È la risposta diretta al comportamento del ransomware moderno, che prima di cifrare cerca i backup e li distrugge. Se le copie sono raggiungibili e modificabili con le credenziali che l’attaccante ha rubato, spariscono insieme al resto.
L’immutabilità è imposta dal sistema che conserva le copie: per il periodo definito, la cancellazione viene semplicemente rifiutata. È diversa dal semplice «backup offline», che dipende dal fatto che qualcuno scolleghi fisicamente un supporto e si ricordi di riattaccarlo.
Perché è diventato necessario, e non lo era vent’anni fa
Le regole classiche del backup sono state scritte quando il nemico era il guasto: un disco che si rompe, un incendio, un errore umano. Contro quegli eventi bastano più copie in posti diversi, e la regola delle tre copie su due supporti con una fuori sede funziona ancora perfettamente.
Il ransomware ha cambiato il nemico. Chi attacca non danneggia i dati per caso: li cerca, e cerca anche le copie. Prima di cifrare qualsiasi cosa, un attacco moderno passa giorni a mappare l’azienda proprio per individuare dove stanno i backup, perché sa che è l’unica cosa che può vanificare il riscatto.
Il punto debole delle tre copie classiche è che sono tutte modificabili. Chi ottiene credenziali con privilegi alti le cancella o le cifra tutte, e la copia fuori sede sincronizzata si allinea diligentemente alla versione cifrata. Da qui la condizione aggiuntiva: almeno una copia deve essere non modificabile per un periodo stabilito.
Che cosa vuol dire, in pratica
Quando la copia viene scritta, il sistema la blocca per un tempo deciso in anticipo. Durante quel periodo nessuna credenziale può modificarla o cancellarla: non l’amministratore dell’azienda, non il tecnico del fornitore, non chi ha rubato le password.
Deve essere scomodo per funzionare
Se esiste un modo di disattivare il blocco «in caso di necessità», quel modo è esattamente ciò che userà l’attaccante dopo aver ottenuto i privilegi. È il non poterlo disattivare che rende utile la misura, e va accettato come vincolo di progetto.
Il periodo va scelto, non lasciato al valore predefinito
Va dimensionato su quanto tempo può passare fra la compromissione e la scoperta. Poiché nella maggior parte dei casi l’attaccante è dentro da settimane prima di manifestarsi, un blocco di sette giorni protegge meno di quanto sembri.
Non sostituisce le altre copie
La copia immutabile serve contro l’attacco. Contro il guasto quotidiano servono ancora copie rapide da ripristinare e vicine ai dati. Le due cose convivono e rispondono a rischi diversi.
Perché conta per un’azienda
Determina se il piano di ripristino funziona anche nello scenario che dovrebbe coprire. Un backup che l’attaccante può cancellare è un backup che copre solo i guasti, non gli attacchi.
L’errore che vediamo più spesso
Verificate per quanti giorni le copie restano immutabili. Gli attaccanti restano spesso settimane in rete prima di agire: una finestra di sette giorni può non bastare a tornare a una copia sicuramente pulita.