Il migliore amico di un cyber security manager: il backup

Cosa fare in caso di attacco informatico? Il faro di salvezza del security manager e dell’azienda è costituito come è noto dal backup, che non a caso in Saidea definiamo scherzosamente come “il santo protettore del Data Recovery”. Immediatamente dopo un incidente informatico è questo l’elemento all’interno di un piano di disaster recovery che può salvare il business, permettendo peraltro una ripresa efficace. Non tutti i sistemi di backup sono però ugualmente efficaci e sicuri. Le caratteristiche da individuare in un sistema sufficientemente sicuro sono:

· Ripristino a breve termine

· Adeguata retention

· Compliance per determinate ISO

· Semplicità di utilizzo

· Scalabilità

· Supporto

Quest’ultimo punto, spesso trascurato, è in realtà estremamente importante. Per un’azienda è infatti essenziale avere un rapporto diretto con chi fornisce e supporta l’attività di backup, per non rischiare di ritrovarsi da soli al momento del bisogno – e soprattutto per non correre il rischio di ritrovarsi con un sistema di backup inservibile e del tutto inutile.

Caratteristica innata del backup è quella di essere ridondante, prevedendo la copia e la memorizzazione dei nostri dataset per garantire un efficace ripristino come obiettivo essenziale di un piano di disaster recovery. Per salvare spazio prezioso e per ridurre i costi a carico dell’azienda è dunque importante poter contare su delle raffinate tecniche di deduplica. Il concetto di base è semplice: per risparmiare spazio sul disco di backup vengono di volta in volta confrontati i nuovi segmenti di informazione con quelli memorizzati in precedenza, andando a creare laddove necessario dei riferimenti per non archiviare nuovamente il medesimo dato. Esistono diversi potenziali algoritmi per mettere in pratica un sistema di deduplica; nel caso specifico con Power Protect Data Domain di Dell si procede con la divisione delle informazioni in tanti componenti, mediante degli appositi algoritmi di segmentazione con lunghezza del blocco variabile. Si possono raggiungere così dei rapporti di deduplicazione più alti, andando a memorizzare solo l’eventuale piccola parte di informazione che è stata modificata tra un backup e l’altro. Diventa in questo modo possibile, per esempio, effettuare il backup di oltre 2 Tera di dato logico, andando però a memorizzare fisicamente solo alcuni Giga in termini di consumo reale del target di backup.

Grazie a un complesso sistema di backup, il dato viene memorizzato in modo sicuro, eliminando le ridondanze e gli errori. Come definire il periodo di conservazione? Ovviamente questo dipende dalle normative da rispettare e dalle politiche interne aziendali. Va precisato che, utilizzando lo strumento Data Domain Retention Lock di Dell, diventa possibile circoscrivere un’area di spazio disco di backup, definendo per essa un periodo di conservazione preciso (pochi giorni, diverse settimane o diversi mesi). Da quel momento quell’area del disco diventa assolutamente immodificabile, condizione che perdura fino alla scadenza del periodo fissato: durante quel lasso di tempo nemmeno l’amministratore di sistema o Dell stessa potrà cancellare il backup. Così facendo si riesce quindi a proteggere il dato anche da minacce che potrebbero arrivare dall’interno della propria organizzazione.

Non va trascurata la possibilità, tutt’altro che superflua, di replicare i dati di backup su più target. Le opzioni in questo senso sono moltissime: si pensi alla sede secondaria che fa il backup a livello locale per poi replicarlo verso il data center centrale, oppure a due diversi siti di produzione che incrociano il backup. Per rispettare delle governance aziendali particolarmente attente si potrebbe poi ipotizzare di andare a trasferire i dati di backup più vecchi di 3 mesi – sempre opportunamente cifrati – in un ambiente cloud, così da non appesantire il data domain aziendale. Non ci sono dubbi: maggiori sono i target di replica, anche di diversa natura, più alto è il livello finale di protezione del dato in ottica di disaster recovery.

Tutto quello che si è visto finora acquisisce senso nel momento in cui un incidente rende obbligatorio il ripristino dei dati, mettendo quindi in atto uno dopo l’altro i passaggi previsti dal piano di disaster recovery. Quanto più forte è la propria capacità di ripartenza, tanto minori saranno i danni a livello di produzione e di immagine.

Arrivati a questo punto è bene sottolineare un aspetto che spesso viene trascurato: il disaster recovery, in sé e per sé, è pensato per andare a proteggere un business da un evento tendenzialmente sfortunato, indesiderato, accidentale. Un attacco informatico è al contrario qualcosa di fortemente desiderato e pianificato da un hacker, che ha un obiettivo piuttosto preciso. Da ciò deriva il fatto che, per difendersi da un attaccante che ha lo scopo prefissato di danneggiare il nostro business, è necessario fare un passo in più in termini di cyber recovery. E sempre da questo presupposto deriva la grande differenza tra il sito di data recovery e quello di cyber recovery. Se il primo deve essere perfettamente connesso alla struttura di produzione, il secondo dovrebbe al contrario essere quanto più isolato possibile, fornendo cioè la più piccola superficie di attacco rispetto al resto dell’infrastruttura IT. Le caratteristiche che dobbiamo individuare in un buon sistema di cyber recovery sono:

· L’isolamento fisico e logico rispetto a quella di produzione;

· La piena immutabilità, garantita dai meccanismi già considerati;

· L’intelligenza necessaria per assicurarsi che, all’interno dei continui backup, non sia stato memorizzato inavvertitamente un file “dormiente” che corrompa una parte o l’intero backup.

Si potrebbe dedurre che, per essere efficace, un sito di cyber recovery dovrebbe essere a chilometri dall’infrastruttura produttiva. Non è così: potrebbe essere posizionato anche in un armadio dedicato al fianco dell’infrastruttura stessa, a patto però di essere isolato, o meglio, connesso unicamente attraverso un “ponte levatoio logico”, che venga dunque abbassato solo nel momento in cui avviene l’effettivo trasferimento di dati. Più complicata invece è la questione legata all’intelligenza, ma non impossibile: la suite Dell Cyber Sense va infatti ad analizzare il backup attraverso degli appositi strumenti di intelligenza artificiale e di autoapprendimento, per avere così delle allerte in caso di potenziali criticità. La precisione garantita dalla suite è del 99,5%.

Qualcosa, prima o poi, succede. Come ci si muove in quel momento per mettere in atto il piano di disaster recovery?

Ecco gli scenari possibili:

· Se tutto è stato fatto nel modo giusto, è possibile contare senza dubbi sulla bontà del dato in backup. Ecco allora che si potrà andare a selezionare il backup point immediatamente precedente all’incidente per ripristinare i dati contenuti, agendo direttamente dalla medesima applicazione di backup;

· Nel migliore dei casi il restore potrà essere effettuato direttamente dal data domain al data domain, senza nessuna complicazione.

· In situazioni più complesse sarà invece necessario appoggiarsi sugli host di scorta, creati attraverso i già visti meccanismi di replica. Il ripristino sarà in questo caso meno immediato ma, se tutto è stato gestito nel modo corretto, sarà comunque completo.