Backup che sopravvivono al ransomware

Modulo 6: Backup · Tempo di lettura: 10 minuti

Obiettivo della lezione: Dopo questa lezione saprà predisporre un backup che un aggressore non può cifrare o cancellare, scegliendo una copia offline, un'archiviazione immutabile, versioni con un periodo di conservazione adeguato e un accesso separato per il backup.
Concetti chiave: backup offline, air gap, immutabile (immutable), object lock, gestione delle versioni, accesso separato per il backup, periodo di conservazione

Perché un backup normale spesso non basta

Nella lezione 1.3 ha visto come funziona il ransomware: qualcuno entra, osserva l'ambiente e poi cifra in un colpo solo tutto ciò che riesce a raggiungere. "Tutto ciò che riesce a raggiungere" è il problema centrale. Se il Suo backup si trova su un'unità di rete sempre collegata al Suo computer come lettera di unità, per il ransomware quel backup è semplicemente una cartella di file. Viene cifrato esattamente come l'originale.

L'agenzia statunitense per la cybersicurezza CISA scrive nella sua guida sul ransomware che molti tipi di ransomware cercano attivamente backup raggiungibili per eliminarli o cifrarli. Un aggressore che ha ottenuto il Suo account amministratore può inoltre accedere al Suo programma di backup o servizio cloud ed eliminare lì i backup. Per questo un backup resistente al ransomware richiede più di "esiste una copia". Deve trovarsi fuori dalla portata di chiunque abbia preso il controllo del Suo computer o del Suo account.

Esistono tre modi per ottenere questo risultato, da combinare preferibilmente tra loro:

1. il backup non è connesso (offline);
2. il backup non può essere modificato o cancellato, nemmeno da un amministratore (immutabile);
3. il backup è protetto da un accesso diverso da quello usato per il lavoro quotidiano.

Offline: il disco nel cassetto

Un backup offline è una copia che, dopo essere stata creata, viene scollegata. Un disco esterno che Lei rimuove dal portatile dopo il backup e ripone in un cassetto o in una cassaforte è l'esempio più semplice. Il ransomware può cifrare solo ciò che è raggiungibile, e un disco in un cassetto non lo è. Il termine inglese è air gap: tra il backup e la Sua rete c'è letteralmente aria.

L'ACN (Agenzia per la Cybersicurezza Nazionale) consiglia lo stesso approccio: non tenere il backup collegato al computer, perché altrimenti il ransomware può cifrarlo insieme al resto.

Insidie tipiche dei backup offline:

• Dimenticanza. Un backup che Lei esegue manualmente viene saltato dopo qualche settimana impegnativa. Fissi un giorno fisso in agenda e alterni due dischi, in modo da averne sempre uno conservato altrove.
• Lasciarlo sempre collegato. Un disco lasciato attaccato "per comodità" non è più un backup offline.
• Mancata cifratura. Un disco separato con tutta la Sua amministrazione costituisce una violazione dei dati se viene rubato. Attivi la cifratura (vedi lezione 5.2) e conservi la chiave in un luogo diverso dal disco.

Immutabile: immutable e object lock

Un backup immutabile (in inglese: immutable) non può essere modificato o eliminato da nessuno per un periodo prestabilito. Nemmeno da chi possiede la Sua password. Nemmeno dall'amministratore.

Nell'archiviazione cloud questa tecnica si chiama spesso object lock. La documentazione di un grande fornitore la descrive come write once, read many: il file viene scritto una sola volta, dopodiché può solo essere letto finché non scade il periodo di conservazione. Di solito esistono due modalità:

Molti programmi e servizi di backup offrono l'archiviazione immutabile, con nomi come "immutable backup", "backup bloccato" o "WORM". Nella scelta presti attenzione a tre aspetti:

• Per quanto tempo dura il blocco? Un blocco di 7 giorni non La protegge se scopre l'attacco solo dopo tre settimane.
• Chi può rimuovere il blocco? Se può farlo con lo stesso account con cui accede quotidianamente, può farlo anche un aggressore.
• Quanto costa? Immutabile significa anche che non può eliminare i dati. CISA avverte che un'impostazione errata può generare costi elevati. Inizi in piccolo e faccia dei test.

Versioni e periodo di conservazione: fino a quando può tornare indietro?

Un backup di ieri aiuta solo se ieri andava ancora tutto bene. Il ransomware a volte aspetta un po' di tempo prima di colpire, e un errore (una cartella eliminata, un listino prezzi sovrascritto) a volte si nota solo settimane dopo. Per questo servono le versioni: più momenti di backup conservati in parallelo. Il periodo di conservazione (detto anche retention) determina fino a quando può tornare indietro. L'ACN lo descrive così: la retention indica fino a che punto può risalire nella cronologia di un backup.

