Rilevamento del ransomware: tecniche e best practice

Come individuare l’attività dei ransomware: individuare le violazioni

Cybersecurity Ventures prevede che un attacco ransomware colpirà un consumatore o un’aziendaogni 2 secondi entro il 2031, con un costo medio per incidente che grava sulle imprese4,4 milioni di dollari nel 2025. Questi attacchi si sono evoluti, passando da semplici schemi di crittografia a operazioni sofisticate che combinano furto di dati, sabotaggio operativo e guerra psicologica contro le vittime.

Il rilevamento dei moderni ransomware richiede un approccio multilivello che combini analisi comportamentale, monitoraggio della rete e funzionalità di risposta automatizzata. Il successo dipende dal riconoscimento tempestivo dei modelli di attacco, dalla compromissione iniziale fino al movimento laterale, prima che abbia inizio la crittografia e si verifichi l’esfiltrazione dei dati.

Che cos’è il rilevamento del ransomware?

Rilevamento di ransomwarecomprende le tecnologie, i processi e le pratiche volte a identificare attività di crittografia dannose prima che compromettano i dati critici. L’obiettivo principale va oltre il semplice rilevamento delle firme note dei ransomware; un rilevamento efficace deve identificare anomalie comportamentali, modelli di traffico di rete insoliti e indicatori precoci di compromissione che precedono gli eventi di crittografia.

I metodi di attacco si dividono in due categorie distinte che richiedono approcci di rilevamento diversi. Gli attacchi più comuni sfruttano le e-mail di phishing e le vulnerabilità non corrette. I metodi avanzati impieganodoppia estorsionetattiche in cui gli autori degli attacchi procedono sia alla crittografia che all’esfiltrazione dei dati. Queste operazioni sofisticate comportano spesso compromissioni della catena di approvvigionamento, tecniche “living-off-the-land” e attacchi mirati contro i sistemi di backup.

Come individuare il ransomware

Il rilevamento tempestivo delle violazioni inizia con il monitoraggio dell’attività del file system, al fine di individuare modifiche rapide su più file, modelli di crittografia inattesi ed estensioni di file sospette. Il monitoraggio dell’attività degli account si concentra sull’individuazione di tentativi di escalation dei privilegi, orari o luoghi di accesso insoliti e accessi rapidi a più sistemi che si discostano dal normale comportamento degli utenti.

L’analisi comportamentale costituisce la base per individuare il ransomware prima che inizi la crittografia. Questo approccio identifica i processi che tentano di accedere in sequenza a un gran numero di file, le applicazioni che generano volumi insoliti di traffico di rete e i programmi che tentano di eliminare le copie shadow o di disabilitare gli strumenti di sicurezza. L’analisi comportamentale moderna è in grado di rilevare varianti sconosciute di ransomware riconoscendo questi modelli di attacco universali.

L’analisi dei log di sicurezza rivela segnali di allarme precoci critici attraverso tentativi di autenticazione falliti, in particolare relativi agli account amministrativi, installazioni inattese di servizi e attività insolite in PowerShell o dalla riga di comando. Le organizzazioni dovrebbero monitorare l’ID evento 4625 (accessi non riusciti), l’ID evento 4720 (creazione di nuovi account utente) e l’ID evento 7045 (installazione di nuovi servizi) come potenziali indicatori di compromissione.

Quando viene rilevata un’attività sospetta, l’isolamento immediato aiuta a prevenire la diffusione laterale. Ciò comporta la disconnessione dei sistemi compromessi dalle risorse di rete condivise, la disattivazione degli account utente che mostrano comportamenti anomali e il blocco degli indirizzi IP sospetti a livello di firewall. La rapidità è fondamentale: una volta attivato, il ransomware può crittografare migliaia di file al minuto.

I seguenti metodi rappresentano gli approcci fondamentali per individuare l’attività dei ransomware:

• Rilevamento basato sulle firme: confronta i campioni di ransomware noti con un database di firme di malware.
• Analisi euristica/comportamentale: identifica il ransomware sulla base delle azioni e dei modelli sospetti piuttosto che delle firme.
• Rilevamento delle anomalie: definisce il comportamento di riferimento e segnala eventuali scostamenti.
• Monitoraggio dell’integrità dei file: tiene traccia delle modifiche apportate ai file critici e alle configurazioni di sistema.
• Analisi del traffico di rete: monitora le comunicazioni di comando e controllo e l’esfiltrazione dei dati.
• Honeypot e tecniche di inganno: creano risorse fittizie per individuare e intrappolare gli aggressori.

