Backup che resistono al ransomware ── la regola 3-2-1, archivi non sovrascrivibili e la verifica del ripristino

Negli attacchi ransomware capita spesso che un’organizzazione avesse i backup e tuttavia non sia riuscita a ripristinare. La causa più frequente è che i backup sono stati cifrati insieme a tutto il resto. Questo articolo spiega come costruire backup che resistono agli attacchi, per i PC Windows e i file server delle piccole e medie imprese.

I punti chiave sono tre: avere una copia che un PC infetto non può sovrascrivere, non usare le «Versioni precedenti» al posto dei backup e verificare di poter davvero ripristinare. La regola 3-2-1 stabilisce quante copie tenere e dove, ma da sola lascia delle lacune come difesa contro il ransomware.

I comandi dell’articolo sono solo per Windows, e il loro output è stato verificato in un prompt dei comandi da amministratore su Windows Server 2022. Le schermate di configurazione e i prezzi dei prodotti possono cambiare, quindi al momento dell’adozione controllate la documentazione più recente di ciascun fornitore.

Molte organizzazioni avevano i backup ma non sono riuscite a ripristinare

L’Agenzia nazionale di polizia giapponese chiede alle organizzazioni colpite dal ransomware in che stato fossero i loro backup. Nel rapporto sulla prima metà del 2025, 51 delle 53 organizzazioni che hanno risposto facevano backup. Tuttavia, delle 48 a cui è stato chiesto se fossero riuscite a ripristinare dal backup fino al livello immediatamente precedente all’attacco, ci sono riuscite solo 7, mentre 41 no¹.

Delle 35 che hanno indicato il motivo del mancato ripristino, 23 hanno risposto «anche i backup erano cifrati», 8 «carenze operative» e 4 «altro»¹. Lo stesso rapporto scrive che i gruppi ransomware cancellano i log e i backup delle vittime per eliminare le proprie tracce e impedire il ripristino. Chiede quindi di conservare i backup in un ambiente offline².

flowchart TB
        accTitle: Come si possono avere i backup e non riuscire a ripristinare
        accDescr: Diagramma che mostra che, anche se si fanno i backup, questi vengono cifrati insieme a tutto il resto quando sono raggiungibili dal PC infetto, e che se la procedura di ripristino non è stata verificata le carenze operative impediscono il ripristino.
        A["Si fanno i backup"] --> B{"Raggiungibili dal PC infetto?"}
        B -->|"Raggiungibili"| C["Cifrati o cancellati anch'essi"]
        B -->|"Non raggiungibili"| D{"Procedura di ripristino verificata?"}
        D -->|"Non verificata"| E["Ripristino impossibile per carenze operative"]
        D -->|"Verificata"| F["Ripristino possibile"]

Figura 1: I backup sono utilizzabili quando il PC infetto non li raggiunge e la procedura di ripristino è stata verificata.

Ci sono anche casi in cui il ripristino ha funzionato. La 4ª edizione della «Linea guida per la sicurezza informatica delle PMI» dell’IPA riporta il caso di un’impresa edile i cui file server e altri sistemi sono stati cifrati dopo un’intrusione attraverso un apparato VPN. Anche perché l’azienda faceva esercitazioni di ripristino due volte l’anno, ha rimesso in funzione i sistemi principali dai backup cinque giorni dopo la scoperta dell’attacco. Ciò nonostante, ci sono voluti 41 giorni per riprendere ciascun sistema interno e quattro mesi per riprendere l’accesso remoto, e l’azienda ha perso poco più del 20 per cento dei propri file interni³. Riuscire a ripristinare dai backup non cancella i danni.

