Il rilevamento ransomware di Druva contrasta gli attacchi assistiti dall'AI con l'AI

Il 17 settembre Druva ha lanciato un sistema di rilevamento ransomware in due fasi, in risposta a un contesto in cui gli attacchi assistiti dall'AI rendono più difficile distinguere le attività dannose dalle normali modifiche. La nuova funzionalità di rilevamento ransomware di Druva analizza gli snapshot di backup, convalida le sospette crittografie e aiuta gli amministratori a identificare un punto di ripristino più pulito.

Il conflitto non è semplicemente AI contro AI. Il tradizionale rilevamento delle anomalie individua comportamenti insoliti, ma un'anomalia non prova che il ransomware abbia modificato i dati. I team di sicurezza e ripristino possono perdere tempo prezioso correlando gli avvisi mentre decidono quali backup restano affidabili.

Druva vuole sostituire questa incertezza con prove concrete. Il suo sistema combina modelli comportamentali, controlli forensi a livello di file e contesto dell'identità da Dru MetaGraph. L'approccio affronta una debolezza ben nota del cyber recovery: un rilevamento rapido serve a poco quando i responsabili non riescono a scegliere con sicurezza cosa ripristinare.

Druva passa dagli avvisi di anomalia alla conferma del ransomware

Il cambiamento centrale di Druva consiste nel passare dall'identificazione di attività sospette alla conferma che il ransomware abbia alterato uno snapshot di backup.

La prima fase esamina i metadati dei backup alla ricerca di comportamenti associati al ransomware. Questi segnali includono rinomina di massa dei file, estensioni insolite e artefatti come le note di riscatto. Druva afferma che modelli di AI e machine learning sviluppati ad hoc valutano tali indicatori negli snapshot.

Un risultato sospetto non diventa immediatamente un incidente ransomware confermato. Druva invece porta lo snapshot interessato a una seconda fase forense. Questa separazione mira a ridurre i falsi allarmi che possono seguire normali attività amministrative o applicative.

La seconda fase esamina i file sottostanti. Secondo la documentazione tecnica di Druva, i controlli includono l'analisi dell'entropia, la coerenza del tipo MIME, le intestazioni dei file e l'integrità strutturale.

L'entropia misura quanto casuale appaia il contenuto di un file. La crittografia spesso aumenta questa casualità, anche se un'elevata entropia da sola non dimostra un intento dannoso. L'analisi MIME confronta il formato dichiarato di un file con il suo contenuto effettivo, contribuendo a individuare file camuffati tramite estensioni modificate.

Druva correla quindi questi risultati prima di emettere un avviso critico. Il suo sistema distingue un avvertimento ad alta gravità su potenziali attività da un avviso critico che segnala un impatto confermato.

Questa distinzione affronta un problema pratico nella risposta agli incidenti. Un aumento improvviso dei file modificati potrebbe indicare ransomware, ma potrebbe anche derivare da una migrazione, un aggiornamento software o una grande attività amministrativa. Trattare ogni deviazione come un attacco crea affaticamento da avvisi e rallenta le indagini.

Druva afferma che le prove sono visibili in Recovery Insights e nel suo Security Command Center. Gli amministratori possono esaminare gli snapshot interessati, identificare un punto precedente all'apparente infezione ed eseguire una Restore Scan prima di riportare i dati in produzione.

La funzionalità è entrata in disponibilità limitata per macchine virtuali VMware, macchine virtuali Microsoft Azure e workload AWS EC2 ed EBS. Druva afferma che è disponibile tramite la sua offerta Premium Security e richiede l'abilitazione attraverso un account manager o un ticket di supporto.

L'azienda descrive la funzionalità come agentless perché opera nell'architettura di backup cloud di Druva. I clienti non necessitano di un ulteriore agente di rilevamento locale né di un'appliance di scansione separata.

Questa architettura è importante durante un incidente. Gli strumenti endpoint possono essere disabilitati, manipolati o isolati dal team di ripristino. La telemetria dei backup rimane una fonte separata per comprendere cosa sia accaduto ai dati protetti.

