Strategie di backup: regola 3-2-1 e backup immutabili

I backup non sono soltanto una responsabilità operativa dell'IT: sono un controllo di sicurezza critico che consente direttamente il ripristino in caso di ransomware, eliminazione accidentale, guasto hardware e sabotaggio interno. Senza backup testati e affidabili, gli operatori del ransomware hanno tutto il potere: pagare o perdere i dati. Con backup solidi e protetti, le organizzazioni possono ripristinare i dati senza pagare il riscatto. L'esame Security+ include esplicitamente la strategia di backup tra i requisiti di continuità operativa e protezione dei dati.

La regola dei backup 3-2-1 è lo standard di base del settore per la resilienza dei backup. Devono esistere 3 copie dei dati (l'originale più 2 backup). Devono essere utilizzati 2 tipi diversi di supporti di archiviazione (ad esempio, disco locale e nastro oppure NAS locale e cloud). 1 copia deve essere conservata fuori sede o in una posizione geograficamente separata. Questa configurazione garantisce che un singolo guasto, come un guasto del disco, una calamità nella sede o un furto, non elimini tutte le copie dei dati. La regola 3-2-1 è il riferimento d'eccellenza per i backup da due decenni.

Il ransomware ha messo in luce le debolezze della regola 3-2-1 classica: se tutte e tre le copie sono accessibili dalla rete, il ransomware le crittografa tutte. La regola potenziata 3-2-1-1-0 aggiunge quanto segue: una copia deve essere offline o air-gapped (disconnessa dalla rete e fisicamente isolata) e devono esserci zero errori nei backup (tutti i backup devono essere testati senza alcun errore nei test di ripristino). La copia offline garantisce che il ransomware, anche disponendo dell'accesso di domain admin, non possa raggiungere e crittografare tutte le copie di backup.

I backup immutabili vengono archiviati in modo da impedirne la modifica o l'eliminazione durante un periodo di conservazione specificato, anche da parte di amministratori con accesso completo. I provider cloud implementano l'immutabilità tramite policy di object lock (WORM — Write Once, Read Many). AWS S3 Object Lock, Azure Blob immutable storage e funzionalità analoghe impediscono a qualsiasi chiamata API di eliminare o sovrascrivere gli oggetti prima della scadenza del periodo di blocco. I gruppi ransomware che ottengono l'accesso di domain admin non possono eliminare i backup immutabili, nemmeno con il livello più elevato di credenziali cloud.

Tre tipi di backup bilanciano completezza, costi di archiviazione e durata della finestra di backup. Un backup completo copia ogni volta tutti i dati: offre il ripristino più rapido, ma utilizza più spazio di archiviazione. Un backup incrementale copia solo i dati modificati dall'ultimo backup di qualsiasi tipo: è il più rapido da creare e richiede meno spazio, ma per il ripristino sono necessari l'ultimo backup completo e tutti gli incrementali successivi. Un backup differenziale copia tutti i dati modificati dall'ultimo backup completo: richiede una quantità intermedia di spazio e per il ripristino sono necessari solo l'ultimo backup completo e il differenziale più recente.

I file di backup devono essere crittografati: i nastri di backup inviati fuori sede o i backup nel cloud sono obiettivi per gli aggressori che cercano dati sensibili. Utilizzi la crittografia AES-256 per i dati di backup inattivi. È fondamentale che le chiavi di crittografia dei backup siano conservate separatamente dai backup stessi: crittografare i backup con una chiave a sua volta sottoposta a backup nella stessa posizione vanifica lo scopo della protezione. Conservi le chiavi di crittografia in un Hardware Security Module (HSM) o in un servizio di gestione delle chiavi indipendente dal sistema di backup.

I sistemi di backup devono essere isolati dalla rete di produzione. Se i server di backup sono aggiunti al dominio Active Directory utilizzato dagli stessi server di produzione, il ransomware con credenziali di domain admin può raggiungere e crittografare lo spazio di archiviazione dei backup. Le best practice prevedono di collocare i server di backup in un segmento di rete separato, senza accesso dai server di produzione, utilizzare credenziali di backup dedicate che non siano account di domain admin, implementare la MFA per il server di backup per l'accesso amministrativo e valutare l'utilizzo di un dominio di backup separato, privo di relazioni di trust con il dominio di produzione.

I servizi di backup cloud forniscono archiviazione fuori sede con opzioni di immutabilità e semplificano l'implementazione della regola 3-2-1. AWS Backup, Azure Backup e Google Cloud Backup and DR si integrano con i servizi cloud e offrono una gestione centralizzata delle policy. Servizi di terze parti come Veeam, Rubrik e Cohesity offrono backup cloud-native con repository immutabili, copie in vault air-gapped e rilevamento del ransomware che analizza i dati di backup alla ricerca di anomalie nell'entropia della crittografia, generando un avviso prima che un attacco ransomware completo giunga al termine.

Molte organizzazioni scoprono durante un incidente ransomware che i loro backup sono corrotti o non ripristinabili: una scoperta catastrofica nel momento peggiore possibile. Il test dei backup deve essere un'attività pianificata e regolare. Gli approcci includono: verifica automatizzata del ripristino (ripristinare ogni giorno un campione di file e verificare i checksum), ripristini completi periodici in un ambiente di test isolato (ripristino trimestrale del database e test di avvio dell'applicazione) ed esercitazioni di DR, durante le quali il team segue il DRP dal backup fino all'esecuzione della produzione sull'infrastruttura alternativa. Documenti ogni risultato dei test.

Lo schema di conservazione Grandfather-Father-Son (GFS) organizza la conservazione dei backup su diversi orizzonti temporali. I backup Son sono giornalieri (conservati per 1 settimana e poi sovrascritti). I backup Father sono backup completi settimanali (conservati per 1 mese). I backup Grandfather sono backup completi mensili (conservati per 1 anno o più). Il modello GFS consente di ripristinare i dati di ieri, della settimana scorsa o del mese scorso, bilanciando la flessibilità di ripristino e i costi di archiviazione. Molti framework di conformità richiedono una conservazione in stile GFS per finalità di audit.

Gli errori dei backup sono disastri silenziosi: un processo di backup che fallisce senza segnalazioni per settimane significa che, nel momento di maggiore necessità, non esiste alcuna protezione. Il monitoraggio dei backup deve verificare: se ogni processo di backup pianificato è stato completato correttamente, se le dimensioni del backup rientrano nell'intervallo previsto (un backup insolitamente piccolo può indicare un errore parziale), se l'accesso alla chiave di crittografia del backup è riuscito e se il backup è stato trasferito a tutte le destinazioni richieste (locale e fuori sede). Gli avvisi devono essere generati immediatamente per ogni processo non riuscito, con un'escalation se gli errori persistono oltre un singolo tentativo. Tratti un backup non riuscito come un incidente di Priorità 2.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: la regola 3-2-1 richiede 3 copie su 2 tipi di supporto, di cui 1 fuori sede; la regola potenziata 3-2-1-1-0 aggiunge una copia offline/immutabile e richiede zero errori di ripristino; inoltre, lo spazio di archiviazione immutabile/WORM impedisce al ransomware di distruggere i backup, anche in presenza di credenziali amministrative complete. Ora esamineremo i test di failover tramite esercitazioni tabletop e simulazioni di DR, per convalidare il funzionamento concreto dei piani di ripristino.