Backup e ripristino del piano per la protezione da ransomware

Gli attacchi ransomware crittografano o cancellano deliberatamente i dati e i sistemi per forzare l'organizzazione a pagare denaro agli utenti malintenzionati. Questi attacchi prendono di mira i tuoi dati, i tuoi backup e anche la documentazione chiave necessaria per il ripristino senza dover pagare gli attaccanti (come mezzo per aumentare le probabilità che la tua organizzazione paghi).

Questo articolo illustra le operazioni da eseguire prima di un attacco per proteggere i sistemi aziendali critici e durante un attacco per garantire un rapido ripristino delle operazioni aziendali.

Che cos'è il ransomware?

Il ransomware è un tipo di attacco basato sull’estorsione che crittografa file e cartelle, impedendo l'accesso a dati e sistemi importanti. Gli utenti malintenzionati usano i ransomware per estorcere denaro alle vittime, in genere sotto forma di criptovalute, in cambio di una chiave di decrittografia o in cambio di non rilasciare dati sensibili al Dark Web o alla rete Internet pubblica.

Mentre i primi ransomware utilizzavano principalmente malware che si diffondevano tramite phishing o tra i dispositivi, il ransomware umano è una minaccia emergente in cui una banda di cybercriminali attivi, guidata da operatori di attacco umani, prende di mira tutti i sistemi di un'organizzazione piuttosto che un singolo dispositivo o un insieme di dispositivi. Un attacco può:

  • Crittografare i dati
  • Esfiltrare i tuoi dati
  • Danneggiare i backup

Il ransomware utilizza la conoscenza dei cybercriminali sulle configurazioni e vulnerabilità comuni di sistema e sicurezza per infiltrarsi nell'organizzazione, orientarsi nella rete aziendale e adattarsi all'ambiente e alle sue debolezze man mano che si muovono.

I cybercriminali possono mettere in pratica il ransomware per esfiltrare prima i tuoi dati, per diverse settimane o mesi, prima che il ransomware venga effettivamente eseguito in una data specifica.

Il ransomware può anche crittografare lentamente i dati mantenendo la chiave nel sistema. Con la chiave ancora disponibile, i tuoi dati sono utilizzabili dall’utente e il ransomware passa inosservato. I backup sono tuttavia dei dati crittografati. Dopo che tutti i dati sono stati crittografati e i backup recenti sono anche di dati crittografati, la chiave viene rimossa in modo da non poter più leggere i dati.

Il vero danno spesso avviene quando l'attacco esfiltra file lasciando backdoor nella rete per future attività malevole. Questi rischi persistono indipendentemente dal pagamento del riscatto. Questi attacchi possono essere irreversibili per le operazioni aziendali e difficili da pulire, richiedendo una rimozione completa del nemico per proteggersi da attacchi futuri. A differenza delle prime forme di ransomware che richiedevano solo la correzione dei malware, il ransomware gestito dall'uomo può continuare a minacciare le operazioni aziendali anche dopo l'evento iniziale.

Impatto di un attacco

L'impatto di un attacco ransomware su qualsiasi organizzazione è difficile da quantificare accuratamente. A seconda dell'ambito di attacco, l'impatto potrebbe includere:

  • Perdita dell'accesso ai dati
  • Interruzione dell'operazione aziendale
  • Perdita finanziaria
  • Furto di proprietà intellettuale
  • Compromissione della fiducia dei clienti o della reputazione
  • Spese legali

Come ci si può proteggere?

Il modo migliore per evitare di diventare di un ransomware è implementare misure preventive e avere strumenti che proteggono l'organizzazione da ogni passo che gli utenti malintenzionati potrebbero compiere per infiltrarsi nei sistemi.

