Backup che sopravvivono al ransomware

Modulo 6: Backup · Tempo di lettura: 10 minuti

Obiettivo della lezione: Al termine di questa lezione saprà impostare un backup che un aggressore non può cifrare né cancellare, scegliendo una copia offline, un'archiviazione immutabile, versioni con un periodo di conservazione adeguato e un accesso separato per il backup.
Concetti chiave: backup offline, air gap, immutabile (immutable), object lock, controllo delle versioni, accesso separato per il backup, periodo di conservazione

Perché un backup normale spesso non basta

Nella lezione 1.3 ha visto come funziona il ransomware: qualcuno entra, guarda in giro e poi cifra in un colpo solo tutto ciò che riesce a raggiungere. "Tutto ciò che riesce a raggiungere" è il problema centrale. Se il Suo backup si trova su un'unità di rete sempre collegata al Suo PC come lettera di unità, per il ransomware quel backup è semplicemente una cartella di file. Viene cifrato esattamente come l'originale.

L'agenzia statunitense per la cybersicurezza CISA scrive nella sua guida sul ransomware che molti tipi di ransomware cercano attivamente i backup raggiungibili per eliminarli o cifrarli. Un aggressore che ha ottenuto il Suo account amministratore può inoltre accedere al Suo programma di backup o al servizio cloud e cancellare lì i backup. Per questo un backup resistente al ransomware richiede più di "esiste una copia". Deve trovarsi fuori dalla portata di chi ha preso il controllo del Suo computer o del Suo account.

Ci sono tre modi per ottenerlo, e Le conviene combinarli:

1. il backup non è connesso (offline);
2. il backup non può essere modificato né cancellato, nemmeno da un amministratore (immutabile);
3. il backup si trova dietro un accesso diverso da quello del Suo lavoro quotidiano.

Offline: il disco nel cassetto

Un backup offline è una copia che viene scollegata dopo essere stata creata. Un disco esterno che Lei stacca dal portatile dopo il backup e ripone in un cassetto o in una cassaforte è l'esempio più semplice. Il ransomware può cifrare solo ciò che è raggiungibile, e un disco in un cassetto non lo è. Il termine inglese è air gap: tra il backup e la Sua rete c'è letteralmente aria di mezzo.

L'NCSC olandese dà lo stesso consiglio: non tenga il backup collegato al computer, perché altrimenti il ransomware potrebbe cifrarlo insieme al resto.

Le insidie dei backup offline:

• Dimenticarsene. Un backup che Lei crea manualmente viene saltato dopo qualche settimana impegnativa. Fissi un giorno fisso in agenda e alterni due dischi, così uno è sempre fuori sede.
• Lasciarlo sempre collegato. Un disco che rimane attaccato "per comodità" non è più un backup offline.
• Non cifrato. Un disco separato con tutta la Sua contabilità rappresenta una violazione dei dati se viene rubato. Attivi la cifratura (vedere la lezione 5.2) e conservi la chiave in un luogo diverso dal disco.

Immutabile: immutable e object lock

Un backup immutabile (in inglese: immutable) non può essere modificato né eliminato da nessuno per un periodo impostato. Nemmeno da chi possiede la Sua password. Nemmeno dall'amministratore.

Nell'archiviazione cloud questa tecnica si chiama spesso object lock. La documentazione di un grande fornitore la descrive come write once, read many: Lei scrive un file una sola volta, dopodiché può solo leggerlo finché non scade il periodo di conservazione. Di solito ci sono due modalità:

Molti programmi e servizi di backup offrono archiviazione immutabile, con nomi come "backup immutabile", "backup bloccato" o "WORM". Nella scelta presti attenzione a tre aspetti:

• Per quanto tempo dura il blocco? Un blocco di 7 giorni non La protegge se scopre l'attacco solo dopo tre settimane.
• Chi può rimuovere il blocco? Se può farlo con lo stesso account con cui accede quotidianamente, può farlo anche un aggressore.
• Quanto costa? Immutabile significa anche che non può fare pulizia. CISA avverte che un'impostazione sbagliata può comportare costi elevati. Inizi in piccolo e faccia dei test.

Versioni e periodo di conservazione: quanto indietro può tornare?

Un backup di ieri aiuta solo se ieri andava ancora tutto bene. Il ransomware a volte aspetta un po' prima di colpire, e un errore (una cartella eliminata, un listino prezzi sovrascritto) a volte si nota solo settimane dopo. Per questo servono le versioni: più momenti di backup affiancati tra loro. Il periodo di conservazione (detto anche retention) determina quanto indietro può tornare. L'NCSC olandese lo descrive così: la retention indica quanto indietro può tornare nella cronologia di un backup.

