Protezione da ransomware di Microsoft 365

Ransomwarerimaneuna delle principali minacce per gli ambienti Microsoft 365. Le e-mail di phishing e i link dannosi continuano a rappresentare i punti di accesso più comuni, consentendo agli autori degli attacchi di ottenere le credenziali degli utenti e di crittografare i file di SharePoint, i contenuti di OneDrive e le caselle di posta di Exchange.

Microsoft offre funzionalità quali il Cestino, la cronologia delle versioni e le politiche di conservazione di base. Queste sono utili in scenari limitati, ma non supportano il recupero completo dei dati su larga scala. Gli strumenti nativi, inoltre, non dispongono di automazione e il ripristino di grandi volumi di dati può richiedere giorni a causa dei limiti di throttling delle API.
Secondouna ricerca di settore, l’80% delle organizzazioni ha subito attacchi ransomware nel 2024 e il 93% di tali attacchi ha preso di mira i backup. Le operazioni aziendali critiche possono subire ritardi o essere interrotte del tutto.

Una strategia di backup gestita offre ai team IT il controllo necessario per reagire rapidamente e limitare i danni.

Esistono diverse semplici misure che è possibile adottare per valutare le vulnerabilità del proprio ambiente. È necessario:

1. Verifica i punti di accesso: individua le modalità con cui gli utenti accedono ai servizi M365, inclusi browser, dispositivi mobili e integrazioni di terze parti. Presta particolare attenzione all’accesso come ospite e all’autenticazione legacy.
2. Analisi dei risultati dei test di phishing: utilizzare i risultati delle simulazioni interne di phishing per valutare il livello di rischio degli utenti. Tassi di clic elevati possono evidenziare punti deboli nella consapevolezza degli utenti o nel livello di sicurezza.
3. Verificare le impostazioni di conservazione: esaminare le politiche di conservazione in Exchange, OneDrive e SharePoint. Adeguare tali politiche ai requisiti legali e operativi.
4. Simula un ripristino: esegui un test di ripristino per verificare quali dati è possibile recuperare, quanto tempo occorre e dove si riscontrano eventuali lacune. Ciò contribuisce a convalidare il tuo piano di Recovery.
5. Valutare i limiti dell’API: i limiti dell’API Microsoft Graph possono rallentare i ripristini di grandi dimensioni. È importante comprendere in che modo tali limiti influiscono sui tempi di Recovery.

Una strategia mirata di Backup and Recovery per M365 aiuta a colmare le lacune lasciate dalle protezioni native. Offre alle organizzazioni un maggiore controllo sui propri dati, migliora i tempi di Recovery e supporta la conservazione a lungo termine e la conformità.

Ecco alcune azioni che puoi intraprendere per proteggere il tuo ambiente M365:

1. Abilita l’autenticazione a più fattori (MFA) per tutti gli utenti.
   Utilizzare Entra ID per richiedere l’autenticazione a più fattori per tutti gli account, inclusi quelli degli amministratori e degli account di servizio. Creare criteri di accesso condizionale per applicare questo requisito a livello di organizzazione.
2. Configurare i collegamenti sicuri e gli allegati sicuri.
   In Microsoft Defender per Office 365, abilitare i collegamenti sicuri per eseguire la scansione e la riscrittura degli URL. Attivare gli allegati sicuri per analizzare i file in un ambiente sandbox prima della consegna.
3. Limitare i ruoli di amministratore globale.
   Esamina le assegnazioni dei ruoli di amministratore in Entra ID. Adotta i principi del privilegio minimo e abilita l’accesso just-in-time tramite Privileged Identity Management per le attività sensibili.
4. Configurare le politiche di accesso condizionato.
   Richiedere dispositivi attendibili, bloccare l’autenticazione legacy e applicare restrizioni basate sulla posizione. Questi criteri aiutano a controllare l’accesso in base al rischio in tempo reale.
5. Utilizzare esclusivamente metodi di autenticazione moderni.
   Disattivare i protocolli legacy come POP e IMAP. Questi sono vulnerabili agli attacchi di tipo “password spray” e non supportano l’autenticazione a più fattori (MFA).
6. Monitorare i registri di accesso e di connessione.
   Controllare regolarmente i registri nel Centro sicurezza e conformità di Microsoft 365. Cercare modelli ricorrenti quali tentativi di accesso non riusciti, indirizzi IP insoliti o attività anomala sui file.

Ridurre il rischio di ransomware in Microsoft 365 richiede molto più di un semplice backup. Una volta entrati nel sistema, gli aggressori spesso si spostano lateralmente e prendono di mira i dati condivisi e gli account con privilegi. La segmentazione dei carichi di lavoro in base alla funzione e alla sensibilità aiuta a contenere l’impatto e limita l’accesso ai sistemi critici per l’azienda.

