Il ransomware può infettare lo storage sul cloud?
Gli utenti e le organizzazioni spesso credono erroneamente che lo storage sul cloud pubblico sia molto affidabile e non possa essere danneggiato dal ransomware. La realtà è che lo storage sul cloud è affidabile grazie alla ridondanza dei dischi, alle connessioni di rete e alle misure di replica implementate dai provider cloud nei loro data center. Tuttavia, ciò non significa che i dati siano al sicuro e non possano essere danneggiati dal ransomware nel cloud. Questo post del blog spiega come il ransomware può attaccare i dati nel cloud e come prevenire la perdita di dati in questo caso. 
Il panorama in evoluzione della sicurezza cloud contro il ransomware
Purtroppo, il ransomware continua ad evolversi, diventando sempre più sofisticato e pericoloso. Anche gli attacchi informatici sono diventati più diffusi. Di conseguenza, le misure di sicurezza cloud devono evolversi per stare al passo con questa minaccia. I fornitori di sicurezza informatica e di backup stanno sviluppando soluzioni per aiutare gli utenti e le organizzazioni a proteggere i propri dati.Una delle tendenze più pericolose degli ultimi años è stata il ransomware as a service (RaaS). Cybercriminali esperti vendono kit ransomware pronti all’uso ad aggressori meno esperti, aumentando così il numero di attacchi ransomware. I ceppi di ransomware utilizzati in questo tipo di attacchi possono anche accedere alle reti locali delle organizzazioni e diffondersi negli ambienti cloud. Il ransomware cloud è un altro nuovo tipo di ransomware progettato per ottenere l’accesso ai dati nel cloud. È in grado di rubare dati e inviarli agli aggressori, oltre che di eseguire la crittografia. Questo tipo di ransomware può sfruttare le vulnerabilità degli ambienti cloud.
Come il ransomware prende di mira l’storage sul cloud
Il ransomware può prendere di mira l’storage sul cloud in diversi modi, tra cui lo sfruttamento delle vulnerabilità del software e l’inganno degli utenti. I provider cloud come Microsoft, Amazon e Google implementano sempre misure di sicurezza rigorose, ma gli aggressori possono sfruttare le vulnerabilità dal lato dell’utente, ovvero all’interno dell’infrastruttura locale di un’organizzazione.
- Sincronizzazione dei file . I servizi di storage sul cloud di solito consentono agli utenti di sincronizzare i file su un disco locale oltre che sull’storage sul cloud (ad esempio, Microsoft OneDrive, Google Drive, ecc.). Se il computer di un utente viene infettato da un ransomware, quest’ultimo crittografa i file sull’unità locale e poi i file danneggiati vengono sincronizzati con lo storage sul cloud. Di conseguenza, anche i file nel cloud pubblico vengono danneggiati.
- Credenziali utente compromesse . Gli aggressori utilizzano attacchi di phishing e brute force per compromettere le credenziali degli utenti e ottenere l’accesso ai file presenti sul computer dell’utente e su altri computer della rete. Dopo aver installato il ransomware, i file vengono crittografati e, di conseguenza, danneggiati. Con questo metodo, gli aggressori possono ottenere l’accesso all’account nel cloud e cancellare o danneggiare i dati.
- Sfruttamento delle API cloud . Le interfacce di programmazione delle applicazioni (API) sono fornite dai provider cloud per garantire maggiore comodità e la possibilità di sviluppare applicazioni di terze parti compatibili con i servizi cloud. Le API consentono alle applicazioni di automatizzare le attività quando si lavora con i servizi cloud. Gli aggressori possono sfruttare le vulnerabilità delle API o utilizzare chiavi API rubate per accedere allo storage sul cloud. Una volta ottenuto l’accesso, gli aggressori possono distribuire ransomware per danneggiare ed eliminare i file. Pertanto, le vulnerabilità delle API potrebbero consentire al ransomware di aggirare i normali controlli di sicurezza, dando agli aggressori accesso diretto ai dati archiviati sul cloud.