È possibile ridurre l'esposizione locale spostando l'organizzazione in un servizio cloud. Microsoft investe in capacità di sicurezza native che rendono Microsoft Azure resiliente agli attacchi ransomware e aiutano le organizzazioni a sconfiggere le tecniche di attacco ransomware. Per una visione completa del ransomware e dell'estorsione e su come proteggere l'organizzazione, utilizzare le informazioni contenute nella presentazione PowerPoint del Piano di mitigazione del ransomware gestito dall'uomo.

Supponiamo che a un certo punto tu sia vittima di un attacco ransomware. Una delle misure più importanti che è possibile adottare per proteggere i dati ed evitare di pagare un riscatto consiste nell'avere un piano di backup e ripristino affidabile per le informazioni critiche. Poiché gli autori di attacchi ransomware investono ingenti risorse per neutralizzare le applicazioni di backup e le funzionalità del sistema operativo come la copia shadow del volume, è fondamentale disporre di backup a cui un malintenzionato non possa accedere.

Backup di Azure

Backup di Azure garantisce la sicurezza per l'ambiente di backup, sia quando i dati sono in transito che inattivi. Con Backup di Azure, è possibile eseguire il backup:

  • File, cartelle e stato del sistema locali
  • Macchine virtuali Windows/Linux intere
  • Dischi gestiti di Azure
  • Condivisioni file di Azure in un account di archiviazione
  • SQL Server database in esecuzione in macchine virtuali Azure

I dati di backup vengono archiviati nello storage di Azure e l'utente malintenzionato o il guest non ha accesso diretto allo storage di backup o ai suoi contenuti. Con il backup delle macchine virtuali, la creazione e l'archiviazione degli snapshot di backup vengono eseguite dall'infrastruttura di Azure, dove l'utente ospite o l'attaccante non ha alcun coinvolgimento se non per la sospensione del carico di lavoro per i backup coerenti a livello di applicazione. Con SQL e SAP HANA, l'estensione di backup ottiene un accesso temporaneo per scrivere su blob specifici. In questo modo, anche in un ambiente compromesso, l'attaccante non può manomettere o cancellare backup esistenti.

Backup di Azure offre funzionalità predefinite di monitoraggio e avvisi per visualizzare e configurare azioni per gli eventi correlati alle Backup di Azure. I report di Backup fungono da destinazione unica per tenere traccia dell'utilizzo, controllare backup e ripristino e rilevare le tendenze principali a diversi livelli di granularità. L'uso degli strumenti di monitoraggio e creazione di report di Backup di Azure può avvisare l'utente a qualsiasi attività non autorizzata, sospetta o dannosa non appena si verificano.

Backup di Azure include controlli per assicurarsi che solo gli utenti validi possano eseguire varie operazioni. Questi controlli aggiungono un ulteriore livello di autenticazione. Per aggiungere un ulteriore livello di autenticazione per le operazioni critiche, viene richiesto di immettere un PIN di sicurezza prima di modificare i backup online.

Altre informazioni sulle funzionalità di sicurezza integrate in Backup di Azure.

Convalidare i backup

Verificare che il backup sia corretto man mano che questo viene creato e prima del ripristino. Usare un insieme di credenziali di Servizi di ripristino, che è un'entità di archiviazione di Azure che ospita i dati. I dati sono in genere copie di dati o informazioni di configurazione per macchine virtuali, carichi di lavoro, server o workstation. È possibile usare gli insiemi di credenziali di Servizi di ripristino per contenere dati di backup per vari servizi di Azure, ad esempio macchine virtuali IaaS (Linux e Windows) e database SQL di Azure nonché asset locali. Le cassaforti dei Servizi di ripristino semplificano l'organizzazione dei dati di backup e forniscono funzionalità come:

  • Capacità migliorate per garantire che tu possa proteggere i tuoi backup e recuperare dati in sicurezza, anche se i server di produzione e backup sono compromessi. Per maggiori informazioni, consulta Funzionalità di sicurezza per proteggere i backup ibridi che utilizzano Backup di Azure.
  • Monitoraggio per l'ambiente IT ibrido (Azure macchine virtuali IaaS e asset locali) da un portale centrale. Per maggiori informazioni, consulta Monitora i carichi di lavoro di Backup di Azure.
  • Compatibilità con Azure controllo degli accessi in base al ruolo (Azure RBAC), che limita l'accesso ai backup e al ripristino a un set definito di ruoli utente. L'Azure RBAC (controllo degli accessi in base al ruolo) fornisce vari ruoli predefiniti, e Backup di Azure ha tre ruoli predefiniti per gestire i punti di ripristino. Per maggiori informazioni, vedi Usa il controllo accessi basato su ruoli Azure per gestire i punti di recupero Backup di Azure.
  • Protezione contro l'eliminazione temporanea, anche se un soggetto malintenzionato elimina un backup o i dati di backup vengono eliminati accidentalmente. Backup di Azure conserva i dati di backup per 14 giorni in più, permettendo il recupero di un elemento di backup senza perdita di dati. Per maggiori informazioni, consulta Funzionalità di sicurezza per aiutare a proteggere i backup cloud che utilizzano Backup di Azure.
  • Cross Region Restore, che ti permette di ripristinare le VM Azure in una regione secondaria, ovvero una regione Azure a coppia. È possibile ripristinare i dati replicati nell'area secondaria in qualsiasi momento. Il Cross Region Restore ti permette di ripristinare i dati delle regioni secondarie per la conformità agli audit e durante scenari di interruzione, senza aspettare che Azure dichiari un disastro, a differenza delle impostazioni GRS del vault. Per maggiori informazioni, consulta Cross Region Restore.

Nota

Backup di Azure ha due tipi di vault. Oltre ai vault Recovery Services, Backup di Azure include vault Backup che ospitano i dati dei carichi di lavoro più recenti supportati da Backup di Azure.

Cosa fare prima di un attacco

Come accennato in precedenza, si deve presupporre che a un certo punto si cadrà vittima di un attacco ransomware. Identificando i sistemi critici per l'azienda e applicando le procedure consigliate prima di un attacco, sarà possibile tornare operativi il più rapidamente possibile.

Determinare cosa è più importante

Ransomware può attaccare mentre stai pianificando un attacco in modo che la massima priorità sia identificare i sistemi critici più importanti e iniziare a eseguire regolarmente i backup di tali sistemi.

L'esperienza di Microsoft dimostra che le cinque applicazioni più importanti per i clienti rientrano nelle seguenti categorie in questo ordine di priorità:

  • Sistemi di gestione delle identità: necessari per consentire agli utenti di accedere a tutti i sistemi (inclusi tutti gli altri descritti di seguito), ad esempio Active Directory, Microsoft Entra Connect, controller di dominio ACTIVE
  • Vita umana: qualsiasi sistema che supporti la vita umana o possa metterla a rischio come sistemi di supporto medico o vitale, sistemi di sicurezza (ambulanza, sistemi di invio, controllo del traffico), macchinari di grandi dimensioni, sistemi chimici e biologici, produzione di alimenti o prodotti personali e altri
  • Sistemi finanziari: sistemi che elaborano le transazioni monetarie e mantengono il funzionamento aziendale, ad esempio i sistemi di pagamento e i database correlati, il sistema finanziario per la creazione di report trimestrali
  • Abilitazione del prodotto o del servizio: tutti i sistemi necessari per fornire i servizi aziendali o produrre e distribuire prodotti fisici che i clienti pagano, sistemi di controllo di fabbrica, sistemi di distribuzione e spedizione del prodotto e simili
  • Sicurezza (minima) – Dare priorità ai sistemi di sicurezza necessari per monitorare eventuali attacchi e fornire servizi di sicurezza minima. Concentrati sul garantire che gli attacchi attuali o quelli facili e opportunistici non possano immediatamente ottenere o riottenere l'accesso ai tuoi sistemi restaurati

L'elenco di backup con priorità diventa anche l'elenco di ripristino con priorità. Dopo aver identificato i tuoi sistemi critici e effettuato regolarmente backup, prendi provvedimenti per ridurre il livello di esposizione.