Nel diagramma, una linea continua indica una relazione che vale sempre e una linea tratteggiata indica una relazione condizionale (le condizioni sono nella spiegazione di ciascuna relazione nella pagina di dettaglio). L’elenco completo delle relazioni (in totale 13, con evidenza e livello di certezza) e le definizioni dei concetti principali sono raccolti nella pagina di dettaglio della mappa della conoscenza (in giapponese). Dati: JSON-LD / Turtle

Gli attaccanti cancellano i backup che riescono a raggiungere

La #StopRansomware Guide pubblicata dalla CISA e da altre agenzie statunitensi scrive che molti ransomware cercano i backup accessibili e tentano di cancellarli o cifrarli, in modo che senza pagare il riscatto non sia possibile recuperare. Per questo, secondo la guida, è importante conservare i backup offline⁴.

Anche Microsoft scrive che gli attaccanti si concentrano sul disattivare i software di backup e le funzioni del sistema operativo come le copie shadow del volume⁵. Tra i backup che un PC infetto può raggiungere ci sono i seguenti.

• Unità esterne sempre collegate al PC
• Cartelle condivise di NAS o file server mappate su una lettera di unità
• Cartelle di sincronizzazione cloud su cui l’account di uso quotidiano può scrivere
• Copie shadow («Versioni precedenti») sullo stesso volume

Anche i comandi integrati nel sistema operativo possono cancellare le copie shadow e i cataloghi dei backup. MITRE ATT&CK classifica questa tecnica come «Inhibit System Recovery» (T1490). Tra gli esempi riportati ci sono la cancellazione di tutte le copie shadow con vssadmin.exe delete shadows /all /quiet e la cancellazione del catalogo dei backup di Windows con wbadmin.exe delete catalog -quiet⁶. Anche la guida della CISA chiede di sorvegliare l’uso sospetto di vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) e strumenti simili⁴.

flowchart TB
        accTitle: Backup che un PC infetto può e non può raggiungere
        accDescr: Diagramma che mostra che un PC infetto può scrivere su unità esterne sempre collegate, cartelle condivise mappate, cartelle di sincronizzazione e copie shadow, ma non su supporti scollegati né su archivi non sovrascrivibili.
        P["PC infetto"] --> R["Posizioni su cui può scrivere"]
        P -.-x N["Supporti scollegati, archivi non sovrascrivibili"]
        R --> A["Unità esterna sempre collegata"]
        R --> B["Cartella condivisa mappata"]
        R --> C["Cartella di sincronizzazione cloud"]
        R --> D["Copie shadow"]

Figura 2: I backup conservati dove un PC infetto può scrivere diventano bersagli dell’attacco.

Bisogna fare attenzione anche agli attacchi che si sviluppano nel tempo. Microsoft scrive che il ransomware a volte cifra i dati gradualmente lasciando la chiave nel sistema. Nel frattempo gli utenti continuano a usare i dati come al solito, per cui i backup di dati già cifrati si accumulano senza che nessuno se ne accorga. Una volta cifrato tutto e cancellata la chiave, non si possono leggere nemmeno i backup recenti⁵. Se si conserva solo la generazione più recente, in questo caso non c’è un punto a cui tornare.

Le «Versioni precedenti» non sostituiscono i backup

Le «Versioni precedenti» di Windows e le copie shadow delle cartelle condivise usano il Servizio Copia Shadow del volume (VSS). Il provider di sistema VSS incluso in Windows usa il metodo copy-on-write: prima che un blocco venga sovrascritto, ne salva il contenuto in un’area differenziale, e in questo modo riproduce il volume in un determinato momento⁷.

Nella documentazione su VSS, Microsoft spiega la differenza tra copie shadow e backup in questo modo. Quando i dati vengono copiati da una copia shadow su un supporto rimovibile come un nastro, il contenuto di quel supporto diventa il backup. Dopo la copia, la copia shadow stessa può essere eliminata⁷. La documentazione scrive anche che, quando lo spazio dell’area differenziale si esaurisce, vengono eliminate per prime le copie shadow più vecchie⁷.

flowchart TB
        accTitle: La differenza tra copie shadow e backup
        accDescr: Diagramma che mostra che una copia shadow è un insieme di differenze rispetto al volume originale e viene eliminata quando manca spazio o da un attaccante, mentre un backup copiato su un supporto separato sopravvive anche se il volume originale va perso.
        V["Volume originale"] --> S["Copia shadow (differenze)"]
        S --> L["Eliminata dalle più vecchie quando manca spazio"]
        S --> K["Eliminata da un attaccante con vssadmin"]
        S -->|"Copia su supporto separato"| B["Backup"]
        B --> R["Sopravvive anche se il volume originale va perso"]

Figura 3: Le copie shadow dipendono dai dati del volume originale; ciò che si copia su un supporto separato diventa il backup.

