Protezione ransomware in Azure

Il ransomware e l'estorsione sono attività ad alto profitto e basso costo, che hanno un impatto debilitante su organizzazioni mirate, sicurezza nazionale o regionale, sicurezza economica e salute e sicurezza pubblica. Ciò che è iniziato come semplice ransomware per singolo PC si è evoluto fino a includere varie tecniche di estorsione mirate a tutti i tipi di reti aziendali e piattaforme cloud.

Per aiutare a proteggere i carichi di lavoro che girano su Azure dagli attacchi ransomware, Microsoft investe molto nella sicurezza delle sue piattaforme cloud e fornisce i controlli di sicurezza necessari per proteggere i tuoi carichi di lavoro cloud Azure.

Utilizzando protezioni ransomware native di Azure e implementando le migliori pratiche raccomandate in questo articolo, stai adottando misure che posizionano la tua organizzazione per prevenire, proteggere e rilevare potenziali attacchi ransomware ai tuoi asset Azure.

Questo articolo descrive le principali capacità e difese native di Azure contro attacchi ransomware e guida su come utilizzare proattivamente queste funzionalità per proteggere i tuoi asset su Azure.

Come gli attaccanti prendono di mira le risorse cloud di Azure

Quando si attacca l'infrastruttura cloud, i criminali spesso attaccano più risorse per tentare di ottenere l'accesso ai dati dei clienti o ai segreti aziendali. Il modello cloud kill chain spiega come gli attaccanti tentino di accedere a qualsiasi delle tue risorse che eseguono nel cloud pubblico attraverso un processo in quattro fasi: esposizione, accesso, movimento laterale e azioni.

1. Nella fase di esposizione, gli attaccanti cercano opportunità per accedere alla tua infrastruttura. Ad esempio, gli utenti malintenzionati sanno che le applicazioni rivolte ai clienti, devono essere aperte per consentire agli utenti legittimi di accedervi. Queste applicazioni hanno esposizione a internet e quindi sono suscettibili agli attacchi.
2. Gli utenti malintenzionati tentano di sfruttare un'esposizione per ottenere l'accesso all'infrastruttura cloud pubblica. Gli attaccanti possono ottenere accesso tramite credenziali utente compromesse, istanze compromesse o risorse configurate in modo errato.
3. Durante la fase di spostamento laterale, gli utenti malintenzionati individuano le risorse a cui hanno accesso e qual è l'ambito di tale accesso. Gli attacchi riusciti sulle istanze consentono agli utenti malintenzionati di accedere ai database e ad altre informazioni riservate. L'utente malintenzionato cerca quindi altre credenziali. I dati di Microsoft Defender per il cloud mostrano che, senza uno strumento di sicurezza che ti notifichi rapidamente dell'attacco, le organizzazioni impiegano in media 101 giorni per scoprire una violazione. Nel frattempo, entro 24-48 ore dopo una violazione, l'attaccante di solito ha il controllo completo della rete.
4. Le azioni che un attaccante compie dopo il movimento laterale dipendono in gran parte dalle risorse a cui ha avuto accesso durante la fase di movimento laterale. Gli attaccanti possono intraprendere azioni che causano esfiltrazione di dati, perdita di dati o lanciare altri attacchi. Per le aziende, l'impatto finanziario medio della perdita di dati sta raggiungendo $1.23 milioni.

Vettori di attacco specifici di Azure

Quando prendono di mira ambienti di Azure, gli attaccanti ransomware sfruttano:

• Risorse Azure configurate male: account di archiviazione pubblicamente esposti, database o macchine virtuali con controlli di accesso deboli.
• Credenziali di Azure compromesse: furto di account Microsoft Entra ID, entità servizio o identità gestite che forniscono l'accesso alle risorse di Azure.
• VM Azure vulnerabili: macchine virtuali non patchate accessibili tramite Desktop remoto Protocol (RDP) o SSH.
• Sicurezza di rete debole: gruppi di sicurezza di rete (NSG) configurati in modo errato o regole Firewall di Azure.
• Protezione inadeguata per i backup: configurazioni Backup di Azure che mancano di immutabilità o protezione MFA.
• Scarsa sicurezza dell'identità: account Microsoft Entra ID senza autenticazione multifattore o politiche di accesso condizionato.

Microsoft Defender per il cloud monitora continuamente queste vulnerabilità nell'ambiente Azure. Per indicazioni complete sulle tecniche di attacco e sulle strategie di difesa, vedere Che cos'è il ransomware?

Protezioni native di Azure contro ransomware

Azure offre funzionalità predefinite per difendersi dagli attacchi ransomware in ogni fase del ciclo di vita degli attacchi. La migliore difesa contro il pagamento di riscatti è implementare misure preventive utilizzando strumenti di sicurezza Azure e assicurandosi di poter recuperare gli asset colpiti per ripristinare rapidamente le operazioni aziendali.

Le principali funzionalità di protezione nativa di Azure includono:

• Microsoft Defender per il cloud - Fornisce rilevamento e risposta alle minacce (XDR) per carichi di lavoro Azure, con capacità specifiche di rilevamento ransomware.
• Backup di Azure - Offre backup immutabili con protezione contro la cancellazione soft e la MFA per garantire opzioni di recupero.
• Firewall di Azure Premium - Include IDPS per rilevare e bloccare le comunicazioni di comando e controllo (C&C) del ransomware.
• Microsoft Entra ID Protection - Rileva furti di credenziali e modelli di autenticazione sospetti che prendono di mira le risorse Azure.
• Criteri di Azure - Applica configurazioni di sicurezza e conformità tra le risorse Azure.
• Microsoft Sentinel - Fornisce funzionalità SIEM/SOAR con analisi specifiche di rilevamento per ransomware.

Per informazioni dettagliate sulle funzionalità di Azure che consentono di proteggere, rilevare e rispondere al ransomware, vedere Funzionalità e risorse di Azure che consentono di proteggere, rilevare e rispondere.

Passaggi successivi

Continuare con le linee guida per la protezione ransomware specifiche di Azure:

• Preparati a un attacco ransomware - strategie di backup e recupero Azure.
• Rileva e rispondi agli attacchi ransomware - Usa Microsoft Defender per il cloud.
• Funzionalità e risorse di protezione ransomware di Azure - Funzionalità di sicurezza di Azure.
• Migliora le difese contro il ransomware con Firewall di Azure Premium
• Piano di backup e ripristino per la protezione da ransomware