Tuttavia, la funzionalità non impedisce l'accesso iniziale né blocca il ransomware prima dell'esecuzione. Il suo valore inizia dopo che un comportamento sospetto raggiunge i dati protetti e diventa visibile negli snapshot di backup.

Questo ruolo più circoscritto è importante. Il rilevamento ransomware di Druva è principalmente una funzionalità di prova e ripristino, non un sostituto delle difese endpoint, dell'identità, dell'email o della rete.

Il ransomware assistito dall'AI aumenta il costo dell'incertezza

L'AI cambia la competizione con il ransomware aumentando la velocità e la varietà degli attacchi, mentre i difensori hanno ancora bisogno di prove affidabili prima di ripristinare i sistemi di produzione.

Il lancio riportato presenta il prodotto nel contesto di aggressori che usano l'AI per testare più percorsi e modificare le tattiche più rapidamente. Le credenziali rubate consentono inoltre alle azioni dannose di assomigliare a normali attività degli utenti.

Questo non significa che ogni payload ransomware sia autonomo. L'AI può supportare diverse parti di un'operazione senza controllare l'intero attacco. Può migliorare il phishing, generare script, accelerare la ricognizione o aiutare un operatore ad adattarsi all'ambiente della vittima.

La ricerca sul ransomware nell'era dell'AI di Proofpoint ha rilevato che il 65% delle vittime ransomware intervistate riteneva che l'AI avesse reso l'attacco più efficace. Lo stesso studio ha riportato che il 47% degli incidenti è iniziato con un link dannoso.

Questi dati rafforzano il problema dell'identità alla base della risposta di Druva. Molti attacchi iniziano con un'azione che inizialmente appare autorizzata, come un utente che apre un link o un intruso che utilizza credenziali valide.

Quando l'accesso sembra legittimo, i segnali di sicurezza isolati diventano più difficili da interpretare. Una policy modificata, un nuovo privilegio o una connessione a un'applicazione sconosciuta potrebbero essere normale amministrazione. Potrebbero anche rappresentare la preparazione a un movimento laterale o alla persistenza.

Il tradizionale rilevamento delle anomalie rimane utile perché restringe l'area di ricerca. Tuttavia, i team di sicurezza devono ancora decidere se un avviso rappresenti un attacco, quali sistemi siano stati colpiti e quando l'ambiente sia stato affidabile per l'ultima volta.

I team di ripristino affrontano un problema aggiuntivo. Il backup più recente non è automaticamente il miglior punto di ripristino. Se un aggressore ha mantenuto l'accesso per giorni, gli snapshot recenti possono conservare dati compromessi o modifiche dannose.

Il ripristino di uno snapshot infetto può riavviare l'incidente. Scegliere uno snapshot inutilmente vecchio può eliminare attività aziendali legittime. Il punto di ripristino corretto si colloca tra questi due esiti, e individuarlo richiede più di uno stato verde del processo di backup.

Druva sostiene che anni di telemetria dei backup possano fornire una base più stabile per questa decisione. Gli snapshot storici rivelano le modifiche nel tempo, mentre la diagnostica forense dei file può verificare se tali modifiche somiglino a una crittografia.

Ecco perché il ransomware assistito dall'AI esercita pressione sui fornitori di backup, non solo sulle aziende di sicurezza tradizionali. I clienti si aspettano sempre più che i dati protetti supportino indagine, convalida e ripristino coordinato.

Anche Rubrik, Cohesity, Commvault e Veeam posizionano la protezione dei dati come parte della resilienza informatica. Il confronto tra fornitori di Gartner identifica diversi di questi prodotti come alternative nella stessa categoria di acquisto.

La concorrenza si sta spostando dalla semplice presenza di copie immutabili a ciò che una piattaforma può dimostrare su tali copie. Gli acquirenti vogliono sapere se i dati sono puliti, quali identità sono state coinvolte e con quale rapidità le operazioni possano riprendere.