Le copie shadow sono comode perché permettono agli utenti di recuperare da soli i file sovrascritti per errore. Tuttavia, come visto nella sezione precedente, a volte gli attaccanti le cancellano. Il meccanismo e la gestione sono spiegati in dettaglio in «Copia Shadow del volume (VSS): meccanismo e pratica».

Per elencare le copie shadow ancora presenti, eseguite vssadmin list shadows in un prompt dei comandi da amministratore. Questo sottocomando è disponibile sia sui client sia sui server⁸.

vssadmin list shadows

Anche la cronologia delle versioni e il cestino di OneDrive e SharePoint permettono agli utenti di recuperare i file. Microsoft consiglia di insegnare agli utenti come ripristinare l’intero OneDrive a un momento precedente. Indica inoltre di far ripristinare gli utenti solo quando si è certi che l’attaccante sia stato estromesso, e di prepararsi al caso in cui gli utenti ripristinino anche il malware⁵.

La regola 3-2-1 stabilisce quante copie e dove

La regola 3-2-1 è una regola pratica su come conservare le copie di backup. «Data Backup Options», redatto per lo US-CERT nel 2012, la spiega così⁹.

• 3: tenete tre copie dei file importanti, l’originale più due backup.
• 2: conservatele su due tipi diversi di supporto, per proteggervi da diversi tipi di disastro.
• 1: tenete una copia fuori da casa o dall’azienda.

Come fonte, il documento cita «The DAM Book», un libro sulla gestione delle fotografie digitali del fotografo Peter Krogh⁹. Anche Microsoft cita questa regola nella sua documentazione sui backup per la protezione dal ransomware, e descrive l’«1» come «copia esterna o a freddo»⁵.

Ciò che la regola 3-2-1 chiede è tenere una copia fuori sede. Non chiede che la copia fuori sede sia offline o non sovrascrivibile. Perciò, se la copia fuori sede si trova in un cloud su cui un PC infetto può sempre scrivere, può essere cifrata insieme alle copie locali. La guida della CISA e la documentazione di Microsoft indicano la conservazione offline come difesa dal ransomware. Microsoft indica anche gli archivi non sovrascrivibili⁴⁵.

flowchart TB
        accTitle: La regola 3-2-1 e la protezione dal ransomware
        accDescr: Diagramma che mostra l'aggiunta di una copia offline o non sovrascrivibile alla regola 3-2-1 di tre copie, due tipi di supporto e una fuori sede, seguita dalla verifica di poter ripristinare.
        A["Tre copie"] --> B["Due tipi di supporto"]
        B --> C["Una fuori sede"]
        C --> D["Una offline o non sovrascrivibile"]
        D --> E["Verificare di poter ripristinare"]

Figura 4: Alla regola 3-2-1 aggiungete una copia che un PC infetto non può sovrascrivere e la verifica del ripristino.

Il fornitore di soluzioni di backup Veeam la promuove come «regola 3-2-1-1-0». Nella documentazione di Veeam, l’«1» aggiuntivo significa tenere una copia offline, air-gapped o immutabile, e lo «0» significa zero errori nelle verifiche periodiche del ripristino¹⁰. Si tratta di una denominazione presa dalla documentazione di un fornitore, non di uno standard ufficiale. Tuttavia, i due elementi aggiuntivi coincidono con ciò che chiedono la CISA e l’IPA.

