Scacco matto al Ransomware…. il backup può ?

Scacco matto al ransomware: il backup che può salvare i nostri dati

Condividi questo articolo

Ecco alcuni semplici consigli che rappresentano un punto di partenza per le aziende che desiderano migliorare la loro sicurezza informatica senza necessariamente intraprendere il percorso completo di certificazione cyber security ISO

Pubblicato il 08 Set 2023

Antonio Broi

Core team Tsurugi-Linux.org, formatore Lab4int.org, Digital Forensic Expert

Nel contesto attuale, dove le minacce informatiche stanno crescendo in modo esponenziale e la sicurezza dei dati aziendali è più vulnerabile che mai, è fondamentale per le imprese di ogni dimensione adottare strategie di difesa efficaci contro i temibili ransomware.

Il recente conflitto tra Russia e Ucraina, insieme alla crisi economica in Italia, ha portato all’incremento degli attacchi informatici, anche di altra natura e tipologia DDoS in “primis”, mettendo in evidenza l’urgente necessità di affrontare il problema della cyber security con determinazione.

Difendersi dagli attacchi Denial of Service: il DDoS Scrubbing e il ruolo delle piattaforme WAAP

Indice degli argomenti

La mancanza di investimenti in cyber security

Uno dei principali problemi è la mancanza di investimenti adeguati in cyber security, specialmente da parte delle piccole e medie imprese, che spesso operano con risorse limitate.

WHITEPAPER

7 regole che dovresti seguire per risparmiare l’80% sul cloud: ecco quali sono!

IaaS

PaaS

Le norme ISO Cyber Security^[1] rappresentano un punto di riferimento importante, ma purtroppo molte aziende non la prendono in considerazione, lasciandosi esposte a gravi rischi.

Le norme ISO di riferimento

ISO/IEC 27001: Questa è la norma principale per la gestione della sicurezza delle informazioni. Definisce i requisiti per l’implementazione di un SGSI e fornisce un quadro per la gestione dei rischi, la selezione di misure di sicurezza adeguate e la creazione di un ambiente di gestione della sicurezza delle informazioni.
ISO/IEC 27002: Questa norma fornisce linee guida dettagliate per la selezione e l’implementazione di controlli di sicurezza delle informazioni. È spesso utilizzata insieme a ISO/IEC 27001 per aiutare le organizzazioni a definire i dettagli delle misure di sicurezza da implementare.
ISO/IEC 27005: Questa norma si concentra sulla gestione dei rischi legati alla sicurezza delle informazioni. Fornisce una metodologia per l’identificazione dei rischi, la valutazione dei rischi, la selezione di misure di mitigazione dei rischi e la pianificazione della gestione dei rischi.
ISO/IEC 27003: Questa norma fornisce linee guida per la pianificazione e l’implementazione di un SGSI in conformità con ISO/IEC 27001. Aiuta le organizzazioni a stabilire un piano di progetto per l’implementazione del SGSI.
ISO/IEC 27004: Questa norma si concentra sulla misurazione della sicurezza delle informazioni e sulla valutazione dell’efficacia delle misure di sicurezza. Aiuta le organizzazioni a definire indicatori chiave di performance (KPI) per valutare il successo del loro SGSI.
ISO/IEC 27017: Questa norma fornisce linee guida specifiche per la sicurezza delle informazioni nelle infrastrutture cloud. Aiuta i provider di servizi cloud e gli utenti a comprendere e mitigare i rischi legati alla sicurezza delle informazioni nell’ambiente cloud.
ISO/IEC 27032: Questa norma fornisce linee guida per la sicurezza delle informazioni in una società iperconnessa e digitale. Copre questioni come la sicurezza delle reti, la gestione delle minacce cibernetiche e la cooperazione tra le parti interessate nella sicurezza delle informazioni.

Il backup: un’arma efficace

Una soluzione immediata e parziale per proteggere i dati aziendali dai ransomware è implementare un sistema di backup automatico.

Questi backup dovrebbero essere eseguiti su base giornaliera o settimanale, ma la chiave del successo è renderli completamente offline al termine del processo. Questa precauzione impedisce ai ransomware di crittografare e rendere inaccessibili i dati di backup.

Ovviamente questo è solo un piccolo consiglio di cura ma occorre lavorare molto anche sulla prevenzione e l’individuazione delle fasi iniziali di attacco che partono sempre da dalle attività Osint e dai finger print infrastrutturali informatici, che è possibile individuare con ottimi sistemi di Threat Intelligence oltre ai consueti IPS/IDS.

Backup dei dati: cos’è, a cosa serve e le soluzioni per farlo, anche sul cloud

La genuinità dei dati

Inoltre, è fondamentale utilizzare sistemi di backup che garantiscono l’integrità e la riutilizzabilità dei dati informatici in caso di attacco ransomware.

Questo significa che i backup dovrebbero essere immuni da qualsiasi modifica non autorizzata e pronti per il ripristino e soprattutto che siano sicuramente utilizzabili in quanto basati su verifica CRC o con algoritmo HASH.

CRC O HASH questi sconosciuti

La verifica dei dati CRC (Cyclic Redundancy Check) è un processo utilizzato per verificare l’integrità dei dati trasmessi o archiviati, in particolare in ambienti in cui è fondamentale assicurarsi che i dati non siano stati corrotti o alterati durante il trasferimento o l’archiviazione.

