Come il ransomware prende di mira i backup di destinazione e come proteggerli
Un tempo considerati la soluzione definitiva contro i guasti, i sistemi di backup sono ora un obiettivo di grande valore per i criminali informatici. Compromettere i backup nega alle organizzazioni la loro migliore opzione di ripristino, costringendo molte di esse a prendere in considerazione il pagamento del riscatto. Questo post spiega perché i backup sono l’obiettivo principale dei ransomware e offre strategie concrete per difenderli. 
Perché i backup sono l’obiettivo principale dei ransomware
I moderni schemi ransomware vanno oltre la crittografia dei sistemi primari. Gli aggressori cercano attivamente e compromettono i repository di backup, lasciando le vittime senza opzioni di ripristino. Disabilitare o danneggiare i backup costringe le organizzazioni in una posizione difficile: pagare il riscatto o perdere dati critici.I backup sono presi di mira perché rappresentano la differenza tra il ripristino di un’organizzazione e il suo collasso operativo. Gli aggressori sanno che molte aziende fanno grande affidamento sui backup per evitare di pagare il riscatto, rendendoli una vulnerabilità che può essere sfruttata per ottenere un guadagno finanziario.
Le conseguenze dei backup compromessi
Gli effetti a catena dei backup compromessi vanno ben oltre il ripristino tecnico.
- Perdita permanente dei dati. Senza backup recuperabili, le organizzazioni rischiano di perdere proprietà intellettuali cruciali, registrazioni dei clienti e dati operativi. Ad esempio, le aziende che fanno affidamento su configurazioni software o set di dataset unici possono subire danni irreparabili se i backup vengono crittografati o distrutti. Ricreare questi dati è spesso impossibile o proibitivo dal punto di vista economico.
- Tempi di inattività prolungati. I tempi di inattività interrompono le operazioni, infastidiscono i clienti e danneggiano la fiducia. Per qualsiasi azienda, la perdita dell’accesso ai backup potrebbe comportare interruzioni prolungate del servizio, perdite finanziarie e un danno alla reputazione. In settori critici come quello sanitario, i ritardi possono persino mettere a rischio la vita delle persone.
- Pagamento dei riscatti. Le richieste di riscatto sono aumentate, con una media superiore a 5 milioni di dollari nel 2024. Messa alle strette dalla mancanza di opzioni di ripristino praticabili, molte organizzazioni cedono a queste richieste. Il pagamento di un riscatto non solo finanzia ulteriori attività criminali, ma non fornisce alcuna garanzia che gli aggressori ripristineranno i dati crittografati o non colpiranno di nuovo.
Questi effetti a cascata sottolineano la necessità di solide strategie di backup che vadano oltre la semplice archiviazione dei dati per garantirne l’accessibilità e l’integrità in caso di disastro.
Sfruttare le debolezze dei backup
I criminali informatici sono esperti nel trovare e sfruttare i punti deboli dei piani di backup. Alcune vulnerabilità comuni includono:
- Segmentazione di rete debole. I backup archiviati sulla stessa rete dei sistemi di produzione sono altamente vulnerabili. Questa configurazione consente al ransomware di diffondersi facilmente e di corrompere i backup insieme ai dati operativi.
- Misure di sicurezza obsolete. Gli aggressori sfruttano spesso software non aggiornati, hardware obsoleto e controlli di accesso poco rigorosi, che aprono la porta ad accessi non autorizzati.
- Errore umano. Configurazioni errate, aggiornamenti trascurati e scarsa supervisione creano opportunità di sfruttamento. Ad esempio, la mancata attività di monitoraggio dei registri di backup o l’applicazione di criteri di password inadeguati possono esporre i sistemi a rischi.
Oltre alle vulnerabilità tecniche, anche le lacune procedurali possono rappresentare un rischio. Pianificazioni di backup incoerenti o l’affidamento a soluzioni di storage legacy aumentano la probabilità che i backup diventino inutili durante un attacco.