Tenete una copia che un PC infetto non può sovrascrivere

Ci sono due modi principali per ottenere una copia non sovrascrivibile: scollegare il supporto dal PC e conservarlo, oppure usare un archivio cloud in cui i dati non possono essere sovrascritti né eliminati per un periodo stabilito. Qualunque sia la scelta, separate i permessi per la gestione dei backup dal lavoro di tutti i giorni.

Scollegare il supporto dal PC e conservarlo

Come esempio di misura nella propria autovalutazione, la linea guida dell’IPA indica di collegare al PC i dispositivi e i supporti per il backup solo mentre si esegue il backup. Indica anche di stabilire come eseguire i backup, di conservarli in un luogo sicuro e di verificare regolarmente di poterli ripristinare¹¹.

Per le organizzazioni che vogliono fare un passo in più, la linea guida indica l’«isolamento fisico». Consiste nel conservare i backup in un luogo fisicamente separato dal sistema originale, tenendo i dispositivi di archiviazione esterni o i nastri di backup il più lontano possibile. Come luoghi di conservazione vengono citati una cassetta di sicurezza in banca, oppure un partner commerciale o una società collegata di fiducia¹².

Un backup conservato in questo modo, scollegato dai sistemi di produzione, si chiama backup offline. Un PC infetto non può scrivere su un supporto scollegato. In compenso, collegare e trasportare i supporti spetta alle persone, quindi capita di dimenticare il backup o di non portare fuori il supporto. Stabilite chi collega il supporto, chi lo scollega e chi lo porta nel luogo di conservazione, e quando.

Usare un archivio cloud non sovrascrivibile

Gli archivi cloud hanno funzioni che impediscono di sovrascrivere o eliminare i dati per un periodo stabilito. I dati vengono conservati in uno stato chiamato WORM (Write Once, Read Many).

Nell’archiviazione immutabile di Azure Blob Storage, una volta impostato un criterio di conservazione basato sul tempo, durante quel periodo i dati possono essere creati e letti ma non modificati né eliminati¹³. Il criterio viene creato inizialmente in stato sbloccato e lo si blocca dopo averlo provato. Un criterio bloccato non può essere eliminato, e il suo periodo di conservazione può essere esteso ma non ridotto¹³. Microsoft spiega che nemmeno gli utenti con autorizzazioni di amministratore dell’account possono modificare o eliminare i dati¹³.

Amazon S3 Object Lock ha due modalità. In modalità conformità (compliance mode), nessuno, nemmeno l’utente root dell’account AWS, può sovrascrivere o eliminare una versione dell’oggetto durante il periodo di conservazione. In modalità governance (governance mode), solo gli utenti con autorizzazioni speciali possono modificare o rimuovere le impostazioni di conservazione¹⁴. Object Lock può essere usato solo nei bucket con il controllo delle versioni di S3 abilitato¹⁴.

flowchart TB
        accTitle: Due esempi di archivi non sovrascrivibili
        accDescr: Diagramma che mostra che nell'archiviazione immutabile di Azure Blob Storage un criterio bloccato non può essere eliminato né il suo periodo di conservazione ridotto, e che con S3 Object Lock in modalità conformità nemmeno l'utente root può eliminare, mentre in modalità governance le autorizzazioni speciali consentono modifiche.
        W["Archivio non sovrascrivibile"] --> AZ["Archiviazione immutabile di Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Dopo il blocco la conservazione non si può ridurre"]
        S3 --> C["Modalità conformità"]
        S3 --> G["Modalità governance"]
        C --> C1["Nemmeno l'utente root può eliminare"]
        G --> G1["Autorizzazioni speciali consentono modifiche"]

Figura 5: Entrambi gli archivi rifiutano sovrascrittura ed eliminazione per un periodo stabilito; quanto rigorosamente dipende dalle impostazioni.

