Il recupero da ransomware sta diventando più difficile, non più facile, e una nuova ricerca dell'agenzia di analisi Omdia indica un motivo sorprendentemente elementare: la maggior parte delle organizzazioni non dispone ancora di storage di backup che non possa essere genuinamente alterato o eliminato. Questa lacuna mina una delle ultime linee di difesa su cui le aziende fanno affidamento quando un attacco ha successo, ed è un promemoria che le strategie di protezione da ransomware basate su backup immutabili funzionano solo se l'immutabilità è reale.
Cosa ha realmente scoperto la ricerca di Omdia
I risultati di Omdia, riportati da SecurityBrief Asia, si concentrano su un'osservazione semplice ma preoccupante: la maggior parte delle organizzazioni non dispone di storage di backup realmente immutabile, ovvero dati che gli attaccanti non possano modificare, crittografare o eliminare una volta scritti. Senza questa protezione, il recupero da ransomware diventa significativamente più difficile, perché gli attaccanti che compromettono una rete spesso possono raggiungere anche i sistemi di backup, corrompendo o cancellando proprio quelle copie di cui un'azienda avrebbe bisogno per ripristinare le operazioni.
Questo è importante perché i backup sono diventati il piano di recupero predefinito per la maggior parte delle vittime di ransomware. Pagare un riscatto non garantisce il ripristino dei dati né è consigliabile da un punto di vista di sicurezza o legale, quindi un backup pulito e non alterato è spesso la differenza tra un recupero rapido e un'interruzione prolungata e costosa. La ricerca di Omdia suggerisce che troppe organizzazioni operano senza questa rete di sicurezza, anche se credono di averla.
Perché i backup "immutabili" non sono sempre immuni al ransomware
Il termine "immutabile" viene usato in modo approssimativo in tutto il settore del backup e dello storage, ed è parte del problema. Non tutti i prodotti o le configurazioni commercializzati come immutabili impediscono effettivamente l'eliminazione o la manomissione in tutte le circostanze. Configurazioni errate, policy di conservazione scadute, credenziali amministrative compromesse e lacune tra gli ambienti di backup e di produzione possono tutti creare aperture che gli attaccanti sfruttano, anche quando le funzionalità di immutabilità sono tecnicamente presenti.
Per un esame più approfondito di come queste lacune si verifichino nella pratica, inclusi i vettori d'attacco specifici che consentono agli operatori di ransomware di bypassare backup presumibilmente intoccabili, la nostra analisi approfondita sul perché i backup immutabili vengono ancora colpiti dal ransomware illustra i dettagli tecnici. La versione breve: l'immutabilità è un controllo, non una garanzia, e deve essere abbinata a una corretta configurazione, gestione degli accessi e isolamento per funzionare come previsto.
Il divario tra le dichiarazioni sui backup e la reale capacità di recupero
Uno dei risultati più importanti della ricerca di Omdia è la distanza tra ciò che le organizzazioni credono riguardo alla propria postura di backup e ciò che accade realmente durante un evento di recupero vero e proprio. Molte aziende presumono di avere backup immutabili semplicemente perché il marketing di un fornitore lo afferma, senza verificare che la configurazione sia applicata correttamente o che il recupero funzioni davvero end-to-end.
Questo è uno schema familiare nella sicurezza in generale. Crittografia, VPN, firewall e sistemi di backup offrono tutti una protezione reale, ma solo quando sono implementati correttamente e testati regolarmente. Un backup che non può essere ripristinato rapidamente, o che si rivela raggiungibile da un attaccante con credenziali elevate, offre poco più che una falsa fiducia. L'avvertimento di Omdia è essenzialmente che questa falsa fiducia è diffusa e sta peggiorando i risultati del recupero da ransomware a tutti i livelli.
Cosa significa per te
Se gestisci l'infrastruttura IT per un'azienda, questa ricerca è un invito a verificare effettivamente l'immutabilità dei tuoi backup invece di darla per scontata. Ciò significa controllare le impostazioni di blocco della conservazione, confermare che gli amministratori dei backup non abbiano la possibilità di sovrascrivere le regole di immutabilità e testare scenari di recupero completi, non solo verificare che i backup vengano completati con successo.
Per i singoli individui e le organizzazioni più piccole, la lezione si riduce facilmente: un password manager, una VPN o abitudini di crittografia solide sono elementi preziosi di una più ampia postura di sicurezza, ma nessuno di essi sostituisce la necessità di un backup genuinamente separato e resistente alla manomissione dei dati importanti. Il ransomware non prende di mira solo i sistemi di produzione; caccia attivamente i backup, quindi qualsiasi piano di recupero che presupponga che i backup saranno semplicemente lì quando serve è incompleto.
Azioni concrete
Le organizzazioni serie sulla protezione da ransomware con backup immutabili dovrebbero iniziare auditando l'infrastruttura di backup esistente per confermare che l'immutabilità sia effettivamente applicata, non solo pubblicizzata. Testare regolarmente i processi di recupero in condizioni realistiche, inclusi scenari in cui gli attaccanti hanno compromesso gli account amministrativi. Mantenere almeno una copia di backup isolata dalla rete principale, tramite air-gapping, storage offline o un ambiente cloud separato con controlli di accesso rigorosi. Infine, rivedere chi ha l'autorità per modificare le policy di conservazione o eliminare i dati di backup, poiché quel punto di accesso è spesso il primo che gli attaccanti prendono di mira.
La ricerca di Omdia è un utile punto di controllo per qualsiasi organizzazione che abbia trattato i backup come un problema risolto. La tecnologia per rendere i backup genuinamente immutabili esiste e funziona, ma solo quando viene configurata, monitorata e testata con lo stesso rigore applicato ad altri controlli di sicurezza critici.
