Lunedì mattina, ore otto. I file del server hanno un’estensione mai vista e sul desktop c’è un messaggio con un indirizzo bitcoin. Nessun problema, pensi: ci sono i backup. Apri il NAS e scopri che anche lì è tutto cifrato.
È uno schema ormai frequente. Prima di colpire, gli attaccanti esplorano la rete, cercano le copie di sicurezza e le cancellano o le cifrano. La richiesta di riscatto arriva solo quando non resta niente da ripristinare.
La difesa di base ha un nome semplice: regola 3-2-1. Tre copie dei dati, cioè l’originale più due backup. Due supporti diversi, per esempio un NAS e un disco esterno o un nastro, così un guasto non li colpisce entrambi. Una copia fuori sede, in un’altra sede o nel cloud, al riparo da incendi, furti e allagamenti.
Il backup sempre collegato è un bersaglio
Un NAS montato come unità di rete sul server, gestito con le stesse credenziali di amministratore del dominio, per il ransomware è una cartella come le altre. Per questo alla regola classica conviene aggiungere una condizione: almeno una copia deve essere offline o immutabile. Offline vuol dire un disco o un nastro scollegato dopo il backup e conservato altrove. Immutabile vuol dire uno storage che impedisce di modificare o cancellare i dati per un periodo stabilito, come gli snapshot protetti di molti NAS o l’object storage con blocco degli oggetti.
In entrambi i casi il sistema di backup deve avere account propri, separati dal dominio. Se l’attaccante ruba la password dell’amministratore, non deve poter arrivare anche alle copie.
Il giorno del ripristino non è il momento delle sorprese
Molte aziende scoprono durante l’emergenza che i job fallivano da mesi, che un database non era mai stato incluso o che il ripristino completo richiede giorni. Decidi prima quanto tempo puoi restare fermo (RTO) e quanti dati puoi permetterti di perdere (RPO), poi controlla che i backup reggano quei numeri. Imposta avvisi automatici per i job falliti, e leggili.
Infine fissa in calendario un ripristino completo ogni tre mesi e cronometralo. Se non l’hai mai fatto, il primo ti dirà sullo stato dei tuoi backup più di qualsiasi rapporto.