In Azure, anche se ci si accorge di un errore di configurazione dopo aver bloccato un criterio, non è possibile ridurre il periodo di conservazione¹³. La guida della CISA, nel segnalare che alcuni provider cloud offrono archivi non sovrascrivibili, avverte che un errore di configurazione può comportare costi elevati. Ricorda anche che questi archivi possono non soddisfare i requisiti di determinate normative⁴. Se impostate un periodo di conservazione lungo e lo bloccate, per tutto quel periodo non potrete eliminare i dati e i costi di archiviazione continueranno ad accumularsi. Iniziate senza blocco o con un periodo breve, verificate di poter ripristinare e solo dopo applicate le impostazioni di produzione.

Separare i permessi per la gestione dei backup

Anche usando un archivio non sovrascrivibile, se le impostazioni e i criteri di backup possono essere modificati con l’account amministratore di uso quotidiano, un attaccante potrebbe modificarli. Microsoft consiglia di richiedere un passaggio aggiuntivo, come l’autenticazione a più fattori o un PIN di sicurezza, prima che i backup online possano essere modificati o eliminati. Indica anche di limitare le operazioni di backup e ripristino agli utenti con ruoli designati e di ridurre le condivisioni di file in cui molti utenti possono scrivere ed eliminare⁵.

Anche se la stessa persona gestisce sia i PC sia i backup, non usate l’account per la gestione della destinazione dei backup per l’accesso quotidiano ai PC, e proteggetelo con l’autenticazione a più fattori.

Conservare più generazioni

La linea guida dell’IPA indica la «gestione delle generazioni», cioè conservare backup di più momenti diversi. Permette, quando i dati vengono danneggiati o persi, di tornare a un momento preciso¹². Come visto in una sezione precedente, se ci vuole tempo per accorgersi della cifratura, i backup più recenti conterranno dati già cifrati. Decidete quante generazioni conservare in base al tempo che potrebbe servire per accorgersi della cifratura e al costo dell’archiviazione.

flowchart TB
        accTitle: Tre misure per avere una copia non sovrascrivibile
        accDescr: Diagramma che mostra la conservazione di supporti scollegati o l'uso di un archivio non sovrascrivibile, la separazione dei permessi di gestione dei backup dagli account quotidiani e la conservazione di più generazioni.
        A["Una copia non sovrascrivibile"] --> B["Conservare supporti scollegati"]
        A --> C["Archivio non sovrascrivibile"]
        B --> D["Separare i permessi di gestione"]
        C --> D
        D --> E["Conservare più generazioni"]

Figura 6: Dopo aver deciso dove tenerla, separate i permessi di gestione e conservate più generazioni, per poter tornare indietro anche se ve ne accorgete tardi.

Verificate di poter ripristinare

Nel rapporto dell’Agenzia nazionale di polizia, il secondo motivo più frequente di mancato ripristino erano le «carenze operative»¹. Non si può sapere se un backup è davvero ripristinabile finché non si prova. L’attività di ripristinare davvero da un backup per verificarlo si chiama test di ripristino.

La linea guida dell’IPA divide la gestione dei backup in tre parti: esecuzione, conservazione e ripristino. Per il ripristino chiede di predisporre un piano di ripristino e di verificare di poter ripristinare correttamente³. Per i sistemi importanti per l’attività, chiede di organizzare l’esecuzione dei backup e le procedure in base all’obiettivo di tempo di ripristino (RTO) e all’obiettivo di punto di ripristino (RPO), e di verificarne l’efficacia con esercitazioni. L’RTO è il tempo necessario per tornare al livello prefissato, l’RPO è il momento a cui si ripristina, cioè il momento del backup più recente¹⁵. Anche la guida della CISA chiede di verificare regolarmente, in vista del ripristino di emergenza, che i backup siano disponibili e integri⁴.

flowchart TB
        accTitle: Come eseguire un test di ripristino
        accDescr: Diagramma che mostra il flusso: stabilire l'ordine di ripristino, ripristinare in un ambiente separato, confrontare il tempo impiegato e il punto ripristinato con RTO e RPO e correggere il manuale operativo.
        A["Stabilire l'ordine di ripristino"] --> B["Ripristinare in un ambiente separato"]
        B --> C["Confrontare il tempo impiegato con l'RTO"]
        B --> D["Confrontare il punto ripristinato con l'RPO"]
        C --> E["Correggere il manuale operativo"]
        D --> E
        E -.->|"Verifica successiva"| A

Figura 7: Provate a ripristinare, verificate se tempo e punto rispettano gli obiettivi e riportate i risultati nel manuale operativo.