Uno schema molto usato è il diradamento: ogni giorno un backup conservato per qualche settimana, ogni settimana uno conservato per qualche mese e ogni mese uno conservato più a lungo. In questo modo può risalire molto indietro nel tempo senza conservare centinaia di copie complete.

Domande utili per scegliere il periodo di conservazione:

• Quanto tempo impiega di solito ad accorgersi che qualcosa non va? Consideri gli errori avvenuti in passato.
• Esistono obblighi legali di conservazione, ad esempio per la Sua contabilità? Un backup è comunque diverso da un archivio: un archivio si conserva per anni in un luogo fisso, un backup viene invece a rotazione.
• Quanto spazio di archiviazione costa? Conservare più a lungo costa di più.

Un accesso separato per il backup

La terza misura è la più economica ed è quella più spesso dimenticata. Se il Suo servizio di backup, il Suo spazio cloud e la Sua posta funzionano tutti con lo stesso account, e quell'account viene compromesso (lezione 1.4), l'aggressore ottiene tutto in un colpo solo.

• Per il servizio di backup o il programma di backup utilizzi un account dedicato con una password propria e univoca presa dal Suo gestore di password, e attivi l'autenticazione a due fattori.
• Non utilizzi quell'account per il lavoro quotidiano e non vi acceda dal computer con cui gestisce la posta e naviga.
• Ove possibile, imposti il programma di backup in modo che possa solo scrivere nella destinazione del backup, non cancellare.
• Stabilisca chi può accedervi, sia fisicamente (chi ha la chiave dell'armadio con il disco) sia nel software. Anche l'ACN lo sottolinea esplicitamente.

Nella pratica: ecco come funziona

Presso il fornitore di esempio WebOké, i backup notturni di un pacchetto di hosting si trovano su server di archiviazione separati, in un data center diverso rispetto al server su cui gira il sito web. Secondo la knowledge base, questi backup notturni non possono essere eliminati dall'utente stesso: restano disponibili così da garantire sempre un punto di ripristino, e scompaiono automaticamente dopo 30 giorni. Solo un backup aggiuntivo creato autonomamente dall'utente può essere eliminato, e in quel caso il pannello richiede la password.

Ciò che Lei stesso può aggiungere per ottenere lo schema 3-2-1 e la copia offline: scaricare di tanto in tanto un backup (resta disponibile per 48 ore) e conservarlo su un disco che poi scollega. Uno snapshot di un VPS, secondo la stessa knowledge base, non è espressamente un backup, perché risiede sullo stesso storage del VPS stesso.

Presso altri fornitori la situazione può essere simile o molto diversa. Chieda concretamente al Suo fornitore: i backup sono separati dal mio account, posso io stesso o chiunque conosca la mia password eliminarli, e fino a quando posso risalire nel tempo?

Riepilogo

• Il ransomware cifra tutto ciò che riesce a raggiungere, compresi i backup collegati, e gli aggressori cercano attivamente i backup.
• Offline: scolleghi il disco di backup e alterni più dischi, con la cifratura attiva.
• Immutabile (immutable, object lock): nessuno può cancellare la copia finché il periodo non è scaduto.
• Le versioni e un periodo di conservazione adeguato determinano fino a quando può tornare indietro; li scelga in base a quanto tempo impiega di solito a scoprire i problemi.
• Utilizzi un accesso separato e ben protetto per il backup, distinto dal Suo account quotidiano.

Quiz

Esercizio

Esercizio D6.2: Renda un backup resistente al ransomware. Scelga i Suoi dati più importanti (ad esempio la Sua contabilità o il Suo sito web) e predisponga una copia fuori portata: un disco esterno che scollega e conserva altrove dopo il backup, oppure un servizio di backup con archiviazione immutabile. Assegni al backup un accesso dedicato con autenticazione a due fattori, verifichi fino a quando può tornare indietro nel tempo e annoti chi può accedervi. Infine risponda alle domande di riflessione.

Per saperne di più

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento può essere simile o diverso. Chieda al Suo fornitore.

• Guida DirectAdmin 16.2: Backup and Restore: creare autonomamente un backup in DirectAdmin
• Guida a Nextcloud 6.2: Ripristinare una versione precedente e assegnare un nome alle versioni
• Guida a Nextcloud 6.3: Per quanto tempo Nextcloud conserva le versioni e i file eliminati?
• Snapshot e backup del suo VPS
• WebOké Backup: visualizzare, ripristinare o scaricare un backup
• ACN, risorse sul ransomware: https://www.acn.gov.it/
• ACN, indicazioni per una strategia di backup: https://www.acn.gov.it/
• CISA, #StopRansomware Guide (in inglese): https://www.cisa.gov/stopransomware/ransomware-guide