Confronto tra i metodi di rilevamento del ransomware

La tabella seguente mette a confronto i principali metodi di rilevamento del ransomware e i relativi scenari di applicazione:

Migliori pratiche consigliate per la difesa dal ransomware

L’autenticazione a più fattori (MFA) rappresenta la prima linea di difesa. Le organizzazioni dovrebbero applicare l’MFA a tutti gli account, in particolare per gli accessi amministrativi, le connessioni VPN e i sistemi di posta elettronica. IlIncidenti relativi a Snowflakedimostrare l’importanza fondamentale di questo controllo.

La gestione delle patch è direttamente correlata al successo nella prevenzione del ransomware. Le vulnerabilità nelle applicazioni accessibili al pubblico, in particolare nelle VPN e negli strumenti di accesso remoto, costituiscono i punti di ingresso iniziali per gli aggressori. Le organizzazioni dovrebbero dare priorità all’applicazione delle patch in base alla disponibilità degli exploit e implementare la distribuzione automatizzata delle patch per gli aggiornamenti di sicurezza critici.

La formazione sulla consapevolezza in materia di sicurezza si concentra sul fattore umano. La formazione dovrebbe includere il riconoscimento delle e-mail sospette, la verifica delle richieste inaspettate tramite canali secondari e la segnalazione immediata di potenziali incidenti. Simulazioni periodiche di phishing aiutano a misurare l’efficacia della formazione e a identificare gli utenti che necessitano di ulteriore supporto.

Le strategie di backup richiedono un’attenta pianificazione per resistere agli attacchi mirati. I backup sicuri dovrebbero essereimmutabile, per impedire eventuali modifiche anche con credenziali amministrative, conservate offline oisolato (air-gapped)per contribuire a prevenire gli attacchi alla rete e sottoposte a test regolari tramite esercitazioni di ripristino completo. Le organizzazioni dovrebbero conservare più copie di backup su diversi tipi di supporti e in diverse località geografiche.

Il principio del privilegio minimo può limitare il potenziale di danno limitando l’accesso degli utenti alle sole risorse necessarie. Ciò comporta l’implementazione di controlli di accesso basati sui ruoli, l’obbligo di flussi di lavoro di approvazione per l’elevazione dei privilegi e lo svolgimento di revisioni periodiche degli accessi per rimuovere le autorizzazioni non necessarie.

Le seguenti strategie possono fornire ulteriori livelli di protezione contro gli attacchi ransomware:

• Strumenti di rilevamento a più livelli su endpoint, rete e ambienti cloud. Implementare soluzioni di rilevamento e risposta sugli endpoint (EDR) su tutti gli endpoint, soluzioni di rilevamento e risposta sulla rete a livello di perimetro e nei segmenti interni, nonché soluzioni di sicurezza cloud-native per le applicazioni SaaS.
• Mantenere aggiornati i sistemi e gli strumenti di sicurezza per individuare le ultime varianti di ransomware. Mantenere aggiornati i feed di intelligence sulle minacce, aggiornare quotidianamente le firme di rilevamento e partecipare ai programmi di condivisione delle informazioni sulle minacce del settore.
• Rivedi regolarmente le regole di rilevamento e adatta l’analisi comportamentale al tuo ambiente. Personalizza le soglie di rilevamento in base alle normali operazioni aziendali, crea eccezioni per gli strumenti amministrativi legittimi e modifica le regole in base ai tassi di falsi positivi.
• Utilizzate i feed di intelligence sulle minacce per migliorare il rilevamento grazie agli indicatori di compromissione (IoC) del ransomware in tempo reale. Abbonatevi a feed sulle minacce sia commerciali che open source, automatizzate l’acquisizione degli IoC negli strumenti di sicurezza e correlate i dati di telemetria interni con quelli esterni relativi alle minacce.

Tecniche per migliorare il rilevamento e la risposta al ransomware

La segmentazione della rete crea barriere difensive che aiutano a contenere la diffusione del ransomware. Una segmentazione efficace separa le postazioni di lavoro degli utenti dai server, isola i sistemi critici come i controller di dominio e i server di backup e implementa un firewall east-west tra i segmenti di rete. Le organizzazioni possono utilizzare le VLAN, le reti definite dal software (SDN) o la microsegmentazione per creare tali barriere.