Che cosa verificare

Sulla base della documentazione dell’IPA e di Microsoft, ciò che va verificato si può riassumere così.

Microsoft consiglia di individuare prima i sistemi critici per l’attività e di eseguirne regolarmente il backup. L’elenco dei backup in ordine di priorità che ne risulta diventa così com’è l’ordine di ripristino. Tra le priorità alte, Microsoft indica per primi i sistemi di autenticazione, come Active Directory, necessari per accedere a tutti gli altri sistemi⁵. Consiglia inoltre esercitazioni periodiche per rimettere in piedi l’attività partendo da una situazione in cui tutti i sistemi sono fermi. In queste esercitazioni si parte dal presupposto che anche la posta elettronica e la chat non siano disponibili⁵.

Microsoft scrive che gli attaccanti prendono di mira deliberatamente i manuali di ripristino e gli schemi di rete. Consiglia di proteggerli o di tenerne copie stampate a portata di mano⁵. Se il manuale operativo esiste solo sul file server, quando quel file server viene cifrato non lo si può leggere.

Attenzioni nel ripristino dopo un attacco

Dopo un attacco reale, rimuovete il ransomware stesso dall’ambiente prima di ripristinare⁵. Microsoft indica di scegliere un backup di un momento in cui si sa che non c’era infezione e di analizzare il backup alla ricerca di malware prima di ripristinare⁵. Il rapporto dell’Agenzia nazionale di polizia scrive che i gruppi ransomware a volte installano software controllabile da remoto come backdoor, per poter rientrare anche dopo che il punto di accesso è stato chiuso². Prima di ripristinare bisogna indagare sul percorso di intrusione e su ciò che gli attaccanti hanno lasciato.

flowchart TB
        accTitle: L'ordine per ripristinare dai backup dopo un attacco
        accDescr: Diagramma che mostra la rimozione del ransomware stesso e del percorso di intrusione, la scelta di un backup di un momento senza infezione, l'analisi alla ricerca di malware e poi il ripristino a partire dai sistemi con priorità più alta.
        A["Rimuovere il ransomware stesso"] --> B["Indagare sul percorso di intrusione e su ciò che resta"]
        B --> C["Scegliere un momento senza infezione"]
        C --> D["Analizzare il backup"]
        D --> E["Ripristinare a partire dalla priorità più alta"]

Figura 8: Dopo un attacco, eliminate ciò che gli attaccanti hanno lasciato e accertatevi che il momento scelto sia privo di infezione prima di ripristinare.

Ogni quanto verificare

Sia la linea guida dell’IPA sia la guida della CISA chiedono di verificare «regolarmente» di poter ripristinare, ma non indicano un numero¹¹⁴. L’azienda del caso dell’IPA presentato in precedenza faceva esercitazioni di ripristino due volte l’anno³. Stabilite per quanto tempo l’attività può restare ferma e quanto può essere vecchio il punto di ripristino, e verificate con una frequenza che vi permetta di confermare che questi obiettivi sono rispettati.

Che cosa decidere per prima cosa

Riassumiamo quanto visto in ciò che una PMI deve decidere per prima cosa.

flowchart TB
        accTitle: L'ordine delle decisioni per backup che resistono al ransomware
        accDescr: Diagramma che mostra l'ordine: stabilire l'ambito, stabilire dove tenere le copie e la copia non sovrascrivibile, stabilire permessi e generazioni, stabilire RTO e RPO e verificare di poter ripristinare.
        A["Stabilire l'ambito"] --> B["Stabilire dove tenere le copie"]
        B --> C["Stabilire la copia non sovrascrivibile"]
        C --> D["Stabilire permessi e generazioni"]
        D --> E["Stabilire RTO e RPO"]
        E --> F["Verificare di poter ripristinare"]

Figura 9: Decidete tutto in un’unica sequenza, dall’ambito fino alla verifica finale del ripristino.

