Abbiamo ricevuto un allarme rischio ransomware sul nostro server, cosa dobbiamo preparare prima che succeda il peggio?

Spostare la porta RDP dalla 3389 a un'altra non garantisce sicurezza, fa solo perdere qualche ora ai bot automatici. Soluzione: chiudete del tutto l'RDP verso l'esterno, consentite l'accesso solo tramite VPN con restrizione IP e verifica a due fattori (MFA). Già questo riduce drasticamente il rischio.

Fare il backup su un NAS nella stessa rete locale equivale quasi a non farlo per niente. I ransomware, una volta entrati nel server, scansionano la rete, trovano le condivisioni Windows e cancellano o cifrano prima di tutto i file di backup lì presenti. L'unità di backup non deve avere alcun collegamento diretto con la rete di produzione.

L'anno scorso sono entrati allo stesso modo via RDP sul server del magazzino di un nostro cliente. Hanno iniziato alle 02:00 di notte e la mattina quando è arrivata la contabilità tutto il database delle fatture aveva estensione '.locked'. Avevano anche cancellato l'ultimo anno di backup dal NAS. Sono rimasti bloccati con le spedizioni per 4 giorni interi perdendo centinaia di migliaia di riyal.

Cosa fare subito oggi: fate un'immagine di sistema completa del server e il dump del database su un disco USB esterno, poi chiudetelo in cassaforte e lasciatelo lì. Se anche doveste subire un attacco stanotte, è l'unica garanzia per ripartire perdendo al massimo 1 giorno di dati.

se vi è arrivato l'avviso probabilmente hanno già beccato la porta e stanno provando le password. cioè cambiate subito le password di admin con roba complessa di almeno 16 caratteri e rinominate l'utente 'administrator' di default.

Nota: ho scritto questo basandomi sulla mia esperienza, potrebbe non valere per tutti.

A livello aziendale è necessario predisporre un Piano di Risposta agli Incidenti. Deve essere messo per iscritto in anticipo chi è il referente in caso di sospetta infezione, come isolare la connettività internet e qual è il protocollo esatto per il recupero dati.

Non fate l'errore di sentirvi al sicuro solo perché avete l'antivirus. I ransomware moderni entrano in azione dopo aver ottenuto i privilegi necessari per disattivare l'antivirus in silenzio. Il software di sicurezza fa da scudo, ma se lasciate la porta spalancata non c'è scudo che tenga.

C'è una parte che non ho capito. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Grazie mille, mi è stato molto utile. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

È tutto, scusate se mi sono dilungato.

La strada che sembra economica di solito finisce per costare cara. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Buon lavoro.

Anche da noi è così. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Bisogna procedere con ordine. Un backup non testato non è un backup.

Questa è la mia opinione, non la scrivo come verità assoluta.

Breve riassunto per i nuovi arrivati: Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Buon lavoro.

mi ciedo anch'io.

Grazie mille, proverò oggi.

Grazie mille, mi è stato molto utile.

Racconto la mia esperienza. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Se scendiamo nei dettagli: Cercare di farlo da soli è la strada più costosa.