Principali minacce ai sistemi di backup negli attacchi ransomware
Attacchi ai backup on-premise
I backup on-premise sono spesso strettamente integrati con le reti operative. Sebbene questa configurazione semplifichi i processi, rende anche i backup vulnerabili agli attacchi laterali. Una volta che il ransomware si è infiltrato nella rete, può diffondersi ai sistemi di storage condivisi, danneggiando o cancellando i backup. Gli aggressori sfruttano la dipendenza dall’infrastruttura locale, sapendo che la maggior parte delle organizzazioni non isola adeguatamente i propri backup. Un server di backup compromesso potrebbe significare la perdita di mesi o addirittura anni di dati critici.
Ransomware nel cloud
La crescente adozione di soluzioni cloud ha creato un falso senso di sicurezza per molte organizzazioni. Sebbene il cloud fornisca ridondanza offsite, gli aggressori hanno adattato i loro metodi per prendere di mira specificamente questi ambienti e stanno ampiamente sfruttando l’automazione e la sincronizzazione per ampliare la loro portata. Ecco alcuni metodi per compromettere i dati archiviati nel cloud:
- Furto di credenziali. I dettagli di accesso rubati consentono l’accesso non autorizzato ai sistemi cloud.
- Sincronizzazione dannosa. I file locali infetti possono sovrascrivere i backup cloud puliti durante la sincronizzazione automatica.
- Sfruttamento delle API. Le vulnerabilità nelle interfacce dei servizi cloud consentono agli aggressori di modificare o eliminare i dati di backup.
Come rafforzare i sistemi di backup contro il ransomware
I backup anti-ransomware richiedono un approccio completo e multilivello. Ecco le procedure consigliate da prendere in considerazione:
Immutabilità, protezione air-gap e controllo delle versioni
- Immutabilità. Utilizzare un archivio di backup che impedisca modifiche o cancellazioni per un periodo di conservazione specificato. I backup immutabili garantiscono l’integrità dei dati e spesso rappresentano l’ultima linea di difesa contro il ransomware.
- Con protezione air-gap. Separare fisicamente o logicamente i backup dagli ambienti di produzione per bloccare gli accessi non autorizzati. Ciò può comportare l’uso di unità a nastro o server isolati dedicati.
- Controllo delle versioni. Mantenere più versioni dei backup per garantire la disponibilità di copie pulite, anche se le versioni recenti sono compromesse. Rivedere e archiviare regolarmente le versioni precedenti per proteggersi dai ritardi nel rilevamento dei ransomware.
Crittografia dei backup e autenticazione
- Crittografia. Proteggere i dati di backup in tutte le fasi per impedire accessi non autorizzati.
- Autenticazione forte. Implementare l’autenticazione a più fattori (MFA) e il Controllo degli accessi basato sui ruoli (RBAC) per limitare chi può interagire con i sistemi di backup. Le misure di autenticazione sono fondamentali per prevenire attacchi di forza bruta agli ambienti di backup.
Diversificazione delle ubicazioni di backup
Per evitare un singolo punto di errore, distribuisci i backup su più ambienti: on-premise, offsite e nel cloud. Questo approccio aumenta la ridondanza e garantisce la continuità operativa. È inoltre consigliabile distribuire i backup in diverse ubicazioni geografiche per ridurre al minimo l’impatto di attacchi informatici localizzati o disastri naturali.
Test regolari dei backup
Test frequenti convalidano l’integrità dei backup e garantiscono che i processi di ripristino funzionino come previsto. Affrontare le vulnerabilità scoperte durante i test può mitigare i rischi futuri. Le esercitazioni di simulazione che prevedono scenari di ransomware possono anche preparare le organizzazioni a scenari reali.
Automazione dei processi di backup
L’automazione dei backup riduce al minimo gli errori umani e garantisce la coerenza. Oltre alla pianificazione e all’esecuzione, i moderni sistemi di backup integrano ora la scansione antivirus e il rilevamento delle minacce direttamente nel flusso di lavoro di backup. Eseguendo la scansione dei dati alla ricerca di firme di malware e ransomware prima del ripristino, queste soluzioni aiutano a evitare che i file infetti vengano conservati nei set di backup. Le soluzioni avanzate possono anche rilevare anomalie, segnalando modelli insoliti o modifiche sospette ai file come avvertenze precoci di potenziali minacce ransomware. L’automazione consente inoltre un ripristino più rapido e pulito, un fattore cruciale per ridurre al minimo i tempi di inattività e i danni durante un incidente ransomware.
