Quali livelli di difesa servono davvero contro i ransomware — priorità per una piccola impresa?

Abbandonate già da stasera l'abitudine del backup manuale settimanale su disco esterno. Nella maggior parte dei casi reali quel disco resta dimenticato collegato al server e, al momento dell'attacco, viene crittografato insieme al database principale. Lo spazio di backup deve essere logicamente o fisicamente isolato dal sistema operativo. Quando un attaccante entra, la prima cosa che cerca sono proprio i dischi di backup montati.

Lunedì mattina ci sono tre cose che potete fare a costo zero: 1) Non lasciate porte aperte verso l'esterno sul server, chiudete la porta del desktop remoto dal modem. 2) Togliete i privilegi di amministratore agli utenti. 3) Rendete obbligatoria l'autenticazione a due fattori su tutti gli account di posta. La stragrande maggioranza dei ransomware penetra sfruttando queste tre falle.

L'anno scorso nel nostro ufficio di 18 persone abbiamo affrontato una situazione simile. Abbiamo speso in tutto 52.000 TL: abbiamo preso un NAS indipendente a due vani, spazio per backup cold cloud e licenze antivirus centralizzate per 20 utenti. Abbiamo limitato l'accesso al server di contabilità a soli 3 computer autorizzati. Due mesi fa un dipendente ha aperto un file di fattura malevolo, ma non avendo i privilegi di amministratore locale la cifratura si è limitata a qualche file temporaneo sul suo desktop, e al database principale non è successo assolutamente nulla.

Noi sincronizziamo la cartella di contabilità su un drive cloud condiviso. Se entra un virus nel computer e cifra quei file il cloud lo rileva come nuova versione e salva la versione cifrata oppure conta comunque come backup?

Rispondo alla domanda del nuovo utente: sì, i programmi di sincronizzazione rilevano il file cifrato come una nuova modifica e lo caricano all'istante sul cloud. È vero che dalla cronologia delle versioni dei provider cloud si possono recuperare gli stati precedenti, ma per migliaia di file questa procedura richiede giorni e a volte le versioni si corrompono pure. Backup e sincronizzazione non sono la stessa cosa; contro i ransomware serve un backup unidirezionale con blocco delle versioni (version lock) su cui possa scrivere solo il software di backup.

Diffidate delle proposte dei consulenti che vogliono subito farvi spendere 80.000 lire in apparati e scatolotti costosi. Potete comprare tutto l'hardware avanzato che volete ma se un dipendente interno approva un'e-mail fraudolenta da un account con privilegi, la maggior parte di quegli apparati viene bypassata. Nei piccoli team il vero investimento in sicurezza non è l'hardware costoso, bensì una gestione ferrea dei permessi e i backup offline.

quello che è successo al vostro vicino è davvero una gran lezione, possiamo dire che vi è andata bene. finché non ci si passa di persona, si continua a fiadrsi dell'hard disk esterno. in realtà il vostro budget è più che sufficiente per 22 persone, non fatevi prendere dal panico. invece di affogare nell'hardware mettete prima al sicuro i dati, il resto verrà passo dopo passo.

La linea comune emersa è chiara: 1) Smettere di fare backup manuali su hard disk esterno e impostare un backup indipendente e immutabile è la priorità assoluta. 2) Chiudere le connessioni desktop remoto esposte all'esterno e attivare l'autenticazione a due fattori è il primo scudo a costo zero. 3) Revocare i privilegi di amministratore locale impedisce il diffondersi dell'infezione. Con il budget rimanente bisogna poi completare una segmentazione di rete di base e le licenze per la protezione centralizzata.

Sono passato da qui, vi racconto. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Quando decidiamo senza misurare, finiamo sempre nello stesso punto. È tutto, scusate se mi sono dilungato.

Avete ragione, sono passato anch'io per la stessa strada. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Naturalmente cambia se la vostra situazione è diversa.

Mi farebbe piacere se scrivesse il risultato.

Vi spiego come si fa in pratica. Un backup non testato non è un backup.

Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live. È tutto, scusate se mi sono dilungato.

argomento mloto attuale.

Può approfondire un po'? La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Non abbiate paura di chiedere, chi non chiede paga sempre di più. È tutto, scusate se mi sono dilungato.

Guardando al processo, il quadro cambia. L'errore commesso da prevenzione ransomware è generalmente reversibile ma costoso.

Io seguirei questa strada.

Grazie per averlo scritto, è proprio così. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Lascio una nota, potrebbe servire.

Ha ragione. Le soluzioni che funzionano su piccola scala crollano quando si cresce l'ho imparato tardi.

Confermato dall'esperienza.

Breve riassunto per i nuovi arrivati: Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Se la verifica in due passaggi è attiva una password rubata da sola non serve a nulla. Se avete domande scrivete rispondo per quanto possibile.