- Cartelle condivise e strumenti di collaborazione . Le cartelle condivise vengono utilizzate principalmente per scopi di collaborazione all’interno delle organizzazioni. Se un dispositivo o un account viene compromesso, il ransomware può essere caricato nelle cartelle condivise. Poiché altri utenti possono accedere a questi file condivisi, il ransomware può diffondersi rapidamente all’interno dell’organizzazione. Gli strumenti di collaborazione basati sul cloud come Microsoft Teams o Google Workspace possono amplificare la diffusione del ransomware se i file condivisi vengono infettati.
- Controlli di accesso deboli . Senza un criterio di sicurezza robusto, gli aggressori possono sfruttare le autorizzazioni configurate in modo errato. Se gli utenti dispongono di autorizzazioni di scrittura non necessarie o di accesso amministrativo allo storage sul cloud, il ransomware può acquisire questo accesso per crittografare e distruggere i file.
Protezione dello storage sul cloud dal ransomware
La protezione dello storage sul cloud dal ransomware richiede una combinazione di approcci, tra cui misure preventive, controlli di accesso e strategie di ripristino dei dati. Sebbene i fornitori di servizi cloud garantiscano un elevato livello di sicurezza, essi sono responsabili solo dell’infrastruttura cloud sottostante. Le organizzazioni che utilizzano tali risorse per archiviare i propri dati sono responsabili della protezione dei dati e delle misure correlate per evitare la perdita di dati da parte loro. Si tratta di un modello di responsabilità condivisa che fa parte del contratto di licenza con l’utente finale della maggior parte dei fornitori di servizi cloud. Di seguito sono riportate le principali misure di protezione dai ransomware a disposizione delle organizzazioni:
- Abilita il controllo delle versioni per i file sul cloud . Il controllo delle versioni dei file consente di ripristinare versioni precedenti non infette dei file se le versioni più recenti sono state crittografate o danneggiate dal ransomware. È possibile configurare questa funzione per conservare più versioni di ciascun file nell’archivio sul cloud. I principali provider di storage sul cloud, come Microsoft OneDrive e Google Drive, offrono il controllo delle versioni dei file.
- Abilita la crittografia dei dati . Una crittografia forte impedisce agli aggressori di accedere o manipolare facilmente i file sensibili se ottengono l’accesso al tuo storage sul cloud. Abilita la crittografia in transito e a riposo quando possibile per garantire un elevato livello di sicurezza. I dati crittografati sono accessibili solo agli utenti autorizzati che dispongono di una chiave o di una password. Di solito, ci sono opzioni per utilizzare la crittografia integrata nel servizio o applicare la crittografia lato client. Si noti che il ransomware può crittografare i file crittografati, ma gli aggressori non possono leggere i file crittografati senza la chiave.
- Configurare attentamente le autorizzazioni degli utenti . Utilizzare il principio del privilegio minimo quando si configurano le autorizzazioni di accesso. Per gli aggressori è sempre più facile avviare un attacco ransomware infettando un utente normale, piuttosto che un amministratore di sistema. Quando gli utenti dispongono solo delle autorizzazioni amministrative e di scrittura necessarie, è più difficile per il ransomware diffondersi nella rete e infettare altre risorse.
- Implementare il rilevamento avanzato delle minacce . Installare un software antivirus sui computer degli utenti finali per rilevare e rimuovere il ransomware se tenta di infettarli. Se un computer non è infettato dal ransomware, non sarà in grado di effettuare la crittografia dei file sincronizzati con lo storage sul cloud.
- Monitoraggio . Utilizzare sistemi di monitoraggio con avvisi e notifiche automatici per rilevare rapidamente comportamenti sospetti, che possono essere un segno di attività ransomware. Le modifiche di file in blocco, la condivisione di massa e i tentativi di accesso da ubicazioni sconosciute devono essere considerati attività sospette. Quando il ransomware viene rilevato tempestivamente, è più facile fermare l’attacco ed evitare risultati distruttivi.
