Il ransomware di oggi non cifra sperando. Cerca prima i backup, perché una vittima che può ripristinare non paga. Unità mappate, condivisioni di rete montate, credenziali cloud posate in un file di configurazione: tutto viene trovato e distrutto prima che si cifri alcunché.

3-2-1, e perché ogni numero sta lì

  • 3 copie - i dati vivi e due backup, così perderne uno lascia comunque una copia.
  • 2 supporti o fornitori diversi - un disservizio di un fornitore o un account sospeso non si porta via tutto.
  • 1 fuori sede e fuori portata - la copia che il server compromesso non può cancellare.

Che cosa vuol dire "fuori portata" in pratica

# the server holds a key that can write and cannot delete
{
  "Effect": "Allow",
  "Action": ["s3:PutObject"],
  "Resource": "arn:aws:s3:::backups/*"
}
# object lock or versioning on the bucket, managed elsewhere

Un backup che il server può cancellare è un backup che l'aggressore può cancellare, perché in quel momento lui è il server.

La trappola della condivisione montata

Una condivisione di rete montata in permanenza sul server non è una destinazione di backup. È una cartella, e tutto ciò che arriva ai suoi file arriva anche lì. La monti per la copia, la smonti dopo, oppure spinga verso qualcosa che accetta soltanto scritture.

La conservazione deve durare più della scoperta

La cifratura spesso viene innescata settimane dopo l'intrusione. Sette giorni di conservazione vuol dire che ogni copia che ha è stata presa quando loro erano già dentro. Tenga copie mensili per un anno.

E provi il ripristino

Il momento in cui le serve è il peggiore possibile per scoprire che l'archivio è troncato o che il dump non si importa. Ne ripristini uno su una macchina di scorta a scadenze fisse - veda provare un ripristino e quando anche il backup è rovinato.