservazione dei file eliminati e le autorizzazioni di ripristino contano più di quasi ogni altra cosa. La conservazione dei file eliminati indica per quanto tempo un servizio di backup conserva i file dopo che sono stati rimossi dal dispositivo. Il prodotto Computer Backup di Backblaze mantiene un anno intero di cronologia delle versioni e di conservazione dei file eliminati, e le autorizzazioni di ripristino ed eliminazione sono centralizzate nell'IT, non aperte a livello di dispositivo per chiunque possa toccarle. Anche alcuni strumenti legacy di backup degli endpoint offrono una lunga conservazione, ma la vera prova è quanto bene ripristinano sotto pressione.
La cronologia delle versioni è dove avviene il vero lavoro. Il ransomware non sempre si annuncia subito. Alcuni ceppi restano silenziosi su una rete per settimane, copiando e crittografando lentamente, prima che qualcuno se ne accorga. Quando un'infezione viene rilevata, il backup più recente potrebbe già contenere file crittografati. Se un backup conserva solo pochi giorni di cronologia, e il malware è in esecuzione da due settimane, non c'è una versione pulita da ripristinare, solo una copia leggermente più recente dello stesso problema. Questa è una lacuna comune con gli strumenti di sincronizzazione cloud su cui molte aziende fanno affidamento invece di un vero backup. Gli strumenti di sincronizzazione copiano i file tra dispositivi ma di solito mantengono una cronologia delle versioni limitata che varia in base al piano, il che può andare bene per annullare una modifica accidentale ma non per il recupero da ransomware. Un direttore IT ha fornito un confronto diretto: un anno intero di cronologia delle versioni contro il massimo di tre giorni di un precedente fornitore. La conservazione extra è ciò che consente effettivamente a un'organizzazione di tornare abbastanza indietro da trovare una versione che valga la pena ripristinare. Le finestre di conservazione brevi a volte vengono vendute come un modo per contenere i costi di archiviazione, ma in pratica sono una delle ragioni più comuni per cui il recupero fallisce.
Un incidente ransomware spesso innesca più di una risposta tecnica: richieste di risarcimento assicurative, questioni normative, a volte contenziosi. Tutto ciò richiede di preservare i dati esattamente com'erano, separatamente dalle normali regole di conservazione dei backup. Ecco a cosa serve il blocco legale. Il blocco legale è un'impostazione che preserva i dati di backup di un dispositivo oltre la finestra di conservazione standard. È una funzione diversa dalla cronologia delle versioni. La cronologia delle versioni consente a un'organizzazione di tornare indietro nel tempo; il blocco legale congela un punto specifico e lo mantiene lì. Backblaze offre il blocco legale con Computer Backup con Enterprise Controls. L'errore comune è che IT e legale non discutono mai del blocco legale fino a metà di un incidente reale, quando stanno improvvisando un processo che avrebbe dovuto essere deciso in anticipo. Le decisioni su quando attivare un blocco, e chi nell'IT e nel legale prende quella decisione, devono essere prese prima di un attacco.
Una politica di backup a livello aziendale è una cosa; ripristinare 40, 100 o 300 laptop individuali senza che l'intero team IT lasci perdere tutto il resto è un problema diverso. Molti piani di ripristino falliscono perché sono scritti a livello di policy e mai testati a livello di dispositivo. Prima di un incidente, i team dovrebbero rispondere ad alcune domande pratiche: Puoi ripristinare un singolo file senza scaricare un'intera immagine del dispositivo? Puoi ripristinare un intero dispositivo su una nuova macchina se l'originale è inutilizzabile? Chi ha il permesso di approvare ed eseguire un ripristino, e quell'elenco è accurato in questo momento? Per una situazione di ripristino di massa su decine di dispositivi, il fornitore offre qualche opzione oltre al ripristino di una macchina alla volta, come un'unità fisica spedita con i dati precaricati? Questi non sono casi limite; sono i meccanismi reali del recupero. Un ripristino di un singolo file dipende dal fatto che la cronologia delle versioni vada abbastanza indietro da trovare una copia pulita. Un ripristino di un singolo dispositivo dipende dalla dimensione dei dati, dalla larghezza di banda e dal fatto che l'accesso al ripristino sia risolto. Un ripristino completo della flotta di decine o centinaia di dispositivi è dove le cose rallentano. Il ripristino macchina per macchina può richiedere giorni, e alcuni fornitori, incluso Backblaze, possono spedire un'unità fisica precaricata con i dati per ridurre significativamente i tempi. Solo il 9% dei team IT descrive il ripristino da backup come "molto facile", secondo il State of the Backup Report di Backblaze. La maggior parte delle persone scopre quanto sia difficile il ripristino proprio nel momento in cui ne ha bisogno.
Un vero piano di recupero ha bisogno di un test sotto pressione. L'analisi raccomanda di simulare un ripristino sulla carta, dall'inizio alla fine, per un laptop reale. Nominare il dispositivo, la persona che approva il ripristino, la persona che lo esegue e dove vanno i dati. Scrivere ogni passaggio e dove potrebbe bloccarsi. L'elenco delle funzionalità di un fornitore può dirti se la cronologia delle versioni, la conservazione dei file eliminati, il blocco legale e il ripristino a livello di endpoint sono tecnicamente disponibili. Non può dirti se il tuo team sa come usarli sotto pressione. Simulare i passaggi e testare con il team del fornitore in una prova di concetto è il modo in cui si trovano le lacune. Backblaze Computer Backup con Enterprise Control è costruito attorno a queste lacune specifiche: un anno intero di cronologia delle versioni e conservazione dei file eliminati, blocco legale per preservare i dati oltre la conservazione standard e ripristini gestiti dall'IT dalla console di amministrazione. È nativo per Mac e Windows e si distribuisce tramite Jamf, Iru (ex Kandji) e Addigy. Il prezzo è fisso per dispositivo senza sorprese per GB. Niente di tutto ciò sostituisce le buone pratiche di sicurezza, ma contribuisce notevolmente a decidere se il ransomware si trasforma in una brutta settimana o in un brutto anno. Per le organizzazioni che desiderano applicare queste lezioni su qualsiasi infrastruttura, il cloud gestito e l'infrastruttura dati di AEU Data offrono backup automatizzati, archiviazione crittografata e monitoraggio che aiutano a mantenere le copie di ripristino durevoli e sotto controllo centrale.