Nella 4ª edizione della linea guida dell’IPA, ai «Cinque articoli per la sicurezza informatica» da cui le organizzazioni iniziano è stato aggiunto «Fare backup!», portandoli a sei¹⁶. Come affrontare la linea guida nel suo complesso è spiegato in «Da dove iniziare con la sicurezza per le PMI?». Se avete in programma di sostituire i server, vedete anche «Preparing for Windows Server 2016 End of Support».

Articoli correlati

• Da dove iniziare con la sicurezza per le PMI? — Guida alla ‘Linea guida per la sicurezza informatica delle PMI’ dell’IPA, 4ª edizione
• Copia Shadow del volume (VSS): meccanismo e pratica — perché si può fare il backup dei file in uso
• Preparing for Windows Server 2016 End of Support

Riferimenti

Articoli correlati

Articoli recenti con gli stessi tag per approfondire argomenti vicini.

Argomenti correlati

Queste sono pagine di argomenti vicini a questo tema. A partire dall'articolo, potete passare ai servizi correlati e ad altri articoli.

Servizi collegati all’argomento

Questo articolo si collega alle pagine dei servizi seguenti. Partite da un ingresso vicino alla vostra situazione.

Domande frequenti

Domande che ricorrono nelle consulenze sull’argomento dell’articolo.

Se faccio i backup, posso ripristinare tutto dopo un'infezione da ransomware?

Spesso fare i backup non basta per ripristinare. Nei casi raccolti dall'Agenzia nazionale di polizia giapponese per la prima metà del 2025, 41 delle 48 organizzazioni che facevano backup e hanno risposto non sono riuscite a tornare al livello immediatamente precedente all'attacco. Il motivo più frequente era che anche i backup erano stati cifrati. Serve una copia che un PC infetto non possa sovrascrivere, e bisogna verificare in anticipo di poterla ripristinare.

Se Windows ha le «Versioni precedenti», servono ancora i backup?

Sì. Le «Versioni precedenti» sono copie shadow del volume, cioè differenze conservate sul volume originale. Microsoft considera backup i dati copiati da una copia shadow su supporti come i nastri. Il ransomware a volte elimina le copie shadow con strumenti come vssadmin, quindi affiancatele a backup su supporti separati.

Rispettare la regola 3-2-1 basta per proteggersi dal ransomware?

A volte no. La regola 3-2-1 chiede tre copie, due tipi di supporto e una copia fuori sede, ma non chiede che la copia fuori sede sia offline o non sovrascrivibile. Una copia nel cloud su cui un PC infetto può sempre scrivere può essere cifrata allo stesso modo. Aggiungete una copia su un supporto offline o in un archivio non sovrascrivibile.

Ogni quanto bisogna verificare di poter ripristinare dai backup?

Sia la linea guida dell'IPA sia la guida della CISA dicono «regolarmente» e non indicano un numero. La linea guida dell'IPA riporta il caso di un'azienda che faceva esercitazioni di ripristino due volte l'anno e ha rimesso in funzione i sistemi principali cinque giorni dopo la scoperta dell'attacco. Stabilite per quanto tempo l'attività può restare ferma e quanto può essere vecchio il punto di ripristino, e verificate con una frequenza che vi permetta di confermare che questi obiettivi sono rispettati.

Profilo dell’autore

Pagina di presentazione dell’autore dell’articolo.

Go Komura

Rappresentante di KomuraSoft LLC

Si occupa soprattutto di sviluppo di software Windows, consulenza tecnica e indagine sui malfunzionamenti, con punti di forza nei progetti in cui restano risorse esistenti e nelle indagini su guasti dalla causa difficile da individuare.