L’ordine corretto è controintuitivo
Quasi tutto ciò che l’istinto suggerisce nelle prime ore peggiora la situazione. Vale la pena conoscere la sequenza giusta prima che serva, perché nel momento in cui serve non c’è tempo per impararla.
1. Isolare, non spegnere
Staccare dalla rete le macchine coinvolte ferma la propagazione. Spegnerle brutalmente distrugge informazioni che servono a capire cosa è successo e da dove è entrato — e a volte distrugge anche l’unica possibilità di recuperare qualcosa.
È la differenza fra un incidente che si ricostruisce e uno che resta senza spiegazione, con la conseguenza che non si sa nemmeno se sia stato davvero chiuso.
2. Guardare i backup prima di toccarli
Va verificato quale copia è integra, e va protetta prima di qualsiasi altra operazione. Se le copie sono raggiungibili dalla rete compromessa, vanno isolate anche loro: il ransomware moderno cerca i backup prima di cifrare, ed è possibile che siano già stati raggiunti.
3. Non ripristinare finché non si sa da dove è entrato
È l’errore più costoso. Se l’attaccante è dentro da tre settimane — e nella maggior parte dei casi lo è — le copie di quel periodo contengono già il suo accesso. Ripristinare al buio significa rimettere in piedi l’azienda e l’attacco insieme, e scoprirlo la settimana dopo.
4. Cambiare le credenziali privilegiate, da una macchina pulita
Amministratori di dominio, accessi ai sistemi di virtualizzazione, console dei backup, accessi remoti. Da un computer che si sa non compromesso, altrimenti le nuove credenziali finiscono nello stesso posto delle vecchie.
5. Documentare mentre si lavora
Orari, azioni, evidenze. Serve a voi per capire, e serve se c’è da notificare: il GDPR chiede la notifica entro settantadue ore da quando si acquisisce consapevolezza, quando la violazione comporta un rischio per le persone.
La parte che manca quasi sempre
Non è tecnica. È sapere chi fa cosa, e va deciso quando non sta succedendo niente.
- Chi ha l’autorità di staccare i sistemi, con il costo di fermo che comporta;
- Chi si mette in contatto con il fornitore informatico, e a quale numero fuori orario;
- Chi valuta se la violazione va notificata, e chi la firma;
- Chi parla con i clienti e con i fornitori, e cosa dice nelle prime ore, quando non si sa ancora abbastanza;
- Dove sono le credenziali di emergenza, se i sistemi che le contengono sono quelli compromessi.
Quest’ultimo punto è più frequente di quanto sembri: le credenziali custodite in un gestore che si apre solo dal computer bloccato dal ransomware sono credenziali che non avete.
Sul pagamento del riscatto
È una decisione della direzione e non diamo consigli generici, ma tre elementi vanno messi sul tavolo prima di discuterne.
Il pagamento non garantisce il recupero: lo strumento di decifratura fornito è spesso lento, parziale o difettoso. Non rimuove l’accesso: se non si è capito da dove è entrato, l’attaccante resta dentro e può tornare. E non cambia nulla degli obblighi: se sono coinvolti dati personali, la valutazione e l’eventuale notifica restano identiche.
Che cosa prepariamo prima
Un piano che regge è breve e concreto: una pagina con i nomi, i numeri di telefono e la sequenza. A questo si aggiungono le tre cose che rendono possibile ricostruire un incidente, e che vanno attivate quando non serve.
I registri, attivi e conservati per un periodo sufficiente. Senza, la domanda «da dove è entrato» non ha risposta.
L’inventario, perché senza sapere cosa si ha non si sa cosa controllare.
Una copia non modificabile, che è l’unica cosa che rende il ripristino una scelta invece che una speranza. Ne parliamo nel backup remoto.
Il resto
Vedi anche che cosa fare in caso di violazione dei dati per la parte di adempimenti, la cybersecurity e NIS2 per la governance e la sicurezza informatica per le difese che riducono la probabilità che serva.
Se sta succedendo adesso
Chiamateci prima di spegnere o ripristinare qualcosa. Il primo consiglio non si paga, ed è quello che decide come finisce.