Backup immutabili: l'ultima linea contro il ransomware, e come si progetta uno che l'attaccante non possa cancellare

C'è un dettaglio che molti scoprono troppo tardi: il ransomware moderno, prima di cifrare i file, va a cercare e cancellare i backup. Gli attaccanti sanno benissimo che una buona copia di sicurezza vanificherebbe il loro ricatto, e quindi la distruggono per prima. Ecco perché «ho un backup» non basta più.

La risposta si chiama backup immutabile. Immutabile vuol dire che, una volta scritto, il backup non può essere modificato né cancellato per un certo periodo — da nessuno, nemmeno da chi ha i poteri di amministratore, nemmeno dall'attaccante che ha rubato quelle credenziali. La tecnologia che lo garantisce si chiama object-lock o WORM (write once, read many: scrivi una volta, leggi quante volte vuoi).

I quattro pilastri

Un sistema di backup robusto poggia su quattro idee. L'immutabilità, appena vista. L'isolamento: tenere almeno una copia scollegata dalla rete (offline o air-gapped, cioè con un vero «vuoto d'aria» tra la copia e il resto), così un attaccante non ci arriva nemmeno. Le credenziali separate: gli account che gestiscono i backup devono essere fuori dal dominio aziendale, con secondo fattore, perché se un attaccante prende il controllo del dominio non deve automaticamente avere anche i backup. E la verifica: provare davvero a ripristinare.

Un backup che l'attaccante può cancellare non è un backup: è un'illusione di sicurezza.

La regola 3-2-1-1-0

Gli esperti riassumono tutto in una formula facile da ricordare, la 3-2-1-1-0: 3 copie dei dati, su 2 tipi di supporto diversi, con 1 copia fuori sede, 1 copia offline o immutabile, e 0 errori nelle prove di ripristino. L'ultimo numero è il più trascurato e il più importante: un backup che non è mai stato provato, molto spesso, al momento del bisogno non si ripristina. Ecco come si verifica che la protezione sia davvero attiva:

# Verifica che un deposito di backup sia davvero bloccato (object-lock)
aws s3api get-object-lock-configuration --bucket <deposito-backup>

# Principi
- Blocco in modalità «Compliance»: nessuno può rimuoverlo, nemmeno l\u2019admin
- Account di backup fuori dal dominio che l\u2019attaccante potrebbe prendere
- Prove di ripristino regolari, con tempi misurati (RTO/RPO)

Perché conta. La prevenzione, prima o poi, fallisce: nessuno è invulnerabile. Ciò che distingue un disastro da un semplice disservizio è la capacità di ripristinare in modo affidabile. Un backup immutabile, isolato e verificato è l'ultima linea — quella che permette di dire no al riscatto e tornare operativi.