- Isolare l’storage sul cloud . Evitare di configurare la sincronizzazione dei file dai dischi locali con l’storage sul cloud. Ciò può ridurre il rischio di danneggiamento dei file archiviati nel cloud se il computer di un utente locale viene infettato da ransomware.
- Disabilitare la condivisione file da origini non attendibili . Limitare la condivisione dei file con utenti esterni per ridurre al minimo il rischio di infezione da ransomware tramite documenti condivisi. Le macro nei documenti Microsoft Office sono un mezzo comune per infettare il computer di un utente. Stabilisci criteri rigorosi su chi può condividere i file e con chi, e controlla regolarmente le cartelle condivise per assicurarti che gli utenti non autorizzati non abbiano accesso.
- Educa gli utenti . Educa continuamente gli utenti e conduci corsi di formazione sulla sicurezza. Quando gli utenti comprendono almeno i principi fondamentali degli attacchi ransomware e sanno cosa fare se rilevano segnali sospetti, il rischio di infezione da ransomware si riduce. Gli attacchi di phishing che infettano i computer degli utenti sono un modo comune per diffondere il ransomware nell’infrastruttura dell’organizzazione. Gli utenti dovrebbero essere in grado di riconoscere le e-mail di phishing e i link sospetti e segnalare agli amministratori di sistema se vi sono segni di un potenziale attacco informatico.
- Eseguire regolarmente il backup dei dati . Avere un backup consente di ripristinare i dati se quelli originali sono andati persi dopo un attacco ransomware. Configurare backup automatici periodici e impostare i criteri di pianificazione e conservazione obbligatori per garantire il ripristino dei dati per periodi diversi. Eseguire il backup dei dati locali e dei dati archiviati sul cloud.
- Abilitare i backup immutabili . Se il ransomware può accedere all’archivio di backup, i backup vengono danneggiati e diventano inutilizzabili. I backup immutabili utilizzano il principio WORM (write-once-read-many, scrittura singola e lettura multipla). Una volta scritto, il backup immutabile non può essere modificato fino alla scadenza del periodo di immutabilità. Oltre ai backup immutabili, è possibile utilizzare archivi con protezione air-gap, come nastri o dischi rigidi che vengono scollegati dopo la scrittura dei dati di backup. Anche i backup con protezione air-gap sono resistenti al ransomware, poiché quest’ultimo non può accedervi fisicamente.
- Condurre una formazione sul ripristino di emergenza . È importante essere pronti per gli attacchi ransomware e testare i backup. Ogni dipendente dovrebbe sapere cosa fare se viene rilevato un attacco ransomware: come fermare l’infezione e la crittografia dei file. Quando un attacco ransomware viene fermato e rimosso, è importante chiudere le falle utilizzate dal ransomware e ripristinare i dati. Quando gli scenari di ripristino dei dati sono ben testati, è possibile ripristinare i dati in modo semplice e rapido.
Garantire la conformità e la sicurezza con NAKIVO
NAKIVO Backup & Replication è una soluzione di protezione dei dati che consente di eseguire il backup e il ripristino dei dati in caso di attacco ransomware. La soluzione NAKIVO offre un’ampia gamma di funzionalità, tra cui alcune particolarmente utili per proteggere i dati e i backup dal ransomware.
- Backup dei dati nel cloud . Backup di VMware vSphere, Proxmox VE, Hyper-V, Nutanix AHV, workstation/server Windows e Linux, Amazon EC2 e Microsoft 365, inclusi Exchange Online, OneDrive for Business, SharePoint Online e Microsoft Teams.