Uno schema molto usato è il diradamento: un backup al giorno conservato per qualche settimana, uno alla settimana conservato per qualche mese e uno al mese conservato più a lungo. Così può risalire molto indietro senza accumulare centinaia di copie complete.

Domande per scegliere il Suo periodo di conservazione:

• Di solito in quanto tempo si accorge che qualcosa non va? Guardi agli errori avvenuti in passato.
• Esistono obblighi legali di conservazione, ad esempio per la Sua contabilità? Un backup è comunque diverso da un archivio: un archivio si conserva per anni in un luogo fisso, un backup ruota nel tempo.
• Quanto costa lo spazio di archiviazione? Conservare più a lungo costa di più.

Un accesso separato per il backup

La terza misura è la più economica ed è quella dimenticata più spesso. Se il Suo servizio di backup, il Suo spazio cloud e la Sua posta funzionano tutti con lo stesso account, e quell'account viene compromesso (lezione 1.4), l'aggressore ottiene tutto in un colpo solo.

• Per il servizio o il programma di backup usi un account dedicato con una password propria e unica presa dal Suo gestore di password, e attivi l'autenticazione a due fattori (2FA).
• Non usi quell'account per il lavoro quotidiano e non vi acceda dal computer con cui usa la posta e naviga.
• Dove possibile, imposti il programma di backup in modo che possa solo scrivere nel luogo di destinazione del backup, non cancellare.
• Stabilisca chi ha accesso, sia fisicamente (chi ha la chiave dell'armadio con il disco) sia nel software. Anche l'NCSC olandese lo menziona esplicitamente.

Nella pratica: ecco come funziona

Presso il fornitore di esempio WebOké, i backup notturni di un pacchetto di hosting si trovano su server di archiviazione separati in un altro data center, distinti dal server su cui gira il sito web. Secondo la knowledge base, questi backup notturni non possono essere eliminati direttamente da Lei: restano disponibili in modo che ci sia sempre un punto di ripristino, e scompaiono automaticamente dopo 30 giorni. Solo un backup aggiuntivo creato da Lei stesso può essere eliminato, e per farlo il pannello Le chiede la password.

Ciò che Lei stesso deve aggiungere per arrivare allo schema 3-2-1 e alla copia offline: scaricare ogni tanto un backup (che resta disponibile per 48 ore) e conservarlo su un disco che poi scollega. Uno snapshot di un VPS, secondo la stessa knowledge base, non è espressamente un backup, perché si trova sullo stesso spazio di archiviazione del VPS stesso.

Presso altri fornitori la situazione può essere simile oppure molto diversa. Chieda concretamente al Suo fornitore: i backup sono separati dal mio account, posso io stesso o chi conosce la mia password cancellarli, e quanto indietro arrivano nel tempo?

Riepilogo

• Il ransomware cifra tutto ciò che riesce a raggiungere, anche i backup collegati, e gli aggressori cercano attivamente i backup.
• Offline: scolleghi il disco di backup e alterni più dischi, con la cifratura attiva.
• Immutabile (immutable, object lock): nessuno può cancellare la copia finché non scade il periodo impostato.
• Le versioni e un periodo di conservazione adeguato determinano quanto indietro può tornare; li scelga in base a quanto tempo impiega di solito a scoprire i problemi.
• Usi un accesso separato e ben protetto per il Suo backup, distinto dal Suo account quotidiano.

Quiz

Esercizio

Esercizio D6.2: Renda un backup resistente al ransomware. Scelga i Suoi dati più importanti (ad esempio la Sua contabilità o il Suo sito web) e imposti una copia fuori portata: un disco esterno che scollega dopo il backup e conserva altrove, oppure un servizio di backup con archiviazione immutabile. Assegni al backup un accesso proprio con autenticazione a due fattori, verifichi quanto indietro può tornare e annoti chi vi ha accesso. Infine risponda alle domande di riflessione.

Per approfondire

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento può essere simile o diverso. Lo chieda al Suo fornitore.

• Guida DirectAdmin 16.2: Backup and Restore: creare autonomamente un backup in DirectAdmin
• Guida a Nextcloud 6.2: Ripristinare una versione precedente e assegnare un nome alle versioni
• Guida a Nextcloud 6.3: Per quanto tempo Nextcloud conserva le versioni e i file eliminati?
• Snapshot e backup del Suo VPS
• WebOké Backup: visualizzare, ripristinare o scaricare un backup
• NCSC olandese, Ransomware spiegato: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• NCSC olandese, Impostare una strategia di backup: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (in inglese): https://www.cisa.gov/stopransomware/ransomware-guide
• Strategia di backup: la regola del 3-2-1 per la Sua azienda