Enhancing Ransomware Resilience in VMware Environments ThroughImmutable Backup Architectures A Comparative Study of Veeam Backup & Replication and Cohesity Data Protect

Nel moderno mondo digitale, le aziende si affidano a vaste reti di macchine virtuali per gestire le loro operazioni più critiche, dalle transazioni bancarie ai record ospedalieri. Questi sistemi virtuali vivono su server potenti, spesso gestiti da un sistema di controllo centrale. Sebbene questa configurazione offra una grande efficienza, crea anche un singolo punto di vulnerabilità: se un attaccante prende il controllo del sistema di gestione, può bloccare o distruggere l'intera rete. Questa è la realtà del ransomware, un tipo di software malevolo che cripta i dati e richiede un pagamento per il loro rilascio. Negli ultimi anni, gli attaccanti si sono evoluti oltre il semplice blocco dei file; ora cercano attivamente e distruggono le copie di backup, sapendo che senza un modo per ripristinare i dati, le organizzazioni sono costrette a pagare. Per contrastare ciò, gli esperti di sicurezza si sono rivolti a un concetto chiamato immutabilità. In termini semplici, un backup immutabile è una copia di dati che è bloccata nel tempo. Una volta creata, non può essere alterata, eliminata o criptata per un periodo prestabilito, indipendentemente da chi tenti di accedervi. Questo crea un rifugio sicuro di dati puliti che rimane intatto anche se il resto del sistema cade sotto attacco.

Uno studio recente condotto dai ricercatori indipendenti Nawa Abduljalil Abdulaziz Abdulnoor, Ahmed Razzaz Ahmed Qaid e Rani Abduljalil Abdulaziz Abdulnoor esamina come due importanti piattaforme di protezione dei dati, Veeam Backup & Replication e Cohesity DataProtect, utilizzino questi principi di immutabilità per difendere gli ambienti virtuali. I ricercatori non hanno eseguito test di laboratorio o simulazioni di attacchi; hanno invece condotto un confronto dettagliato della documentazione ufficiale e dei design architettonici di entrambi i sistemi. Il loro obiettivo era comprendere come ciascuna piattaforma gestisce la sfida specifica della protezione dei backup in un ambiente VMware, dove molte macchine virtuali condividono lo stesso hardware sottostante e gli stessi strumenti di gestione. Lo studio rileva che, sebbene entrambe le aziende offrano soluzioni robuste per impedire al ransomware di cancellare i dati di ripristino, esse intraprendono percorsi fondamentalmente diversi per arrivarci.

La prima piattaforma, Veeam, si affida a una strategia di flessibilità e costruzione specializzata. Per rendere un backup immutabile, Veeam utilizza tipicamente un "repository Linux protetto". Immaginate una cassaforte sicura costruita con un tipo specifico di pietra che è difficile da rompere; in questo caso, la "pistone" è un sistema operativo Linux configurato appositamente. Quando un backup viene scritto in questo repository, il sistema applica un blocco che impedisce a qualsiasi file di essere spostato, modificato o eliminato per una durata specifica. Questa protezione avviene a livello di storage, il che significa che i file stessi sono protetti dal sistema che li ospita. Veeam utilizza anche un trucco intelligente con le password: genera credenziali monouso per spostare i dati in questa cassaforte. Una volta che i dati sono all'interno, la password viene scartata, quindi anche se un attaccante ruba l'accesso dell'amministratore principale, non può usarlo per aprire la cassaforte ed eliminare i backup. Inoltre, Veeam offre una funzione chiamata Secure Restore, che funge da controllo di sicurezza finale. Prima che una macchina ripristinata sia consentita di tornare nella rete live, il sistema la scansiona alla ricerca di malware nascosti, assicurando che il processo di ripristino non riporti accidentalmente in vita il virus.

La seconda piattaforma, Cohesity, affronta il problema dalla prospettiva di un sistema unificato, tutto in uno. Invece di fare affidamento su un archivio di storage separato e costruito appositamente, Cohesity integra l'immutabilità direttamente nel cuore della sua piattaforma software. Utilizza un file system nativo che tratta ogni snapshot di backup come un oggetto bloccato dal momento della sua creazione. Ciò significa che la protezione è tessuta nella struttura dell'intero sistema, non solo aggiunta come uno strato extra. Cohesity enfatizza anche un modello di sicurezza "Zero Trust", che presuppone che nessun utente, nemmeno un amministratore, debba essere considerato implicitamente fidato. Per far sì che ciò avvenga, il sistema può richiedere approvazioni multiple, o un "quorum", prima che possa essere intrapresa qualsiasi azione distruttiva. Se un account amministratore viene compromesso, l'attaccante non può eliminare i backup da solo; dovrebbe ingannare più account simultaneamente. Inoltre, Cohesità integra l'intelligenza artificiale e l'apprendimento automatico attraverso uno strumento chiamato DataHawk. Questo sistema monitora costantemente comportamenti insoliti, come un utente che improvvisamente elimina migliaia di file o dati che cambiano in modi insoliti, e segnala queste anomalie come potenziali attacchi ransomware prima che il danno sia compiuto.

I ricercatori hanno concluso che nessuno dei due sistemi è una soluzione magica che risolve il problema del ransomware da solo. Sia Veeam che Cohesity forniscono solide difese tecniche, ma la loro efficacia dipende interamente da come vengono configurati e gestiti. Veeam offre un controllo più granulare, permettendo alle organizzazioni di progettare architetture di storage complesse e multistrato, ma questo richiede un team con profonde conoscenze tecniche per una configurazione corretta. Se la configurazione è difettosa, la protezione può fallire. Cohesity, al contrario, offre un'esperienza più snella in cui le funzioni di sicurezza come l'immutabilità e il rilevamento delle minacce sono integrate nella piattaforma per impostazione predefinita, rendendola più facile da gestire ma richiedendo fiducia nel design integrato del fornitore. Lo studio suggerisce che la scelta migliore dipende dalle esigenze specifiche di un'organizzazione: coloro che possiedono ambienti di storage ampi e diversificati e personale IT esperto potrebbero preferire la flessibilità di Veeam, mentre chi cerca un approccio semplificato e centralizzato potrebbe trovare Cohesity più adatto.

In definitiva, il documento sottolinea che la tecnologia da sola non può garantire la sicurezza. I ricercatori evidenziano che anche il sistema di backup più avanzato fallirà se le persone che lo gestiscono non seguono regole di sicurezza rigorose. Ciò include la separazione degli account utilizzati per il lavoro quotidiano da quelli utilizzati per i backup, l'uso dell'autenticazione a più fattori per prevenire accessi non autorizzati e la divisione dell'intera rete in zone sicure in modo che un'infezione in un'area non possa diffondersi ai backup. Forse più importante di tutto, lo studio evidenzia che un backup è prezioso solo se viene testato. Le organizzazioni devono tentare regolarmente di ripristinare i propri dati per garantire che funzioni davvero e che i file siano puliti. I ricercatori hanno scoperto che la difesa più forte contro il ransomware non è un singolo prodotto, ma una combinazione di tecnologia immutabile, abitudini operative disciplinate e una cultura di verifica costante. In ultima analisi, l'obiettivo è garantire che, quando avviene un attacco, l'organizzazione abbia una copia affidabile e immutabile dei propri dati pronta per essere utilizzata, permettendo di recuperare senza pagare un riscatto.