Costruire una cultura della resilienza informatica
Proteggere i backup dal ransomware non è solo una sfida tecnica, poiché richiede anche un cambiamento nella mentalità organizzativa. La formazione sulla sicurezza informatica, gli audit regolari e una comunicazione chiara tra i reparti sono tutti elementi cruciali. Tutti devono conoscere il proprio ruolo nel mantenere al sicuro i dati critici. Quando si implementano strategie di protezione dei backup nei piani generali di continuità operativa, si crea una rete di sicurezza che rende possibile il ripristino, anche in situazioni difficili.
Come NAKIVO può aiutare a proteggere i backup dal ransomware
NAKIVO Backup & Replication offre un approccio multiforme alla resilienza al ransomware, combinando tecnologia avanzata e flessibilità per proteggere i dati in ambienti diversi. Di seguito sono riportate alcune delle sue funzionalità principali:
- Backup immutabile. Sfrutta la tecnologia WORM (Write Once, Read Many) per creare backup che non possono essere modificati o eliminati per un periodo predefinito. Questi backup immutabili sono disponibili sia per ambienti locali che cloud, tra cui Amazon S3, BLOB di Azure e Wasabi Hot Cloud.
- Repository di backup rinforzato. I repository di backup rinforzati basati su Linux di NAKIVO forniscono un ulteriore livello di protezione limitando anche l’accesso a livello di root per modificare o eliminare i backup. Ciò garantisce che i dati critici rimangano al sicuro da modifiche non autorizzate.
- Rilevamento del ransomware. Utilizza algoritmi di rilevamento delle anomalie che effettuano il monitoraggio dell’attività di backup e segnalano comportamenti insoliti indicativi di attacchi ransomware. Il rilevamento precoce consente un rapido isolamento dei sistemi interessati.
- Soluzioni con protezione air-gap. Archivia i backup su supporti con protezione air-gap, come unità a nastro o dispositivi NAS rimovibili, per garantire la separazione fisica dalle reti operative e ridurre l’esposizione al ransomware.
- Integrazione del backup con il cloud. NAKIVO supporta la ridondanza cloud con integrazioni perfette con piattaforme di archiviazione compatibili con S3. Funzionalità come Object Lock migliorano ulteriormente la protezione garantendo che i backup rimangano immutabili.
- Gestione efficiente dello storage. La deduplicazione e la compressione integrate ottimizzano l’utilizzo dello storage, riducendo i costi senza compromettere la sicurezza. Ciò è particolarmente vantaggioso per le grandi aziende che gestiscono set di dati di grandi dimensioni.
- Opzioni di ripristino rapido. La funzione di ripristino istantaneo di NAKIVO garantisce tempi di inattività minimi, consentendo alle aziende di ripristinare interi sistemi o singoli file in pochi minuti.
- Repository federati per la scalabilità. Il sistema di repository federati di NAKIVO consente alle organizzazioni di scalare senza soluzione di continuità i propri ambienti di backup consolidando più repository in un pool unificato. Ciò facilita un’allocazione efficiente delle risorse e processi di backup ininterrotti.
- Supporto per ambienti multipiattaforma. NAKIVO supporta piattaforme virtuali, NAS fisiche, SaaS e cloud, tra cui VMware, Hyper-V, Proxmox VE, Nutanix AHV e Oracle Database. Le sue capacità multipiattaforma garantiscono una protezione completa su diverse infrastrutture IT.
Queste funzioni di NAKIVO Backup & Replication assicurano che le aziende di tutte le dimensioni possano beneficiare di soluzioni di backup veloci, sicure ed economiche.
Conclusione
L’ultima destinazione del ransomware sono i sistemi di backup di sistema, il che rappresenta un importante campanello d’allarme. Le aziende che prendono sul serio la sicurezza non si limitano a proteggere i propri dati, ma costruiscono anche un rapporto di fiducia con i clienti e gli stakeholder. Garantire la resilienza al ransomware può essere una risorsa importante per la vostra organizzazione. L’utilizzo di una soluzione dedicata alla protezione dei dati come NAKIVO Backup & Replication può ridurre al minimo la minaccia del ransomware per le aziende di tutti i settori.
