Backup immutabile e offline: progettare una copia che il ransomware non possa cancellare

Il backup 3-2-1 è la regola d'oro della protezione dati. Tre copie, due supporti, una copia offsite. Funziona contro guasti hardware, errori umani, incendi. Ma contro il ransomware non basta: se il backup è raggiungibile in scrittura, il malware lo cifra insieme ai dati originali.

La soluzione si chiama backup immutabile — una copia che non può essere modificata, cancellata o crittografata, punto. In questo articolo vediamo come progettarlo nella pratica, quali tecnologie usare, quali compromessi accettare e come verificare che tutto funzioni davvero. Pensato per chi in Ticino gestisce l'IT di una PMI e vuole dormire sonni tranquilli.

Perché il 3-2-1 classico non basta contro il ransomware

La regola 3-2-1 dice: tre copie, due supporti diversi, una copia fuori sede. È un'ottima base. Se un ransomware colpisce il PC e il NAS in ufficio, resta la copia offsite.

Il problema è che molti backup offsite "cloud" sono montati in scrittura permanente. Il software di backup ha le credenziali per scrivere, e se un ransomware ottiene accesso a quel software o a quelle credenziali, può cifrare anche il backup remoto.

È successo. Sempre più varianti di ransomware, come le famiglie Ryuk e Conti, cercano deliberatamente i volumi di backup montati e li cifrano. Se il backup è in linea e scrivibile, è vulnerabile.

La risposta è duplice:

• Immutabilità: il backup, una volta scritto, non può essere modificato per un periodo definito
• Offline/air-gap: il backup non è raggiungibile in rete durante l'operatività normale

Vediamole nel dettaglio.

Cos'è un backup immutabile (e cosa non è)

Un backup immutabile è una copia dei dati che, una volta creata, non può essere alterata o cancellata per un periodo prestabilito. Il termine tecnico è WORM — Write Once, Read Many.

Cosa NON è un backup immutabile

• Una snapshot del NAS — le snapshot si cancellano, anche accidentalmente
• Una replica continua — se il dato originale viene cifrato, la replica si porta la versione cifrata
• Un backup su cloud con credenziali condivise — se chi attacca ha le credenziali, il backup è esposto

Cosa LO È

• Un oggetto su un object storage (S3, Backblaze B2, Wasabi) con Object Lock attivo — il lock impedisce cancellazione e sovrascrittura fino alla scadenza
• Un nastro LTO in un robot con permessi di sola lettura per il sistema di backup — il nastro è fuori dalla rete
• Un disco rimovibile che viene fisicamente scollegato dopo il backup — air-gap puro
• Un VTL (Virtual Tape Library) con retention lock e nessuna interfaccia di modifica

Architettura pratica: i tre livelli

Per una PMI ticinese, l'architettura ideale per un backup immutabile si articola su tre livelli:

Livello 1 — Backup locale su NAS (caldo)

Il primo livello è un NAS in ufficio, a Mendrisio, Lugano o Chiasso. Fa da backup rapido per ripristini immediati: file cancellati per sbaglio, versioni precedenti, recupero veloce.

• Pro: ripristino in minuti, nessuna dipendenza da internet
• Contro: vulnerabile a incendio, allagamento, furto, ransomware
• Immutabilità: NO — il NAS è in scrittura per il backup software

Livello 2 — Backup immutabile su cloud (tiepido)

Il secondo livello è un backup su object storage con retention lock. Ogni backup è un oggetto con un lock temporale (es. 30 giorni). Durante quei 30 giorni, l'oggetto non può essere cancellato né sovrascritto, nemmeno da chi ha le credenziali di amministrazione.

• Pro: immutabile per definizione, geograficamente separato
• Contro: ripristino più lento (dipende dalla connessione), costo mensile
• Immutabilità: SÌ — tramite Object Lock / retention policy

Livello 3 — Backup offline/air-gap (freddo)

Il terzo livello è un backup su supporto fisico che viene scollegato dopo la scrittura. Può essere:

• Un hard disk USB collegato una volta a settimana, scritto e scollegato

• Un nastro LTO conservato in cassaforte o in una sede secondaria

• Un VTL su un NAS secondario spento, accessibile solo su richiesta

• Pro: massima sicurezza — il ransomware non può toccare ciò che non vede

• Contro: ripristino manuale, finestra di esposizione durante il backup

• Immutabilità: SÌ (se il supporto viene fisicamente scollegato)

Retention lock: come funziona nella pratica

Il retention lock è il meccanismo che rende immutabile un backup su object storage. Funziona così:

1. Il software di backup crea un oggetto su S3/Backblaze B2/Wasabi
2. Imposta un header X-Amz-Object-Lock o equivalente con una data di scadenza
3. Fino a quella data, l'oggetto non può essere cancellato, sovrascritto né modificato
4. Nemmeno l'account amministratore del bucket può rimuovere il lock prima della scadenza

Quanto deve durare il lock?