Misure da adottare prima di un attacco

Applicare queste procedure consigliate prima di un attacco.

Attività Dettagli
Identifica prima i sistemi importanti che devi riattivare utilizzando le prime cinque categorie sopra e inizia subito a eseguire backup regolari di quei sistemi. Per tornare in funzione il più rapidamente possibile dopo un attacco, determinare oggi cosa è più importante.
Eseguire la migrazione dell'organizzazione al cloud.

Prendere in considerazione l'acquisto di un piano di supporto Microsoft Unified Support o collaborare con un partner per ricevere supporto per il passaggio al cloud.		 Ridurre l'esposizione locale, spostando i dati in servizi cloud con backup automatico e rollback self-service. Microsoft Azure offre un set completo di strumenti per aiutarti a fare backup ai tuoi sistemi critici per l'azienda e a ripristinare i backup più rapidamente.

Microsoft Unified Support è un modello di supporto ai servizi cloud che ti aiuta quando ne hai bisogno. Supporto unificato:

Fornisce un team designato disponibile 24x7 per la risoluzione dei problemi secondo necessità e l'escalation di incidenti critici.

Aiuta nel monitoraggio dell'integrità dell'ambiente IT e funziona in modo proattivo per garantire la prevenzione dei problemi
Spostare i dati utente in soluzioni cloud come OneDrive e SharePoint per sfruttare il controllo delle versioni e le capacità del Cestino.

Informare gli utenti su come recuperare i propri file autonomamente per ridurre i ritardi e i costi di ripristino. Ad esempio, se i file di OneDrive di un utente sono stati infettati da malware, possono restore l'intero OneDrive a un'ora precedente.

Prendere in considerazione una strategia di difesa, ad esempio Microsoft Defender XDR prima di consentire agli utenti di ripristinare i propri file.		 Funzionalità integrate di sicurezza e gestione dei dati possono proteggere i dati degli utenti nel cloud Microsoft.

È utile insegnare agli utenti come ripristinare i propri file, ma bisogna fare attenzione a non ripristinare il malware usato per l'attacco. Prendi queste precauzioni:

Assicurati che i tuoi utenti ripristinino i loro file solo dopo essere sicuro che l'attaccante sia stato eliminato.

Prevedi una mitigazione nel caso in cui un utente ripristini parte del malware.

Microsoft Defender XDR usa azioni automatiche e playbook basati sull'intelligenza artificiale per correggere gli asset interessati in uno stato sicuro. Microsoft Defender XDR utilizza le capacità di bonifica automatica dei prodotti della suite per garantire che tutti gli asset colpiti legati a un incidente vengano risolti automaticamente quando possibile.
Implementare il benchmark di sicurezza del cloud Microsoft . Il benchmark di sicurezza cloud di Microsoft è il framework di controllo della sicurezza di Microsoft basato su framework di controllo di sicurezza basati sul settore come NIST SP800-53, CIS Controls v7.1. Il benchmark fornisce alle organizzazioni indicazioni su come configurare i servizi Azure e Azure e implementare i controlli di sicurezza. Vedere Backup e ripristino.
Eseguire regolarmente il piano di continuità operativa/ripristino di emergenza (BC/DR).

Simulare gli scenari di risposta agli incidenti. Pianifica e conduci esercizi intorno alle liste di backup e ripristino prioritarie.

Testare regolarmente lo scenario "Ripristina da zero" per garantire che il piano di continuità aziendale e risposta alle emergenze possa riportare rapidamente online le operazioni aziendali critiche dallo stato di azzeramento delle funzionalità (tutti i sistemi sono inattivi).		 Garantisce un rapido ripristino delle operazioni aziendali, trattando un attacco ransomware o estorsione con la stessa importanza di una calamità naturale.

