Gli attacchi moderni prendono di mira i sistemi di identità perché rappresentano il cuore operativo dell’organizzazione. La vera sfida non è salvare i dati, ma garantire un recupero rapido e sicuro delle identità dopo una compromissione.
Secondo numerose analisi sugli attacchi ransomware più sofisticati, la compromissione dei sistemi di identità rappresenta spesso una fase preliminare indispensabile per ottenere privilegi elevati, muoversi lateralmente nella rete e mantenere la persistenza all’interno dell’ambiente vittima.
In questo scenario, la semplice disponibilità di un backup non è più sufficiente. Vediamo perché.
Indice degli argomenti
Cyber resilience: l’identità è il nuovo perimetro di sicurezza
Negli ultimi anni il termine “cyber resilience” è diventato uno dei concetti più ricorrenti nel settore della sicurezza informatica.
Spesso viene utilizzato in modo generico, fino a perdere parte del suo significato. Quando però si parla di sistemi di identità digitali, la resilienza assume un valore estremamente concreto: rappresenta la capacità di un’organizzazione di continuare a operare e di ripristinare rapidamente le proprie attività anche dopo una compromissione grave.
Oggi l’identità è diventata il nuovo perimetro di sicurezza. Active Directory, Microsoft Entra ID, Okta e le altre piattaforme di Identity and Access Management controllano l’accesso a dati, applicazioni e infrastrutture critiche.
Non sorprende quindi che i cybercriminali abbiano imparato a considerarle un obiettivo prioritario.
Il limite dell’approccio tradizionale al disaster recovery
Dall’RTO tecnico al business recovery
Molte organizzazioni ritengono di essere protette perché eseguono regolarmente il backup di Active Directory. È una convinzione comprensibile ma potenzialmente pericolosa.
Ripristinare un sistema identitario compromesso è infatti molto diverso dal recupero di un file server o di un database tradizionale. Active Directory è un’infrastruttura complessa, distribuita e altamente interconnessa, da cui dipendono migliaia di utenti, applicazioni e servizi aziendali.
In caso di attacco, il problema non consiste soltanto nel recuperare i dati. Occorre garantire che l’intero ecosistema delle identità torni operativo rapidamente, in modo coerente e senza reintrodurre elementi malevoli all’interno dell’ambiente ripristinato.
La domanda che le organizzazioni dovrebbero porsi non è quindi “abbiamo un backup?”, ma piuttosto “siamo in grado di ripristinare l’infrastruttura identitaria nei tempi richiesti dal business?”.
Uno degli errori più comuni riguarda la definizione del Recovery Time Objective (RTO).
Spesso i tempi dichiarati dai fornitori si riferiscono al ripristino tecnico di un singolo controller di dominio.
Tuttavia, dal punto di vista aziendale, il vero obiettivo dovrebbe essere il ritorno operativo delle funzioni essenziali dell’organizzazione.
In altre parole, non conta quando il primo server torna online, ma quando utenti, applicazioni e processi critici possono nuovamente funzionare.
Questo approccio porta a ragionare in termini di “Minimum Viable Company”: qual è il livello minimo di servizi identitari necessario per consentire all’azienda di continuare a operare durante una crisi? La risposta a questa domanda dovrebbe guidare qualsiasi strategia di resilienza.
Il rischio nascosto: ripristinare una directory già compromessa
Esiste poi un aspetto spesso sottovalutato. Gli attaccanti moderni non si limitano a compromettere i sistemi operativi dei domain controller.
Sempre più frequentemente introducono meccanismi di persistenza direttamente all’interno di Active Directory, creando account privilegiati nascosti, modificando autorizzazioni o inserendo backdoor che possono sopravvivere anche a operazioni di ripristino tradizionali.
Per questo motivo, un processo di recovery efficace deve includere anche la capacità di individuare e rimuovere gli indicatori di compromissione presenti nella directory stessa.
Ripristinare rapidamente un Active Directory che contiene ancora tracce dell’attaccante significa, di fatto, reintrodurre il problema all’interno dell’ambiente produttivo.
Identity Resilience: la resilienza si misura prima della crisi
La vera resilienza non si valuta durante un attacco, ma molto prima che l’incidente si verifichi.
Le organizzazioni dovrebbero sottoporre regolarmente i propri processi di recovery a simulazioni realistiche, verificando non solo la disponibilità dei backup, ma anche la capacità effettiva di ricostruire l’infrastruttura identitaria entro i tempi richiesti dal business.
Le esercitazioni consentono di individuare colli di bottiglia, dipendenze nascoste e criticità operative che spesso emergono soltanto nei momenti di crisi.
In un contesto in cui l’identità è diventata il principale bersaglio degli attacchi ransomware e delle campagne di compromissione avanzata, la differenza tra un’organizzazione resiliente e una vulnerabile non dipende dalla presenza di un backup, ma dalla capacità di recuperare rapidamente, in modo sicuro e verificabile, il proprio sistema di identità.
È questa la vera evoluzione del concetto di cyber resilience: non limitarsi a ripristinare l’infrastruttura, ma garantire la continuità operativa anche quando il cuore dell’organizzazione – le sue identità digitali – è stato colpito.
Partecipa alla community