Il monitoraggio continuo con il rilevamento delle anomalie basato sull’apprendimento automatico (ML) consente di identificare indicatori di attacco impercettibili che sfuggono ai sistemi basati su regole. Gli algoritmi di apprendimento automatico sono in grado di stabilire un comportamento di riferimento per utenti, applicazioni e traffico di rete, per poi segnalare eventuali deviazioni statisticamente significative. Questi sistemi aiutano a individuare varianti di ransomware “zero-day” e minacce interne.

I flussi di lavoro automatizzati per la risposta agli incidenti possono ridurre i tempi di risposta da ore a secondi. L’automazione consente di isolare gli endpoint infetti, disattivare gli account utente compromessi, bloccare indirizzi IP e domini dannosi e avviare la raccolta di dati forensi. Altre tecniche e strumenti includono:

• Rilevamento e risposta sugli endpoint (EDR): le piattaforme EDR offrono una visibilità approfondita sulle attività degli endpoint, rilevando la creazione di processi, le modifiche ai file, le connessioni di rete e le modifiche al registro di sistema. Le moderne soluzioni EDR utilizzano l’analisi comportamentale per individuare attività simili a quelle del ransomware e sono in grado di isolare automaticamente gli endpoint che mostrano segni di compromissione.
• Rilevamento e risposta estesi: le piattaforme XDR sono in grado di correlare i dati provenienti da endpoint, reti, carichi di lavoro nel cloud e sistemi di posta elettronica. Questa visione d’insieme consente di individuare catene di attacchi complesse che coinvolgono più sistemi e offre funzionalità unificate di risposta agli incidenti in tutto l’ambiente.
• Gestione delle informazioni e degli eventi di sicurezza (SIEM): i sistemi SIEM raccolgono e analizzano i dati di log provenienti dall’intera infrastruttura. Ai fini del rilevamento del ransomware, le piattaforme SIEM sono in grado di correlare indicatori quali tentativi di autenticazione falliti seguiti da accessi riusciti, trasferimenti di dati insoliti e manomissioni degli strumenti di sicurezza.
• Protezioni native del sistema operativo: i sistemi operativi includonoprotezioni integrate contro il ransomwarecome l’accesso controllato alle cartelle e il monitoraggio del comportamento di Windows Defender. Questi strumenti nativi offrono una protezione di base e si integrano con le piattaforme di sicurezza aziendali per una gestione centralizzata.
• Strumenti anti-ransomware specializzati: le soluzioni anti-ransomware appositamente progettate si concentrano in modo specifico sul rilevamento e sulla prevenzione degli attacchi di crittografia. Questi strumenti utilizzano tecniche quali il monitoraggio del file system, i file esca e algoritmi di rilevamento della crittografia ottimizzati per il comportamento del ransomware.

Come individuare il ransomware in una rete

Il rilevamento a livello di rete si concentra sull’identificazione dei modelli di comunicazione del ransomware e dei movimenti laterali. I team di sicurezza dovrebbero monitorare i volumi insoliti di traffico SMB/CIFS indicativi di enumerazione dei file, i picchi nelle query DNS che suggeriscono l’attività di algoritmi di generazione di domini e le connessioni in uscita verso infrastrutture di comando e controllo note. I tentativi di esfiltrazione dei dati si manifestano come trasferimenti di grandi quantità di dati verso servizi di archiviazione cloud, traffico crittografato verso destinazioni insolite e connessioni al di fuori dell’orario di lavoro.

I sensori di rete posizionati in punti strategici possono fornire visibilità sul traffico est-ovest. Questi sensori dovrebbero attivare avvisi in caso di modelli di accesso rapido ai file nelle condivisioni di rete, rilevamento di firme note di ransomware nel traffico di rete e identificazione di attività di crittografia tramite analisi dell’entropia. Il corretto posizionamento dei sensori prevede l’installazione lungo i perimetri di rete, tra i segmenti di rete e ai confini dei data center.

L’integrazione di più fonti di dati può garantire una visibilità completa. Le piattaforme SIEM e XDR sono in grado di correlare i dati telemetrici degli endpoint che evidenziano anomalie nei processi, i dati di rete che rivelano modelli di movimento laterale e i log di autenticazione che indicano l’uso improprio delle credenziali. Questa correlazione consente di rilevare attacchi in più fasi che i singoli strumenti potrebbero non individuare.