La risposta di Druva riflette questo cambiamento. La sua AI non viene presentata come un assistente di sicurezza generico. Viene applicata a una decisione specifica in cui gli errori sono costosi: stabilire se i dati protetti abbiano subito l'impatto del ransomware.

Il rilevamento ransomware di Druva trasforma i segnali in prove per il ripristino

Il design in due fasi è importante perché separa l'ampio screening comportamentale dalle prove più rigorose necessarie per autorizzare il ripristino.

Nella prima fase, il rilevamento ampio rappresenta un vantaggio. Il modello può analizzare estensioni modificate, artefatti inseriti, rinomina di massa e trasformazioni sospette dei file. Questi schemi possono esporre ransomware noti e varianti prive di una firma consolidata.

Questa ampiezza crea anche ambiguità. Molti workload legittimi producono modifiche rilevanti o insolite. I sistemi di sviluppo generano tipi di file sconosciuti, i processi di database riscrivono grandi dataset e le migrazioni possono assomigliare a modifiche di massa.

La seconda fase è la risposta di Druva a questa ambiguità. Valuta se i file mostrino caratteristiche coerenti con la crittografia o la manipolazione strutturale. Il sistema presenta quindi gli indicatori a supporto insieme all'avviso.

Druva definisce queste prove spiegabili. In termini pratici, l'amministratore dovrebbe poter vedere perché la piattaforma ha escalato uno snapshot, anziché ricevere soltanto un punteggio di rischio.

Questa distinzione può migliorare la collaborazione tra le operazioni di sicurezza e gli amministratori dei backup. Gli analisti della sicurezza comprendono il presunto attacco, mentre i team di backup comprendono i punti di ripristino disponibili. Entrambi i gruppi necessitano di un registro condiviso prima di intervenire.

Il flusso di lavoro inizia con il rilevamento, ma termina con una decisione di ripristino. La spiegazione del prodotto di Druva suddivide il processo in rilevamento comportamentale, convalida forense e cyber recovery.

Dopo aver confermato il probabile impatto, la piattaforma mostra i risultati nei suoi strumenti di ripristino. I team possono esaminare le prove, selezionare uno snapshot precedente all'infezione, analizzare il punto di ripristino proposto e quindi procedere con il ripristino.

Questo è più utile di un avviso che si limita a dire “qualcosa è cambiato”. Collega la diagnosi al compito operativo di riportare i sistemi in servizio.

Tuttavia, l'output del modello dipende dai dati visibili nell'ambiente Druva. Non può ricostruire eventi che non sono mai stati acquisiti e non può garantire che ogni modifica dannosa produca prove riconoscibili.

Il rilevamento della crittografia affronta inoltre solo una parte del ransomware moderno. Gli aggressori possono sottrarre dati, distruggere identità, modificare policy di accesso o stabilire persistenza prima di crittografare qualsiasi cosa. Alcune campagne estorsive potrebbero non crittografare affatto i dati.

Druva colma in parte questa lacuna con servizi esistenti. Threat Watch analizza gli indicatori di compromissione noti. Data Anomaly Detection segnala attività insolite sui dati, mentre il rilevamento e la risposta gestiti monitorano minacce amministrative e azioni distruttive.

La nuova funzionalità si colloca tra questi strumenti. È più specifica del rilevamento generale delle anomalie, ma non sostituisce un'indagine più ampia sugli incidenti. Il suo compito è convalidare l'impatto del ransomware e supportare una scelta di ripristino più sicura.

L'azienda afferma di avere falsi positivi “quasi nulli”, ma questa dichiarazione richiede test indipendenti in diversi ambienti dei clienti. Le prestazioni in termini di falsi positivi spesso cambiano in base al tipo di workload, al volume dei dati e ai modelli operativi locali.

La disponibilità limitata offre a Druva un periodo controllato per questa convalida. Significa inoltre che l'annuncio iniziale descrive una funzionalità emergente, piuttosto che una caratteristica di produzione distribuita universalmente.