Dipende dalla tua tolleranza al rischio:

La regola pratica: il lock deve durare almeno quanto il tuo intervallo tra test di ripristino. Se testi il ripristino ogni 30 giorni, il lock deve coprire almeno 30 giorni. Se il ransomware colpisce il giorno dopo il test, devi essere certo che il backup del giorno prima sia ancora recuperabile.

Credenziali separate: l'anello debole della sicurezza

Hai un backup immutabile su Backblaze B2. Hai configurato l'Object Lock a 30 giorni. Fantastico. Peccato che il software di backup sul server usi le stesse credenziali dell'account di amministrazione.

Se un ransomware ottiene le credenziali di quell'account — magari da un gestionale in cloud esposto, da un RDP senza 2FA o da un email di phishing — può generare un nuovo backup con lock più breve che sovrascrive il vecchio? No, il lock impedisce la sovrascrittura. Ma può cancellare il bucket se l'account che usa ha i permessi di cancellazione prima del lock.

La soluzione: tre coppie di credenziali

In questo modo, anche se il ransomware compromette il server con il backup software, l'attaccante può al massimo scrivere nuovi backup: non può cancellare, non può modificare, non può leggere quelli esistenti (perché non ha la chiave di lettura).

Implementazione pratica su Backblaze B2

Backblaze B2 (compatibile S3) permette di creare Application Keys con permessi granulari:

1. Application Key "backup-write" — solo s3:PutObject — scadenza 1 anno
2. Application Key "restore-read" — solo s3:GetObject + s3:ListBucket — scadenza 1 anno, ruotata ogni 6 mesi
3. Master Application Key — permessi completi — usata solo per modificare la retention policy, conservata in un password manager offline

Air-gap: la sicurezza offline

L'air-gap è la separazione fisica tra il backup e la rete. Se un sistema non è raggiungibile in rete, nessun ransomware lo puà attaccare.

Metodi di air-gap per PMI

1. Disco USB rimovibile

• Colleghi il disco una volta al giorno/settimana
• Il backup scrive
• Scolleghi fisicamente il disco
• Vantaggio: costo zero, semplicità
• Svantaggio: manuale, soggetto a errori umani, finestra di vulnerabilità durante il backup

2. NAS secondario spento

• Un NAS in ufficio che viene acceso solo per il backup
• Configurato senza indirizzo IP nella LAN principale
• Collegato fisicamente a un secondo switch o direttamente al server
• Vantaggio: automatico via script (WOL — Wake on LAN), aria gap programmato
• Svantaggio: ancora nella stessa sede fisica (incendio/allagamento)

3. Nastro LTO

• Il nastro viene scritto, espulso e conservato in cassaforte
• Vantaggio: standard enterprise, durata 30+ anni
• Svantaggio: costo del drive (2000+ CHF), lentezza

4. Cloud + retention lock (air-gap logico)

• L'oggetto sul cloud non puà essere cancellato per X giorni
• Equivale a un air-gap logico: i dati ci sono ma nessuno li puà toccare
• Vantaggio: automatico, scalabile, testabile

Test di ripristino su backup immutabile

Il backup immutabile non fa eccezione alla regola d'oro: un backup non testato non è un backup. Anzi, con l'immutabilità c'è un paradosso in più.

Il paradosso dell'immutabilità

Se non testi il ripristino per 60 giorni, e il retention lock è di 30 giorni... be', ti sei già risposto. Quando finalmente provi a ripristinare, i backup più vecchi di 30 giorni sono già stati eliminati dal lock. Devi testare entro la finestra del lock.