Condurre esercizi pratici per convalidare processi e procedure tecniche tra i team, incluse comunicazioni con clienti e dipendenti fuori banda (è presumibile che tutte le funzionalità e-mail, chat ecc. siano fuori uso).
Prendere in considerazione la creazione di un registro dei rischi per identificare i potenziali rischi e affrontare il modo in cui si media attraverso controlli e azioni preventivi. Aggiungere il ransomware al registro dei rischi come scenario ad alta probabilità e ad alto impatto. Un registro dei rischi può aiutare a classificare in ordine di priorità i rischi in base alla probabilità che si verifichino e alla gravità per l'azienda nel caso in cui dovessero verificarsi.

Monitorare lo stato della mitigazione attraverso il ciclo di valutazione della Enterprise Risk Management (ERM ).
Eseguire automaticamente il backup di tutti i sistemi aziendali critici in base a una pianificazione regolare (incluso il backup di dipendenze critiche come Active Directory).

Convalidare che il backup sia corretto mentre viene creato.		 Consente di ripristinare i dati fino all'ultimo backup.
Proteggere (o stampare) documenti e sistemi di supporto necessari per il ripristino, ad esempio documenti di procedura di ripristino, database di gestione della configurazione (CMDB), diagrammi di rete e istanze SolarWinds. Gli utenti malintenzionati puntano deliberatamente a queste risorse perché influiscono sulla vostra capacità di ripristino.
Documentare le procedure per l'utilizzo di supporto di terze parti, in particolare il supporto da parte dei fornitori di threat intelligence, fornitori di soluzioni antimalware e del fornitore di analisi malware. Proteggi o stampa queste procedure. I contatti di terze parti potrebbero essere utili se la variante di ransomware in questione include debolezze note o se sono disponibili strumenti di decrittazione.
Garantire che la strategia di backup e ripristino includa:

Capacità di eseguire il backup temporizzato dei dati.

Memorizza più copie di backup in posizioni isolate, offline (air-gapped).

Obiettivi di tempo di recupero che determinano quanto velocemente puoi recuperare le informazioni di backup e inserirle in un ambiente di produzione.

Ripristino rapido del backup in un ambiente di produzione o sandbox.		 I backup sono essenziali per la resilienza dopo che un'organizzazione viene violata. Applicare la regola 3-2-1 per la massima protezione e disponibilità: 3 copie (backup originale + 2), 2 tipi di archiviazione e 1 in un altro luogo o copia ad accesso sporadico.
Proteggere i backup dalla cancellazione e la crittografia intenzionali:

Archiviare i backup in una risorsa di archiviazione offline o in un altro luogo e/o in una risorsa di archiviazione non modificabile.

Richiedere passaggi fuori banda, come MFA o un PIN di sicurezza, prima di consentire modifiche o cancellazioni di un backup online.

Creare endpoint privati all'interno della rete virtuale di Azure per eseguire il backup e il ripristino dei dati in modo sicuro dal vault di Backup di Azure Recovery Services.		 Gli attaccanti possono rendere inutilizzabili i backup accessibili per il recupero aziendale.

Lo storage offline garantisce un trasferimento completo dei dati di backup senza utilizzare alcuna larghezza di banda di rete. Backup di Azure supporta il backup offline, che trasferisce i dati di backup iniziali offline, senza l'uso della larghezza di banda di rete. Il backup offline offre un meccanismo per copiare i dati di backup nei dispositivi di archiviazione fisica. I dispositivi vengono quindi spediti a un data center di Azure nelle vicinanze e caricati in un archivio di Recovery Services.

L'archiviazione non modificabile online(ad esempio Azure BLOB) consente di archiviare oggetti dati business critical in uno stato WORM (Write Once, Read Many). Questo stato WORM rende i dati non cancellabili e non modificabili per un intervallo specificato dall'utente.