Il CRC è un algoritmo di controllo degli errori che calcola un valore di checksum basato sui dati originali e lo confronta con un valore di checksum ricevuto o memorizzato precedentemente. Se i due valori di checksum corrispondono, si presume che i dati siano integri; in caso contrario, si ritiene che ci sia un errore nei dati.

Ecco come funziona la verifica dei dati CRC:

Calcolo del CRC: Quando i dati vengono trasmessi o archiviati, un’applicazione o un dispositivo calcola un valore di CRC dai dati stessi. Questo valore di CRC è una sequenza di bit generata da un algoritmo matematico. Il risultato è solitamente una stringa di bit di dimensioni fisse che rappresenta il checksum dei dati originali.
Trasmissione o Archiviazione: I dati originali insieme al valore di CRC calcolato vengono trasmessi o archiviati insieme. Questo valore di CRC aggiuntivo serve come un modo per rilevare eventuali errori durante la trasmissione o l’archiviazione.
Verifica del CRC: Quando i dati vengono ricevuti o recuperati, il destinatario o il dispositivo esegue nuovamente il calcolo del CRC sui dati ricevuti o recuperati. Il risultato è un valore di checksum.
Confronto dei Valori CRC: Il valore di checksum calcolato nella fase di ricezione o recupero viene confrontato con il valore di checksum originale inviato o archiviato con i dati. Se i due valori di CRC corrispondono, si ritiene che i dati siano integri. In caso contrario, si presume che ci sia un errore nei dati, e può essere necessario richiedere una ritrasmissione dei dati o eseguire altre azioni correttive.

Il CRC è ampiamente utilizzato in molte applicazioni, tra cui la trasmissione di dati su reti informatiche, il salvataggio e il recupero dati da dispositivi di archiviazione (come dischi rigidi e unità flash), e la verifica dell’integrità dei dati nei protocolli di comunicazione.

È una tecnica efficiente ed efficace per rilevare errori casuali nei dati e assicurarsi che i dati siano stati trasmessi o archiviati in modo accurato.

Tuttavia, va notato che il CRC è progettato principalmente per la rilevazione degli errori, ma non per la correzione. Se vengono rilevati errori, è necessario prendere misure appropriate per correggerli o richiedere una ritrasmissione dei dati, a seconda del contesto di utilizzo.

Gli algoritmi di hash

Scopo principale: Gli algoritmi di hash sono utilizzati per generare un valore hash (o checksum) unico per un insieme di dati. Questo valore hash è un’impronta digitale dei dati originali e viene utilizzato per scopi diversi, come l’integrità dei dati, la crittografia, la firma digitale e la gestione delle password.
Caratteristiche: Gli algoritmi di hash producono un valore hash fisso di lunghezza fissa, indipendentemente dalla dimensione dei dati di input. Sono progettati per essere veloci e computazionalmente efficienti. Gli algoritmi di hash sono crittograficamente sicuri e producono un hash univoco per set di dati diversi. Sono utilizzati in molte applicazioni di sicurezza e autenticazione.

In sintesi, sia il CRC che gli algoritmi di hash generano valori di checksum (o hash) dai dati, ma sono destinati a scopi differenti.

Il CRC è principalmente utilizzato per la rilevazione degli errori, mentre gli algoritmi di hash sono utilizzati per scopi più ampi, tra cui l’integrità dei dati, la sicurezza e la crittografia.

Una strategia pratica per le PMI

La sicurezza informatica comporta molteplici fattori di rischio e richiede una pianificazione completa e attenta.

Per le piccole e medie imprese con budget limitati, è possibile intraprendere una strategia di backup incrementale su base settimanale o addirittura quindicinale, mentre si pianificano passi successivi verso la certificazione cyber security ISO.

La tempestività è cruciale

In caso di attacco ransomware, il fattore tempo è cruciale. È fondamentale che le aziende abbiano un piano d’azione predefinito e coinvolgano immediatamente un esperto di cybersecurity per affiancare il responsabile IT o chiunque sia incaricato della gestione della crisi, non tutte le PMI possono permettersi di avere in house un Cyber Security Expert Professional.

Una strategia di reazione

In caso di attacco ransomware, è consigliabile spegnere la maggior parte delle macchine hardware per evitare la crittografia dei dati.

Tuttavia, alcuni computer o server virtuali o fisici dovrebbero essere messi in modalità di ibernazione per consentire analisi digital forensics successive, soprattutto nei sistemi Windows, per analizzare il contenuto della RAM salvata nei file di ibernazione, ed eventualmente poter risalire alla chiave “key” di decriptazione o quantomeno qualche indizio sulla tipologia di ransomware e versione precisa.

Conclusioni

Questi consigli rappresentano un punto di partenza per le aziende che desiderano migliorare la loro sicurezza informatica senza necessariamente intraprendere il percorso completo di certificazione Cyber Security ISO.

È fondamentale acquisire maggiore consapevolezza prima che l’attacco ransomware possa colpire, poiché una volta avvenuto, le conseguenze possono essere devastanti e difficili da gestire. La protezione dei dati aziendali deve rimanere una priorità costante e una responsabilità condivisa da tutti gli attori aziendali.