Quando gli hacker attaccano, la velocità non è tutto. Il ripristino rapido dei dati compromessi non fa altro che reintrodurre la minaccia, creando un circolo vizioso di infezioni e reinfezioni.
Recentemente ho scritto un white paper insieme ai miei colleghi diKyndrylintitolato “Ridefinire il Cyber Recovery: introduzione del Mean Time to Clean Recovery (MTCR)“in cui abbiamo presentato un cambiamento fondamentale: misurare la velocità con cui è possibile ripristinare dati puliti e verificati anziché qualsiasi backup disponibile. Ecco i cinque passaggi fondamentali che determinano l’MTCR della tua organizzazione:
-
Creare un ambiente pulito in cui poter ripristinare i dati.
Il problema: il ripristino di un’infrastruttura infetta causerà semplicemente una nuova infezione dei sistemi ripristinati. La soluzione: ambienti di ripristino isolati (IRE) o camere bianche – infrastrutture di elaborazione e archiviazione separate fisicamente o virtualmente dagli ambienti di produzione, alle quali gli aggressori non hanno mai avuto accesso.
La realtà dei fatti: senza un IRE, i moderni team forensi impiegano dalle 24 alle 72 ore per certificare come “puliti” ambienti ibridi complessi. Il vostro MTCR viene automaticamente misurato in giorni, non in ore.
-
Trova dati integri da cui eseguire il ripristino.
La minaccia nascosta: gli hacker moderni operano in modo furtivo per settimane prima di sferrare gli attacchi, disseminando payload dannosi in tutto l’ambiente, compresi i sistemi di backup. La svolta: la scansione automatizzata degli indicatori di compromissione può aiutare a identificare set di backup integri senza dover ricorrere al ciclo di tentativi ed errori che consiste nel testare ogni backup fino a trovare quello che funziona.
Collaborazione richiesta: questa fase richiede una stretta integrazione tra i team SysOps (che gestiscono i backup) e i team SecOps (che analizzano le minacce attuali). L’analisi forense rivela le firme degli attacchi che devono essere inserite nel processo di scansione.
-
Recuperare i dati in tempi ragionevoli.
La scomoda verità: le soluzioni di backup aziendali spesso offrono tempi di ripristino pari a “oltre 10 ore per terabyte”. Se si applica questo dato ai tipici servizi aziendali che richiedono centinaia di terabyte, si ottengono tempi di ripristino dell’ordine di settimane. La realtà: la maggior parte delle infrastrutture di backup è stata progettata per backup incrementali notturni (5% di modifica dei dati), non per il ripristino completo dell’attività (recupero al 100%).
La soluzione: soluzioni di cyber-resilienza appositamente progettate con capacità di ripristino ad alte prestazioni, combinate con la priorità data alla Minimum Viable Company (MVC), concentrandosi sul 20% dei servizi critici che consentono l’80% delle funzioni aziendali.
-
Mantenere l’integrità dei dati su tutta la piattaforma.
La sfida: i sistemi aziendali non operano in modo isolato. Durante il ripristino, i sistemi ripristinati da backup effettuati in momenti diversi creano notti insonni in termini di integrità dei dati. Esempio di scenario:
- Database clienti: backup martedì alle 3 del mattino
- Sistema di fatturazione: backup lunedì alle 23:00
- Sistema di inventario: backup il mercoledì alle 6 del mattino
Risultato: ordini per clienti inesistenti, fatture per prodotti non presenti in magazzino. Il processo: sequenziamento del ripristino basato sulle dipendenze, riconciliazione dei dati tra i sistemi integrati e controlli di coerenza completi prima del ritorno in produzione.
-
Test prima della ripresa della produzione.
La trappola della fretta: sotto pressione, i team IT spesso ripristinano il funzionamento dei sistemi senza effettuare test completi, causando un funzionamento parziale dei sistemi o la reintroduzione di residui dell’attacco.
Convalida completa:
- Test funzionali dei processi aziendali fondamentali
- Convalida della sicurezza tramite scansione delle vulnerabilità
- Verifica dell’integrità dei dati su tutte le piattaforme
- Convalida dei processi aziendali da parte dei team applicativi
Fattore critico di successo: definisci in anticipo i criteri di accettazione MVC, ovvero le funzionalità specifiche che devono funzionare prima di poter considerare il processo realmente “completato”.
La sfida dell’integrazione
Non si tratta di passaggi sequenziali, ma di funzionalità interconnesse che devono funzionare insieme. La velocità del tuo MTCR dipende dal passaggio più lento e l’affidabilità dal punto di convalida più debole. La realtà degli investimenti: un ripristino completo richiede soluzioni di cyber-resilienza appositamente progettate, ambienti di ripristino isolati, strumenti di scansione automatizzati e reti di ripristino dedicate. Ma il costo dei tempi di inattività prolungati e delle reinfezioni è molto più elevato.
Prossimi passi:
- Valuta quanto tempo richiederebbe ciascuna fase nel tuo contesto attuale.
- Individua la tua lacuna più grande.
- Calcola il costo dei tempi di inattività prolungati rispetto all’investimento nell’infrastruttura.
- Inizia dai servizi aziendali più importanti.
L’era del “backup and pray” è finita. Le organizzazioni che padroneggiano questi cinque passaggi non solo si riprendono più rapidamente, ma lo fanno una volta sola, in modo pulito e sicuro.
Per saperne di più
Guarda il webinarL’indicatore mancante per la Recovery informatica” (Il parametro mancanteper il successo dell’intervento di ripristinoinformatico) in cui tratto questo nuovo parametro. Leggi il white paper completo,Ridefinire il Cyber Recovery: introduzione al tempo medio di ripristino pulito, per ulteriori informazioni su questo parametro fondamentale. Darren Thomson È Field CTO presso Commvault. Non perderti la serie di podcastSTRIVE.