Per gli acquirenti enterprise, la domanda di valutazione è concreta. Druva riesce a distinguere con costanza la crittografia dannosa da modifiche legittime ad alto volume senza ritardare il ripristino?

Questa misura conta più della presenza dell'AI in sé. Un modello efficace deve ridurre il tempo di indagine preservando al contempo prove sufficienti affinché chi risponde possa contestarne la conclusione.

Dru MetaGraph estende l'indagine all'identità

Le prove sui file possono mostrare cosa il ransomware abbia danneggiato, ma il contesto dell'identità è necessario per spiegare come l'aggressore vi sia arrivato.

Druva abbina la sua pipeline per le minacce a Dru MetaGraph, un livello di intelligence che collega il contesto relativo a identità, attività e dati. Il sistema copre account umani e identità non umane, comprese le identità di servizio e gli agenti AI.

Traccia le relazioni tra Microsoft Entra ID, Active Directory e Okta. Druva afferma che questo consente agli addetti alla risposta di esaminare nel tempo le modifiche riguardanti autorizzazioni, applicazioni, policy e identità.

Un grafo è utile perché un attacco raramente consiste in un singolo evento isolato. Un intruso può ottenere credenziali, aumentare i privilegi, stabilire persistenza, spostarsi tra sistemi e infine colpire dati protetti.

Un elenco piatto di avvisi costringe gli analisti a ricostruire manualmente tali relazioni. Dru MetaGraph mira a visualizzare il percorso come una sequenza connessa, incluso il probabile raggio d'impatto attorno a un'identità compromessa.

Druva afferma di mappare il comportamento osservato sulla knowledge base ATT&CK. MITRE ATT&CK organizza il comportamento reale degli avversari in tattiche e tecniche, offrendo ai team di sicurezza un vocabolario comune per le indagini.

La mappatura può aiutare a distinguere lo scopo dietro i singoli eventi. Una modifica delle autorizzazioni potrebbe rappresentare un'escalation dei privilegi, mentre un nuovo meccanismo di autenticazione potrebbe favorire la persistenza.

Druva sostiene che la sua visualizzazione contestuale possa ridurre le indagini da giorni a ore. Resta un'affermazione dell'azienda, e i materiali pubblici non forniscono un benchmark indipendente e ampio a sostegno di tale riduzione dei tempi.

La scelta progettuale più importante è collegare la cronologia delle identità con quella dei backup. Un avviso a livello di file può identificare una crittografia sospetta, mentre i record delle identità possono mostrare come un attaccante abbia raggiunto la risorsa interessata.

Insieme, questi livelli possono aiutare a stabilire lo stato precedente all'attacco. Chi risponde all'incidente deve identificare dati puliti, ma anche account, autorizzazioni e policy affidabili.

Ripristinare i file senza rimuovere un accesso persistente lascia all'attaccante una via per rientrare nell'ambiente. Reimpostare gli account senza convalidare i dati può riportare gli utenti a sistemi corrotti o crittografati.

Druva afferma che il suo sistema possa generare un piano di ripristino su misura. Tale piano identifica gli oggetti interessati, raccomanda azioni e indica snapshot pulite. Ogni raccomandazione richiede comunque una revisione operativa.

Questo è l'argomento competitivo più chiaro di Druva. Una piattaforma di backup SaaS conserva già dati storici in numerosi punti di ripristino. L'aggiunta delle relazioni tra identità può trasformare tali snapshot in una cronologia per l'analisi successiva a una compromissione.

La stessa architettura solleva questioni di governance. I grafi delle identità contengono informazioni sensibili su account, privilegi, applicazioni e comportamenti. I clienti devono comprendere i confini della raccolta, la conservazione, i controlli di accesso e la gestione regionale.

Gli agenti AI rendono la questione più urgente. Le identità non umane possono agire in modo continuo, collegarsi a più applicazioni e ricevere privilegi che sopravvivono al compito che le ha create.

I team di sicurezza devono distinguere un'azione automatizzata legittima da un attaccante che abusa di tale identità. Il grafo di Druva può aggiungere contesto, ma il contesto non elimina la necessità di controlli sulle identità e di giudizio umano.

