Backup immutabile: cos'è e perché protegge dal ransomware

Chi organizza un attacco ransomware sa che un'azienda con backup funzionanti può ripartire senza pagare. Per questo, prima di cifrare i dati, gli attaccanti cercano i backup per cancellarli o renderli inutilizzabili. Il backup immutabile nasce proprio per resistere a questo scenario.

Cos'è un backup immutabile

Un backup immutabile è una copia dei dati che, una volta scritta, non può essere modificata né cancellata per un periodo di conservazione stabilito. Non importa chi ci provi: un utente, un amministratore, un software malevolo o un attaccante che ha rubato le credenziali più elevate. Fino alla scadenza del periodo, i dati restano esattamente come sono stati salvati.

Il principio è spesso indicato con la sigla WORM (Write Once, Read Many): si scrive una volta, si legge quante volte serve.

Perché i backup tradizionali non bastano contro il ransomware

Negli attacchi più strutturati, il criminale resta nella rete per giorni o settimane prima di agire. In quel tempo:

• individua il server di backup e le credenziali per accedervi;
• cancella o cifra le copie raggiungibili dalla rete;
• disattiva i processi di backup o riduce la conservazione;
• solo alla fine avvia la cifratura dei dati principali.

Se il backup è un disco collegato, una cartella condivisa o un sistema gestito con le stesse credenziali del dominio, rischia di essere compromesso insieme a tutto il resto. Un backup immutabile, invece, resiste anche quando l'attaccante ha ottenuto i privilegi di amministratore.

Come si ottiene l'immutabilità

Esistono diversi approcci, spesso combinati:

• storage a oggetti con blocco dei dati: molti servizi cloud e alcuni sistemi on-premise permettono di impostare un blocco temporale sugli oggetti salvati, che impedisce cancellazioni e modifiche fino alla scadenza;
• repository di backup rinforzati: server Linux dedicati, con accessi minimi e file protetti a livello di sistema, che il software di backup può scrivere ma non alterare;
• appliance di backup con funzioni di immutabilità integrate;
• supporti offline, come i nastri rimossi dalla libreria: non sono immutabili in senso tecnico, ma essendo scollegati sono irraggiungibili dalla rete.

Elemento comune: la gestione dell'immutabilità deve essere separata dagli account di uso quotidiano, protetta da autenticazione a più fattori e, dove possibile, da procedure che richiedono più persone per modifiche critiche.

Le scelte da fare: conservazione e ripristino

Quanto deve durare il periodo di immutabilità?

Deve essere abbastanza lungo da coprire il tempo che può passare tra l'ingresso dell'attaccante e la scoperta dell'attacco. Un periodo troppo breve rischia di proteggere solo copie già compromesse. Va bilanciato con lo spazio necessario e i relativi costi, e con eventuali requisiti di conservazione dei dati.

Quanto velocemente devo ripartire?

L'immutabilità protegge i dati, ma non garantisce da sola tempi di ripristino rapidi. Occorre definire obiettivi chiari: quanto tempo l'azienda può restare ferma (RTO) e quanti dati può permettersi di perdere (RPO). Da questi dipendono frequenza dei backup, posizione delle copie e infrastruttura di ripristino.

Ho provato a ripristinare?

Un backup immutabile ma mai testato può nascondere problemi: copie incomplete, sistemi esclusi, procedure non documentate. I test di ripristino periodici restano indispensabili.

Dove si colloca nella strategia di backup

Il backup immutabile non sostituisce le altre copie, le completa. Nella variante moderna della regola del backup 3-2-1, detta 3-2-1-1-0, rappresenta proprio quell'"1" in più: almeno una copia offline o immutabile. Accanto, servono una protezione degli endpoint capace di rilevare l'attacco in corso, come un EDR, e un monitoraggio costante degli esiti dei backup.

Checklist rapida

• ☐ Almeno una copia di backup è immutabile o offline
• ☐ Il periodo di immutabilità è adeguato ai tempi di scoperta di un attacco
• ☐ Le credenziali del backup sono separate da quelle del dominio e protette da MFA
• ☐ Le modifiche alla conservazione richiedono controlli aggiuntivi
• ☐ RTO e RPO sono definiti e condivisi con la direzione
• ☐ I test di ripristino sono periodici e documentati

Un backup immutabile non impedisce l'attacco, ma riduce in modo significativo la possibilità che un incidente diventi una perdita definitiva di dati.

Come può aiutarti Area GUI

Area GUI progetta e gestisce soluzioni di backup con copie immutabili, conservazione calibrata sulle esigenze dell'azienda e test di ripristino periodici, all'interno di un piano di continuità operativa. Scopri il servizio Data Availability Service o contattaci per valutare la protezione dei tuoi backup.