Checklist per il test di ripristino immutabile

• [ ] Seleziona un oggetto con lock — non un backup fresco, ma uno con almeno metà della retention passata (così simuli lo scenario peggiore)
• [ ] Usa la chiave di sola lettura — verifica che il restore funzioni senza la chiave di scrittura
• [ ] Verifica l'integrità dei file — non solo che i nomi dei file siano presenti, ma che i file si aprano correttamente
• [ ] Cronometra il ripristino — quanto tempo serve per ripristinare un file? E un'intera cartella? E l'intero sistema?
• [ ] Documenta il RTO (Recovery Time Objective) — il tempo massimo accettabile di fermo
• [ ] Verifica l'RPO (Recovery Point Objective) — quanti dati puoi permetterti di perdere

Se il test fallisce, hai tempo per correggere finché il retention lock copre ancora i backup precedenti.

I limiti del backup immutabile

Nessuna soluzione è perfetta. Il backup immutabile ha limiti che vanno conosciuti e accettati.

1. Costo

L'object storage immutabile costa di più dello storage standard. Backblaze B2, ad esempio, ha un sovrapprezzo per l'Object Lock. Wasabi e S3 con Object Lock hanno costi di API request superiori.

2. Complessità di retention

Ogni oggetto ha un lock individuale. Se devi modificare la retention policy (es. passare da 30 a 60 giorni), devi farlo a livello di configurazione del backup software, non del bucket. Se cambi policy a metà, i vecchi oggetti mantengono il lock originale.

3. Finestra di vulnerabilità

Il backup immutabile non protegge durante la finestra di scrittura. Se il ransomware colpisce mentre il software sta scrivendo il backup, quella sessione di backup potrebbe includere file già cifrati. Ecco perché serve anche l'air-gap: zero finestra di esposizione.

4. Falso senso di sicurezza

"Ho l'immutabile, sono al sicuro." Poi arriva un errore di configurazione, una chiave di API esposta, o un dipendente che cancella il bucket per errore con permessi troppo alti. L'immutabilità è una protezione, non una scusa per non fare i test.

Conclusione

Il backup immutabile con air-gap è oggi lo standard minimo per proteggere una PMI dal ransomware. Non sostituisce il 3-2-1, lo completa: la copia offsite diventa immutabile, le credenziali vengono separate per ruolo, il retention lock impedisce la cancellazione anche in caso di compromissione.

Progettarlo bene richiede:

1. Tre livelli — NAS locale + cloud immutabile + copia offline
2. Retention lock — minimo 30 giorni, allineato con la frequenza dei test
3. Credenziali separate — scrittura, lettura, amministrazione
4. Test regolari — almeno ogni 30 giorni, entro la finestra del lock

Una PMI a Lugano, Chiasso o Bellinzona che implementa questa architettura si mette al riparo dal 99% degli attacchi ransomware. Il restante 1%? Sono gli errori umani e le configurazioni sbagliate. Che si risolvono con formazione e test.

Domande frequenti

Ogni quanto devo testare il ripristino del backup immutabile?

Almeno ogni 30 giorni, e comunque entro la finestra del retention lock. Se il lock è di 90 giorni, puoi testare ogni 60 giorni. Se è di 7 giorni, devi testare ogni 6 giorni.

Il backup immutabile protegge anche dagli attacchi interni?

Parzialmente. Un dipendente malintenzionato con le credenziali di amministrazione puà comunque modificare la retention policy o — in alcuni sistemi — forzare la cancellazione. Per proteggerti, usa la separazione delle credenziali e un account di amministrazione offline.

Quale servizio cloud consigli per una PMI in Ticino?

Backblaze B2 è il più semplice da configurare con Object Lock. Ha datacenter in Europa (Amsterdam) e costi prevedibili. Wasabi è un'alternativa valida se preferisci un provider più enterprise. Entrambi supportano S3 API, quindi il software di backup resta lo stesso.

Posso usare Google Drive o OneDrive come backup immutabile?

No, non supportano l'immutabilità nativa. Un ransomware che compromette il tuo account Google o Microsoft puà cancellare tutto. Sono strumenti di produttività, non di backup professionale.

Quanto costa un backup immutabile per una PMI di 5-10 dipendenti?

Per circa 500 GB di dati, Backblaze B2 costa sui 15-25 CHF/mese con Object Lock. Aggiungi il costo del NAS locale (500-1500 CHF una tantum) e del software di backup (Veeam Agent, Duplicacy o Restic, da 0 a 200 CHF/anno). Il rapporto qualità-prezzo è eccellente rispetto a un fermo informatico da ransomware.

Richiedi una valutazione iniziale della situazione informatica della tua PMI, senza impegno e senza promettere risultati garantiti.