Caso di studio: la Recovery rapida dopo un attacco ransomware presso Bilthoven Biological

Il 21 settembre 2022,Bilthoven Biologicals(BBio), un’azienda farmaceutica, si è resa conto di essere vittima di un attacco ransomware quando gli utenti hanno segnalato l’impossibilità di accedere ai file. Il consulente informatico Paul Vries ha individuato delle richieste di riscatto in cui si esigeva il pagamento per la decrittografia dei file, segno di una grave violazione della sicurezza.

«Il ransomware si è diffuso nel settore dei domini e nello stabilimento. In sostanza, tutto ciò che era collegato ad Active Directory è stato compromesso», ha affermato Vries. L’attacco ha messo a rischio le operazioni di produzione dei vaccini di BBio, rendendo necessarie misure immediate di contenimento per limitare i danni.

Il team di intervento ha scollegato la rete, spento i server e le macchine virtuali infette, mantenendo al contempo strategicamente operativi i sistemi non colpiti per ridurre al minimo l’impatto sulla produzione. Ha inoltre dato priorità a una comunicazione chiara ai dipendenti riguardo alla gravità della situazione.

Già dal secondo giorno, il team è riuscito a ripristinare con successo Active Directory e l’ambiente di backup. “Apprezziamo molto la semplicità della dashboard di Commvault. Con pochi clic possiamo ripristinare una macchina virtuale o i backup dopo un attacco, il che è fondamentale nel nostro settore, essendo un’azienda farmaceutica che gestisce dati estremamente sensibili”, ha spiegato Vries.

L’interfaccia intuitiva ha permesso ai membri del team di lavorare a turni per tutta la notte, ripristinando metodicamente i servizi. Grazie alla collaborazione tra il team IT di BBio, il suo fornitore di servizi gestiti KEMBIT e Commvault, è stato possibile ripristinare completamente le operazioni in diverse sedi e in uno stabilimento in soli nove giorni.

L’esperienza ha spinto BBio a rafforzare la propria pianificazione in materia di Recovery. «Prima dell’attacco non avevamo un piano di Recovery in atto», ha osservato Vries. «Ora stiamo collaborando con Commvault per elaborare un piano di Recovery, in modo da capire meglio quali siano gli elementi fondamentali da ripristinare per primi e in quale ordine».

BBio ha inoltre adottato ulteriori misure di protezione, tra cui lo spostamento dei rappresentanti dei media al di fuori del dominio e l’adozione diCommvault Cloud AirGapper potenziare la protezione del proprio ambiente ibrido. “Con Commvault e Commvault AirGap, possiamo gestire, proteggere e recuperare facilmente i dati all’interno di cloud e on-premise, anche nel peggiore dei casi”, ha affermato Vries.

Supporto Commvault per il rilevamento del ransomware

L’approccio di Commvault alla protezione dal ransomware combina il rilevamento proattivo delle minacce con funzionalità di Recovery automatizzato. La piattaformaThreat Scan Predict si avvale di un sistema di rilevamento delle minacce basato sull’intelligenza artificialeper individuare potenziali attività di ransomware prima che abbia inizio la crittografia, analizzando i modelli dei dati di backup e le modifiche ai file in ambienti ibridi.

La piattaforma è progettata per rilevare le firme e le anomalie del ransomware attraverso il monitoraggio continuo dei flussi di backup, l’analisi dell’entropia dei file e il riconoscimento dei modelli comportamentali. Quando viene rilevata un’attività sospetta, i flussi di lavoro automatizzati possono creare istantaneamente copie di backup isolate, avvisare i team di sicurezza e avviare le procedure di indagine. Questo sistema di allerta precoce aiuta le organizzazioni a reagire prima che il ransomware possa diffondersi nell’infrastruttura.

L’approccio unificato alla gestione dei dati migliora sia la conformità normativa che la continuità operativa grazie a tracciati di audit immutabili, politiche di conservazione automatizzate e crittografia dei dati sia inattivi che in transito. Durante le operazioni di Recovery, le funzionalità di ripristino granulare contribuiscono a ridurre al minimo la perdita di dati, mentre l’orchestrazione automatizzata aiuta a ridurre i tempi di Recovery.