Risposta agli incidenti e ripristino

La risposta agli incidenti si basa sulla preparazione, non sull'improvvisazione. Un playbook per il ransomware documentato, ruoli definiti e procedure provate trasformano il caos in un processo controllato.

La risposta segue fasi riconosciute: preparazione, identificazione, contenimento, eradicazione, ripristino e lezioni apprese. Questa lezione le illustra tutte nel contesto del ransomware.

Il ransomware è una crisi aziendale, non soltanto un problema informatico. Il team coinvolge diverse funzioni:

• Responsabile dell'incidente per coordinare e prendere decisioni
• Sicurezza e IT per il lavoro tecnico
• Ufficio legale per gli obblighi in caso di violazione e il rischio di sanzioni
• Comunicazione per i messaggi interni ed esterni
• Dirigenza per le decisioni aziendali

Utilizzate comunicazioni fuori banda (l'attaccante potrebbe leggere le vostre email e chat).

Prima di intervenire su larga scala, comprendete con cosa avete a che fare.

• Quale ceppo è coinvolto e quali sistemi sono interessati?
• Dove è avvenuto l'accesso iniziale (patient zero) e in che modo?
• I dati sono stati esfiltrati, indicando una violazione?

Conservate le prove forensi: acquisite immagini della memoria e dei dischi, oltre ai log, prima di cancellare i dati, così potrete rispondere a queste domande e soddisfare gli obblighi legali. Non eliminate le tracce nella fretta di ripulire i sistemi.

Il contenimento arresta la propagazione preservando le prove. Isolate, non spegnete alla cieca, perché l'arresto può distruggere le prove presenti nella memoria volatile e in alcuni ceppi può attivare trappole.

Durante il contenimento, mettete immediatamente al sicuro le risorse necessarie per il ripristino.

• Verificate che i vostri backup immutabili e offline siano integri e irraggiungibili per l'attaccante
• Mettete in sicurezza il sistema di gestione delle identità (controller di dominio); spesso gli attaccanti controllano account privilegiati
• Reimpostate le credenziali degli account privilegiati e di servizio
• Scollegate i sistemi di backup dalla rete compromessa finché non siano stati dichiarati sicuri

Perdere i backup in questa fase significa perdere il percorso di ripristino.

L'eradicazione rimuove completamente l'accesso dell'attaccante. Una pulizia parziale favorisce una nuova infezione.

• Rimuovete malware, backdoor e meccanismi di persistenza (servizi, attività pianificate)
• Individuate e chiudete il vettore di accesso iniziale
• Reimpostate tutte le credenziali potenzialmente compromesse, inclusi gli account di servizio
• Cercate attivamente eventuali punti d'appoggio residui prima di dichiarare pulito l'ambiente

Presumete che l'attaccante abbia avuto un accesso esteso; se sono stati coinvolti i controller di dominio, potrebbe essere necessaria una ricostruzione completa del sistema di identità.

Ripristinate i sistemi su una rete pulita e ricostruita, mai su una rete compromessa. Stabilite le priorità in base alla criticità per l'azienda.

• Ricostruite i sistemi a partire da backup affidabili o immagini pulite, non dai sistemi cifrati
• Ripristinate prima l'infrastruttura di base (identità, DNS), quindi i servizi critici
• Eseguite una scansione dei sistemi ripristinati prima di ricollegarli
• Riattivate i servizi in fasi controllate, verificando che non si verifichino nuove infezioni

La decisione se pagare spetta alla dirigenza e all'ufficio legale, non al reparto tecnico, e dovrebbe basarsi sul parere di un consulente legale e, possibilmente, delle forze dell'ordine.

• Il pagamento potrebbe essere vietato dalla normativa sulle sanzioni applicabile a determinati gruppi
• Gli strumenti di decrittazione sono inaffidabili, lenti e potrebbero non essere forniti
• I dati rubati potrebbero comunque essere divulgati

L'approccio più difendibile, reso possibile da buoni backup e da una corretta pianificazione della risposta agli incidenti, consiste nel ripristinare i sistemi senza pagare. Coinvolgete tempestivamente le forze dell'ordine: potrebbero fornire informazioni utili o strumenti di decrittazione.

Se i dati sono stati esfiltrati, l'incidente costituisce una violazione dei dati con obblighi normativi e contrattuali.

• Determinate i requisiti di notifica (autorità di regolamentazione, clienti, partner) e le scadenze
• Documentate la cronologia e le decisioni per gli auditor e gli assicuratori
• Coordinate le comunicazioni esterne attraverso un unico canale
• Coinvolgete tempestivamente l'assicurazione contro i rischi informatici secondo i termini della polizza

Gli aspetti legali e le comunicazioni devono procedere in parallelo al ripristino tecnico, non dopo di esso.

Dopo il ripristino, svolgete una revisione post-incidente senza colpevolizzazioni per trasformare l'esperienza negativa in un miglioramento.

• Come sono entrati gli attaccanti e perché non sono stati individuati prima?
• Quali controlli hanno funzionato e quali lacune hanno permesso la propagazione?
• Quali miglioramenti al rilevamento o ai backup sarebbero stati utili?
• Aggiornate il playbook e programmate un nuovo test

Il risultato più importante è un elenco concreto di azioni, con responsabili e scadenze, affinché il prossimo attacco trovi difese più solide.

Un piano non testato fallisce sotto pressione. Esercitatevi prima di averne bisogno.

• Le esercitazioni da tavolo guidano il team attraverso un attacco simulato
• Testate i ripristini su larga scala, non soltanto di singoli file
• Verificate che le comunicazioni fuori banda e gli elenchi dei contatti funzionino davvero
• Misurate i tempi di ripristino per convalidare gli obiettivi RTO/RPO

I team che si esercitano completano il ripristino in pochi giorni; quelli che non lo fanno possono impiegare settimane.

Ora sapete come rispondere a un attacco ransomware confermato.

• Seguite le fasi: preparatevi, identificate, contenete, eradicate, ripristinate, traete insegnamento
• Attivate un team interfunzionale utilizzando comunicazioni fuori banda
• Isolate, non spegnete alla cieca; conservate le prove e proteggete backup e identità
• Eradicate completamente la minaccia, quindi ripristinate su una rete pulita a partire da backup affidabili
• Considerate l'esfiltrazione una violazione con obblighi legali; fate del pagamento una decisione della dirigenza di ultima istanza
• Esercitatevi con il piano affinché il ripristino richieda giorni, non settimane

Corso completato: ora sapete prevenire, rilevare e ripristinare i sistemi dopo un attacco ransomware.