L'autenticazione multifattore (MFA) è obbligatoria per tutti gli account amministratori e fortemente raccomandata a tutti gli utenti. Il metodo preferito consiste nell'usare un'app di autenticazione anziché un SMS o una voce, dove è possibile. Quando configuri Backup di Azure, puoi configurare i tuoi servizi di recupero per abilitare la MFA usando un PIN di sicurezza generato nel portale Azure. Questo processo garantisce che venga generato un PIN di sicurezza per eseguire operazioni critiche come l'aggiornamento o la rimozione di un punto di recupero.
Designare le cartelle protette. Rende più difficile per le applicazioni non autorizzate modificare i dati in queste cartelle.
Esaminare le autorizzazioni:

Individuare autorizzazioni di scrittura/eliminazione generali per condivisioni file, SharePoint e altre soluzioni. Per estese si intende il numero di utenti che dispongono di autorizzazioni di scrittura/eliminazione dei dati critici dell'azienda.

Ridurre le autorizzazioni ampie rispettando i requisiti di collaborazione aziendale.

Eseguire verifiche e monitoraggi per accertarsi che le ampie autorizzazioni non appaiano nuovamente.		 Riduce i rischi di attività ransomware che abilitano un ampio accesso.
Proteggere da un tentativo di phishing:

Conduci regolarmente attività di formazione sulla sicurezza informatica per aiutare gli utenti a riconoscere i tentativi di phishing ed evitare di fare clic su elementi che potrebbero creare un punto di accesso iniziale per una compromissione.

Applicare controlli di filtri di protezione all’e-mail per rilevare e ridurre al minimo la probabilità che un tentativo di phishing vada a buon fine.		 Il metodo più comune usato dagli utenti malintenzionati per infiltrarsi in un'organizzazione è il tentativo di phishing tramite e-mail. Exchange Online Protection (EOP) è il servizio di filtro basato sul cloud che protegge l'organizzazione da posta indesiderata, malware e altre minacce alla posta elettronica. EOP è incluso in tutte le organizzazioni Microsoft 365 con cassette postali di Exchange Online.

Un esempio di controllo del filtro di protezione alla posta elettronica è Collegamenti sicuri. Safe Links è una funzione di Defender per Office 365 che scansiona e riscrive URL e link nei messaggi email durante il flusso di posta in entrata e fornisce la verifica in base al momento del clic di URL e link nei messaggi email e in altre località (Microsoft Teams e documenti Office). L'analisi di Collegamenti sicuri si aggiunge alla normale protezione da posta indesiderata e antimalware nei messaggi e-mail in ingresso in EOP. L'analisi dei collegamenti sicuri consente di proteggere l'organizzazione da collegamenti dannosi usati nel phishing e in altri attacchi.

Per maggiori informazioni, consulta la protezione anti-phishing in EOP.

Cosa fare durante un attacco

Se si subisce un attacco, l'elenco di backup con priorità diventa l'elenco di ripristino con priorità. Prima di eseguire il ripristino, verificare di nuovo che il backup sia valido. Potresti riuscire a cercare malware all'interno del backup.

Misure da adottare durante un attacco

Applicare queste procedure consigliate durante un attacco.

Attività Dettagli
All'inizio dell'attacco, si rivolge al supporto di terze parti, in particolare a fornitori di threat intelligence, fornitori di soluzioni antimalware e fornitore di analisi malware. Questi contatti potrebbero essere utili se la variante di ransomware in questione ha una debolezza nota o se sono disponibili strumenti di decrittazione.

Il team Risposta agli incidenti Microsoft aiuta l'utente a proteggersi dagli attacchi. Microsoft Incident Response interagisce con i clienti di tutto il mondo, aiutando a proteggere e rafforzare contro gli attacchi prima che si verifichino, oltre a indagare e risolvere quando un attacco si verifica.

Microsoft fornisce Servizi di ripristino rapido da ransomware. La Microsoft Global Compromise Recovery Security Practice (CRSP) fornisce in esclusiva questi servizi. Durante un attacco ransomware questo team si concentra sul ripristino del servizio di autenticazione e limitare l'impatto del ransomware.