La segmentazione della rete aiuta a isolare i dati di alto valore, come quelli finanziari, delle risorse umane o legali, dal traffico generale degli utenti. Questo approccio contribuisce a ridurre la probabilità che il malware si diffonda oltre il punto iniziale di compromissione.

Gli strumenti avanzati di protezione dalle minacce aiutano a rilevare tempestivamente comportamenti sospetti analizzando l’attività di accesso, l’accesso ai file e il comportamento degli utenti. Questi strumenti si basano sull’intelligence sulle minacce e sul rilevamento delle anomalie per identificare segni di compromissione che i filtri e le regole standard potrebbero non rilevare.

1. Esamina i registri di accesso di Entra ID.
   Filtrare i tentativi di accesso non riusciti, gli indirizzi IP sconosciuti e i dispositivi non riconosciuti. Individuare eventuali schemi ricorrenti che potrebbero indicare attacchi di forza bruta o di credential stuffing.
2. Verificare i ruoli con privilegi.
   Elencare tutti gli account con autorizzazioni di amministratore globale o di alto livello. Rimuovere eventuali assegnazioni non necessarie e configurare l’accesso just-in-time per le attività sensibili.
3. Verificare le politiche di accesso condizionato.
   Accertarsi che siano in vigore criteri che richiedano l’autenticazione a più fattori (MFA), blocchino i protocolli legacy e limitino l’accesso in base alla posizione o alla conformità dei dispositivi.
4. Controlla le impostazioni di condivisione di SharePoint e OneDrive.
   Identificare eventuali file o cartelle condivisi tramite collegamenti anonimi o con utenti esterni. Rimuovere gli accessi non più necessari.
5. Controlla le regole della casella di posta e le impostazioni di inoltro.
   Cercare regole che inoltrino le e-mail all’esterno o eliminino automaticamente i messaggi. Questi possono essere segni di un’appropriazione indebita dell’account.
6. Verificare le politiche di prevenzione della perdita dei dati di test.
   Simulare azioni che dovrebbero attivare le protezioni DLP e verificare che vengano generati gli avvisi. Confermare che le azioni di applicazione funzionino come configurate.
7. Documentare i risultati e assegnare i compiti di follow-up.
   Tenere traccia dei problemi identificati, assegnare i responsabili e fissare scadenze chiare. Ciò contribuisce a mantenere la responsabilità tra i team e favorisce il miglioramento continuo.

Yedioth Information Technologies (yit),Una casa editrice leader del settore si trovava ad affrontare alcune difficoltà nel proteggere il proprio ambiente Microsoft 365 in continua espansione. Con 1.000 caselle di posta da proteggere e l’intenzione di arrivare a 1.500, l’azienda aveva bisogno di una soluzione in grado di adattarsi all’espansione, rispettando al contempo i rigorosi requisiti di conservazione dei dati previsti dal proprio settore editoriale.

Dopo aver utilizzato con successo Commvault per la protezione on-premise, yit ha implementato Commvault Cloud Backup and Recovery per Microsoft 365. L’implementazione è stata straordinariamente efficiente: nel giro di sole tre ore dall’installazione, il team ha iniziato a eseguire il backup delle caselle di posta.

«Disporre di una soluzione di gestione dei dati come servizio affidabile e flessibile, in grado di supportare la nostra attività editoriale, è fondamentale», ha affermato Eytan Molle, responsabile di sistema presso yit. «Commvault Cloud Backup and Recovery per Microsoft 365 è sicuro, affidabile e pratico. Possiamo recuperare facilmente i dati senza alcun problema».

I risultati sono stati rivoluzionari. Prima dell’implementazione della soluzione, il ripristino dei contenuti archiviati poteva richiedere giorni e spesso comportava la ricerca e il trasporto di nastri fisici da un magazzino. Questo processo era particolarmente impegnativo quando i redattori dovevano accedere ad articoli pubblicati anni fa.

“Ora, con Commvault Cloud Backup and Recovery per Microsoft 365, possiamo ripristinare completamente i dati di Office 365 in pochi minuti anziché in giorni”, ha spiegato Molle.

La soluzione ha inoltre ridotto i costi operativi. Anziché richiedere due membri del personale per gestire i backup, ora ne basta uno solo. Il lavoro nel fine settimana è stato eliminato e il team ha acquisito tranquillità sapendo che i propri dati erano protetti dalle minacce del ransomware, sia in locale che nel cloud.

Grazie a una dashboard integrata, il personale IT può monitorare facilmente sia i backup installati che quelli nel cloud da un’unica interfaccia, semplificando la gestione e contribuendo a garantire la continuità operativa.
“Consiglierei Commvault e Commvault Cloud Backup and Recovery for Microsoft 365 senza alcuna esitazione”, ha affermato Molle. “Ci si può dimenticare dei backup e dormire sonni più tranquilli.”