Cyber threats are continuously evolving at an accelerated pace. Ransomware is often the leading antagonist, leaving organizations crippled and at the mercy of cybercriminals. Commvault helps organizations protect and recover data to resume business operations quickly. However, as threats evolve, even backup and recovery platforms are at risk to ransomware. This has led to next-generation security controls such as immutability and multi-factor authentication to mitigate against these invasive threats. What about traditional air gap solutions? Is air gapping a viablesolution against ransomware threats? In some cases, air gapping by itself may not be enough protection against threats; conversely, immutability and multi-factor authentication (MFA) may not be enough protection either. However, layering immutability, MFA, and Commvault’s modernized air gap controls provide a highly effective solution at mitigating threats. Let’s dive into this further.
Understanding the basics of ransomware
First, let’s understand how ransomware works at a high level. I like to think of ransomware as a symptom but not necessarily the catalyst. Most of the common ransomware strains we see today started as an Advanced Persistent Threat (APT) introduced into the environment through a targeted socially engineeredde phishingdirecionado, baseado em engenharia social. Por exemplo, você pode receber um e-mail que parece vir de uma fonte legítima (como uma empresa ou um banco) que o induz a baixar um aplicativo malicioso que introduz a APT. A APT permanece oculta no ambiente, percorrendo-o para fazer reconhecimento, como procurar contas de usuário e dados para roubar, além de localizar recursos para infectar. As APTs utilizam ferramentas “prontas para uso”, integradas a muitos sistemas operacionais, para permanecerem ocultas, auxiliar na coleta de dados e disseminar o ransomware. Elas se aproveitam de protocolos expostos e vulneráveis para se deslocarem pelo ambiente. Também se sabe que as APTs derrubam aplicativos e dados de backup, como você pode ver na análise do ransomwareRyuk. Ameaças que se movem e se espalham pela rede são chamadas de ameaças de movimentação lateral. Assim que a APT cumpre sua função, o ransomware é liberado como uma bomba-relógio.
Isso é fundamental para compreender como o isolamento físico (air gap) oferece uma camada eficaz de segurança. Parte-se do pressuposto de que um ransomware infectará seu ambiente caso haja qualquer exposição a redes públicas, como a internet. Isso se aplica especialmente durante apandemia da COVID-19, quando as organizações adotaram políticas de “trabalho em casa”, permitindo que os usuários finais se conectassem aos ambientes de trabalho, criando mais exposição e pontos de entrada para ameaças. No entanto, os destinos de armazenamento de backup que estão isolados fisicamente dentro da organização ficam protegidos contra ameaças de propagação lateral.
What is traditional air gapping?
Constatamos que o isolamento físico (air gap) tem valor. Ao pensar em isolamento físico, você pode se lembrar imediatamente dos backups em fita ou do clássico “dark site” governamental. Ambas as soluções oferecem proteção contra o movimento lateral de ameaças, já que as fitas são removidas da biblioteca e os dark sites são isolados e não possuem conexões persistentes com redes públicas. No entanto, ambas as soluções são lentas e ineficazes para ambientes modernos que exigem acessibilidade e Recovery rápida. As organizações buscam a aplicação dos princípios do “air gap” ao armazenamento moderno, incluindo destinos na nuvem, para limitar o movimento lateral de ameaças e, ao mesmo tempo, proporcionar uma experiência de Recovery contínua quando necessário.
Commvault’s modernized air gap
Commvault’s approach to air gapping allows organizations to maintain efficient recovery point and recovery time objectives while reducing the impact of lateral moving threats.
A solução de air gap mais acessível oferecida pela Commvault é o Metallic™ Cloud Storage Service (MCSS). Com o MCSS, não há conexões persistentes com o armazenamento, já que todos os dados residem na Metallic Cloud e só são acessados por meio de chamadas de API autenticadas. O acesso direto ao armazenamento em nuvem não é possível, pois as credenciais não são expostas. O armazenamento é seguro, escalável e acessível. Quando um ransomware infecta o ambiente, ele não se espalha para o armazenamento em nuvem, uma vez que este está virtualmente isolado (air-gap), reduzindo as ameaças laterais. O MCSS está integrado às soluções de proteção de dados da Commvault e vem pré-configurado. É tão simples quanto aplicar uma licença e selecionar o armazenamento; não há necessidade de infraestrutura ou configurações adicionais.
Para organizações que não podem utilizar a nuvem, é possível implementar o isolamento físico (air gap) por meio das topologias de rede da Commvault e da inteligência integrada para gerenciar conexões persistentes com o armazenamento. Essa solução local segmenta e compartimenta o armazenamento; todas as comunicações recebidas pelo armazenamento são bloqueadas, e os dados são transferidos para o armazenamento isolado. A comunicação é isolada por meio do controle automático do gerenciamento de energia para gateways virtuais ou ferramentas de transferência de dados. Essa solução requer infraestrutura mínima; no entanto, pode ser aplicada às ofertas locais da Commvault On-Prem e a praticamente qualquer tipo de armazenamento.
Para proteger o conteúdo do backup, a estrutura de aprendizado de máquina da Commvault detecta atividades anômalas e alterações no conteúdo. Eventos e notificações são acionados automaticamente para que os clientes possam agir de forma proativa. Remover ameaças do conteúdo é tão simples quanto navegar pelo conteúdo e selecionar a ameaça a ser apagada. Confira estayoutube video demonstration, Avoid ransomware reinfection with Commvault, to see how this works. This ensures backup data is clean and ready for recovery.
Putting the security pieces together for maximum ransomware protection
At this point, you might be thinking, why bother with an air gap solution when I have immutable storage locked down with MFA controls? There is no doubt that immutability and MFA are an integral part of the layered solution; however, they do not address lateral moving threats.
Let’s use the analogy of a combination safe. If your offline bitcoin wallet is stored in a safe, is it safer sitting in plain sight for an intruder to easily see, or would it be better if the safe is secured and hidden in your house? Even though your safe is locked and secured, why would you expose it to additional risk? You don’t need the combination to get into the safe; you need a way to exploit the safe. It makes logical sense that the most secure option would be to keep your bitcoin wallet in a lockbox stored at a remote secured facility such as a bank – where it is air-gapped and un-reachable. Now you have eliminated the possible exposure to an intruder altogether.
O mesmo se aplica aos backups; seu armazenamento deve ser imutável e protegido por controles de autenticação multifatorial (MFA). Ao segmentar, isolar e criar um isolamento físico, você reduz ainda mais o risco, garantindo a proteção máxima.
Fighting ransomware with Commvault’s layered security approach
Adotar uma abordagem em camadas para proteger os dados de backup oferece a melhor proteção geral contra ameaças como o ransomware. A abordagem modernizada da Commvault para o isolamento físico (air gap) não é apenas simples, mas também oferece o nível máximo de segurança necessário para proteger contra ameaças de movimentação lateral, de modo que os clientes possam ter a certeza de que seus dados estão prontos para recuperação.