La competizione significativa non è quindi Druva contro il ransomware da solo. È il ripristino supportato da prove contro un processo di risposta frammentato, in cui i team di sicurezza, identità e backup vedono parti diverse dell'incidente.

Il vero banco di prova è la fiducia, non il volume degli avvisi

Druva deve dimostrare che le sue prove rimangano affidabili in carichi di lavoro complessi, attacchi furtivi e incidenti che non seguono uno schema incentrato anzitutto sulla crittografia.

La promessa più forte del prodotto è la precisione. Druva afferma che la convalida in più fasi possa filtrare i falsi segnali e fornire prove confermate. Questa promessa merita un esame attento, perché le decisioni di ripristino possono riguardare un'intera azienda.

Un falso positivo può mettere in quarantena una snapshot pulita o ritardare il ripristino. Un falso negativo può etichettare dati compromessi come sicuri e riportare in produzione modifiche dannose.

Il rischio aumenta quando gli attaccanti si adattano al rilevatore. Un avversario che comprende gli indicatori comuni di ransomware può evitare le note di riscatto, rallentare le modifiche ai file o crittografare risorse selezionate al di sotto delle soglie previste.

L'AI può rendere questo adattamento più rapido generando varianti e testando comportamenti. I modelli difensivi devono quindi evolvere senza diventare così sensibili da produrre escalation costanti durante le normali operazioni.

Druva afferma che il suo rilevamento migliora grazie alla telemetria, alla threat intelligence e al continuo perfezionamento dei modelli. I clienti dovrebbero chiedere come vengano testati tali aggiornamenti e se le modifiche ai modelli incidano sulla coerenza degli avvisi.

Dovrebbero inoltre esaminare le prove presentate per ciascuna conclusione. Una spiegazione leggibile è più preziosa di un generico punteggio di confidenza, soprattutto durante un ripristino ad alta pressione.

La copertura dei carichi di lavoro è un'altra limitazione. La versione iniziale a disponibilità limitata supporta VMware, macchine virtuali Azure e AWS EC2 ed EBS. Le organizzazioni spesso distribuiscono dati critici tra applicazioni SaaS, endpoint, database, container e sistemi fisici.

Druva offre altre protezioni per alcuni di questi ambienti, ma la nuova funzionalità ransomware a due fasi non parte con una copertura universale. Gli acquirenti dovrebbero distinguere il portafoglio più ampio della piattaforma dall'attuale elenco di ambienti supportati da questa funzionalità.

Esiste anche una questione di tempistiche. L'analisi basata sui backup vede i dati secondo la cadenza acquisita dal workflow di protezione. Un controllo di sicurezza che opera sull'attività di produzione può osservare gli eventi prima, mentre l'analisi dei backup offre separazione e contesto storico.

I due ruoli si completano a vicenda. I controlli su endpoint e identità possono aiutare a fermare o contenere un attacco. La forensica dei backup può convalidare il danno e supportare un ritorno al servizio più informato.

Nessun fornitore dovrebbe trasformare questa relazione in una falsa scelta. L'intelligence per il ripristino non elimina la necessità di prevenzione, monitoraggio, segmentazione, risposta agli incidenti o piani di continuità testati.

Le affermazioni competitive richiedono analoga cautela. Rubrik, Cohesity, Commvault e Veeam descrivono tutti funzionalità di rilevamento e ripristino pulito basate su architetture differenti. I confronti di marketing raramente riproducono gli effettivi carichi di lavoro o i vincoli di ripristino di un cliente.

Gli acquirenti hanno bisogno di test basati su scenari. Una valutazione utile introdurrebbe in snapshot rappresentative modifiche sospette ai file, operazioni di massa legittime e crittografia controllata. I team potrebbero quindi confrontare qualità del rilevamento, spiegazioni e tempi di ripristino.