Microsoft Incident Response fa parte della linea di servizi di sicurezza Soluzioni di settore Delivery di Microsoft.
Contattare le forze dell'ordine locali o federali. Se ti trovi negli Stati Uniti, contatta l'FBI per segnalare una violazione ransomware utilizzando il modulo di segnalazione di reclami IC3.
Prendere provvedimenti per rimuovere il payload malware o ransomware dall'ambiente per arrestarne la diffusione.

Eseguire un'analisi antivirus completa e aggiornata su tutti i computer e i dispositivi sospetti per rilevare e rimuovere il payload associato al ransomware.

Analizzare i dispositivi che sincronizzano i dati o le destinazioni delle unità di rete mappate.		 Puoi usare Microsoft Defender Antivirus.

Un' ulteriore alternativa che aiuterà a rimuovere ransomware o malware è lo Strumento di rimozione malware (MSRT).
Ripristinare prima i sistemi critici per il business. Ricordarsi di convalidare di nuovo che il backup sia valido prima del ripristino. A questo punto, non è necessario ripristinare tutto. Concentrati sui primi cinque sistemi aziendali critici presenti nel tuo elenco di ripristino.
Se esistono backup offline, probabilmente puoi ripristinare i dati criptati dopo aver rimosso il payload ransomware (malware) dal tuo ambiente. Per prevenire attacchi futuri, assicurati che ransomware o malware non siano presenti nel backup offline prima di ripristinare.
Identifica un'immagine di backup sicura, creata in un momento preciso, che sai non essere infetta.

Se si utilizza l'insieme di credenziali di Servizi di ripristino, esaminare attentamente la sequenza temporale dell'incidente per comprendere il momento giusto per ripristinare un backup.		 Per evitare attacchi futuri, prima del ripristino analizzare il backup per verificare la presenza di ransomware o malware.
Usare uno scanner di sicurezza e altri strumenti per il ripristino completo del sistema operativo, nonché per scenari di ripristino dei dati. Microsoft Safety Scanner è uno strumento di analisi progettato per trovare e rimuovere malware dai computer Windows. Scaricarlo ed eseguire un'analisi per trovare il malware e provare a invertire le modifiche apportate dalle minacce identificate.
Mantieni aggiornati il tuo antivirus o la tua soluzione di endpoint detection and response (EDR), nonché le patch. È preferibile una soluzione EDR, ad esempio Microsoft Defender per endpoint.
Dopo che i sistemi critici sono tornati operativi, ripristinare altri sistemi.

Mentre ripristini i sistemi, inizia a raccogliere dati di telemetria così da poter prendere decisioni formative su ciò che stai ripristinando.		 I dati di telemetria ti aiutano a identificare se il malware è ancora presente nei tuoi sistemi.

Dopo un attacco o una simulazione

Dopo un attacco ransomware o una simulazione di risposta agli eventi imprevisti, seguire questa procedura per migliorare i piani di backup e ripristino, nonché il comportamento di sicurezza:

  1. Individua le lezioni apprese quando il processo non ha funzionato bene e le opportunità per semplificare, accelerare o migliorare in altro modo il processo.
  2. Esegui un'analisi delle cause profonde delle sfide più grandi con sufficiente dettaglio da garantire che le soluzioni affrontino il problema giusto, inclusi persone, processi e tecnologia.
  3. Indagare e rimediare alla violazione originale. Coinvolgi il team di risposta agli incidenti di Microsoft (precedentemente DART) per aiutarti.
  4. Aggiornare la strategia di backup e ripristino in base alle lezioni apprese e alle opportunità. Classificare in ordine di priorità in base all'impatto più elevato e ai passaggi di implementazione più rapidi.

Passaggi successivi

Per le migliori pratiche nell'implementazione della protezione contro il ransomware, vedi Proteggi la tua organizzazione contro ransomware ed estorsione.

Informazioni chiave sul settore:

Microsoft Azure:

Microsoft 365:

Microsoft Defender XDR:

  • Last updated on