- Archiviazione dei backup su diversi tipi di storage . È possibile archiviare i backup nel cloud e su storage locale. Sono supportati Amazon EC2, Amazon S3, storage compatibile con S3, Archiviazione BLOB di Azure, BackBlaze B2 e altre piattaforme di storage cloud. Per quanto riguarda lo storage locale, è possibile archiviare i backup su repository di backup locali su macchine Linux e Windows, dispositivi NAS e supporti a nastro. La disconnessione dei supporti di backup e la protezione con protezione air-gap proteggono dal ransomware.
- Backup immutabile . I repository di backup collegati a un Linux Transporter supportano l’immutabilità dei backup. I backup immutabili possono essere scritti una sola volta e non possono essere modificati durante il periodo definito. Anche gli archivi di backup in Amazon S3 supportano i backup immutabili e garantiscono la protezione dai ransomware nel cloud.
- Impostazioni di pianificazione e conservazione . NAKIVO Backup & Replication offre impostazioni avanzate di pianificazione e conservazione . È possibile pianificare l’esecuzione automatica dei lavori di backup in qualsiasi momento, periodicamente o dopo un altro lavoro. Le impostazioni di conservazione flessibili consentono di implementare politiche di conservazione complesse per recuperare i dati da punti di ripristino recenti o vecchi. È possibile utilizzare lo schema grandfather-father-son (GFS) o altre politiche di conservazione più complesse, che aiutano anche a soddisfare i requisiti di conformità.
- Funzionalità di ripristino di emergenza . È possibile utilizzare la funzione Ripristino dell’ambiente per creare flussi di lavoro di ripristino di emergenza ed eseguire test di ripristino di emergenza. Questo approccio consente di prepararsi a possibili guasti in modo da poter ripristinare i dati in modo fluido e rapido nel cloud e on-premise.
- Ripristino granulare . Se i dati sono stati infettati da ransomware e occorre ripristinare solo file e oggetti specifici, è possibile farlo rapidamente con la funzione di ripristino granulare. È possibile recuperare file e cartelle specifici da macchine virtuali VMware vSphere, macchine virtuali Microsoft Hyper-V, macchine fisiche Linux/Windows e backup di Amazon EC2, nonché recuperare file Microsoft OneDrive specifici, e-mail Exchange, siti SharePoint, oggetti Microsoft Teams, ecc.
- Controllo degli accessi basato sui ruoli (RBAC) . È possibile configurare account utente, ruoli e autorizzazioni in NAKIVO Backup & Replication per le operazioni di backup e ripristino. La configurazione delle autorizzazioni corrette utilizzando più livelli di accesso limita l’accesso non autorizzato. La modalità multi-tenancy è utile per le grandi organizzazioni e gli MSP interessati alla protezione dai ransomware nel cloud.
- Crittografia dei backup . La crittografia dei dati di backup li protegge dal furto da parte dei criminali informatici nel caso in cui i server di backup vengano infettati dal ransomware. Si consiglia di utilizzare copie di backup e di seguire la regola di backup 3-2-1 con NAKIVO Backup & Replication per evitare il danneggiamento del backup da parte del ransomware. È possibile abilitare la crittografia dei backup lato sorgente , la crittografia di rete e la crittografia dei backup inattivo (a livello di repository).
- Scansione antimalware per i backup . È importante assicurarsi che i dati di backup non contengano virus e ransomware. Nel caso in cui si ripristinino file contenenti virus e ransomware, l’infezione secondaria può danneggiare i dati dopo il ripristino. La soluzione NAKIVO supporta l’integrazione con diversi software antivirus per eseguire la scansione dei backup e verificare che siano privi di virus.
Conclusione
La protezione dei dati cloud dal ransomware richiede l’applicazione di una serie di misure preventive e l’esecuzione di backup regolari dei dati. I dati archiviati nel storage sul cloud possono essere infettati dal ransomware in diversi modi. È importante proteggere i backup archiviati nel cloud e on-premise dal ransomware, poiché quest’ultimo può attaccare i file di backup. NAKIVO Backup & Replication può proteggere i vostri dati nel cloud e on-premise con funzionalità avanzate di backup e ripristino. 