Dovrebbero includere anche la compromissione delle identità nell'esercitazione. Il test dovrebbe stabilire se la piattaforma colleghi modifiche ai privilegi, persistenza, movimento laterale e dati danneggiati in una sequenza di ripristino utile.

Anche l'usabilità operativa conta. Prove che solo uno specialista può interpretare non aiuteranno un team più piccolo durante un incidente notturno. Gli avvisi devono guidare l'azione senza nascondere l'incertezza.

L'annuncio di Druva offre un meccanismo credibile per ridurre le congetture, ma non risolve la questione della verifica. Le implementazioni reali dovranno mostrare quanto spesso il sistema abbia ragione, cosa non rilevi e con quale rapidità i team possano agire.

Cosa dovrebbero osservare ora gli acquirenti enterprise

Le prossime prove dovrebbero provenire da una disponibilità ampliata, risultati di rilevamento indipendenti ed esercitazioni di ripristino dei clienti, non da ulteriore branding AI.

Il primo segnale è il passaggio dalla disponibilità limitata a un accesso di produzione più ampio. Druva dovrebbe chiarire quando più clienti potranno attivare la funzionalità e se i carichi di lavoro supportati si espanderanno oltre l'iniziale ambito cloud e delle macchine virtuali.

Una disponibilità più ampia rafforzerebbe la storia del prodotto solo se le prestazioni restassero coerenti tra dataset diversi. Ritardi o copertura limitata suggerirebbero che la precisione forense sia più difficile da generalizzare di quanto il lancio lasci intendere.

Il secondo segnale è la convalida indipendente. Gli acquirenti hanno bisogno di risultati misurati su falsi positivi e falsi negativi, insieme agli esiti relativi ai tempi di ripristino in simulazioni realistiche.

Un benchmark utile dovrebbe includere modifiche di massa legittime, ransomware noto, varianti sconosciute, crittografia lenta e attacchi che alterano le identità prima di toccare i file. Dovrebbe inoltre spiegare il dataset e le soglie decisionali.

Prove indipendenti rafforzerebbero l'affermazione di Druva secondo cui l'analisi a due fasi fornisce una conferma affidabile. Risultati che mostrassero una revisione manuale sostanziale indebolirebbero l'idea che il sistema sostituisca l'incertezza con prove chiare per il ripristino.

Il terzo segnale è l'adozione da parte dei clienti nei flussi di lavoro degli incidenti reali. La domanda importante è se i team di sicurezza e backup utilizzino le stesse prove per arrivare a una decisione più rapida e sicura.

Le segnalazioni dei clienti dovrebbero descrivere come il sistema abbia identificato le snapshot coinvolte, selezionato un punto precedente all'attacco, convalidato il ripristino proposto e gestito le identità compromesse. Dichiarazioni generiche su una migliore resilienza non risponderanno a questa domanda.

Anche le risposte dei concorrenti meritano attenzione, ma il numero di funzionalità non dovrebbe dominare il confronto. Il test più significativo è se un'altra piattaforma fornisca prove più chiare, un contesto più ampio o un ripristino convalidato più rapido.

Il rilevamento ransomware di Druva arriva in un momento in cui l'AI sta accelerando sia l'attività degli attaccanti sia l'analisi difensiva. La sua architettura a due fasi assegna all'AI un compito delimitato: analizzare su larga scala, convalidare in profondità e collegare i risultati al ripristino.

Questa focalizzazione è sensata. La questione irrisolta è se Druva possa mantenere tale precisione quando gli ambienti dei clienti, i metodi degli attaccanti e le relazioni tra identità diventano complessi.

I responsabili della sicurezza che valutano la funzionalità dovrebbero eseguire un esercizio impegnativo. Fornite alla piattaforma un insieme misto di snapshot pulite, insolite e dannose, quindi chiedete al team di risposta di effettuare il ripristino senza indicazioni del fornitore. Se le prove sostengono la decisione giusta sotto pressione, la risposta AI di Druva ha valore pratico. Se il team continua a ricostruire manualmente l'incidente, il prodotto deve ancora dimostrare molto.