Commvault ha annunciato l’integrazione di Google Threat Intelligence nei workflow di Threat Scan, con l’obiettivo di aiutare le aziende a stabilire più rapidamente quali copie dei dati possano essere utilizzate in sicurezza dopo un attacco informatico. L’accordo punta a collegare le informazioni raccolte durante le attività di sicurezza con le operazioni di ripristino, riducendo il tempo necessario per individuare un punto di recovery non contaminato.
Le nuove capacità, comprese la scansione inline durante il backup e le relative evoluzioni di Threat Scan, non sono ancora disponibili: Commvault prevede di renderle accessibili nel corso dei prossimi mesi. L’efficacia concreta dell’integrazione, soprattutto in termini di riduzione dei tempi di inattività e accuratezza nell’identificazione dei dati compromessi, dovrà quindi essere valutata quando le funzionalità entreranno negli ambienti di produzione.
Il problema dei backup che potrebbero contenere la minaccia
La disponibilità di una copia di backup non garantisce automaticamente la possibilità di ripristinarla. Se il malware era già presente al momento della copia, riportare online quei dati può reintrodurre la minaccia nell’infrastruttura appena ricostruita.
Dopo un incidente, i responsabili della sicurezza possono identificare gli indicatori di compromissione, ossia le tracce tecniche associate a un attacco, ma queste informazioni devono poi essere confrontate con i dati conservati nei backup. I team incaricati del recovery devono determinare quali copie siano precedenti alla compromissione, quali file debbano essere esclusi e fino a quale momento sia possibile riportare indietro i sistemi senza perdere una quantità eccessiva di dati recenti.
È un passaggio delicato: scegliere una copia troppo recente può comportare il ripristino di file contaminati, mentre tornare eccessivamente indietro nel tempo può provocare una perdita significativa di informazioni e transazioni. L’integrazione annunciata da Commvault vuole ridurre questa incertezza, rendendo la threat intelligence utilizzabile direttamente all’interno del processo di recovery.
Che cosa porta Google Threat Intelligence
Google Threat Intelligence combina le informazioni sulle minacce provenienti da tre fonti principali: l’esperienza operativa di Mandiant, i dati raccolti attraverso VirusTotal e gli indicatori individuati da Google durante la protezione dei propri servizi e di miliardi di utenti.
All’interno di Threat Scan, questi dati potranno essere impiegati per analizzare i carichi di lavoro protetti, ricercare possibili tracce di malware e identificare i punti di ripristino che potrebbero risultare compromessi. Ai clienti verrà inoltre fornito un contesto sulle minacce rilevate, utile per approfondire l’incidente e pianificare le successive attività di bonifica.
Il passaggio rilevante è quindi l’applicazione dell’intelligence globale sulle minacce ai dati conservati per il recovery. Non si tratta soltanto di rilevare che un attacco è avvenuto, ma di utilizzare gli indicatori disponibili per decidere quali dati possano essere recuperati e quali richiedano ulteriori verifiche.
L’integrazione potrebbe contribuire anche ad avvicinare due attività che, in molte organizzazioni, seguono ancora processi e strumenti differenti: la risposta all’incidente, gestita prevalentemente dai team di sicurezza, e il ripristino operativo, affidato alle strutture che amministrano backup, infrastrutture e continuità aziendale.
Gli hash dei file raccolti durante il backup
In parallelo, Commvault sta introducendo una funzione di scansione inline capace di raccogliere gli hash dei file durante le operazioni di backup. Un hash è un’impronta digitale generata matematicamente a partire dal contenuto di un file: se il contenuto cambia, anche il valore associato cambia.
Queste impronte possono essere confrontate con gli indicatori presenti nei database di threat intelligence. Se l’hash di un file conservato nel backup corrisponde a quello di un elemento dannoso già conosciuto, il sistema può segnalarlo come sospetto e aiutare il team a escludere il relativo punto di ripristino oppure ad avviare controlli più approfonditi.
Il confronto degli hash rappresenta un metodo rapido, ma non può individuare da solo ogni possibile compromissione. Un malware nuovo, modificato o costruito appositamente per una determinata vittima potrebbe non avere ancora un’impronta conosciuta. Per questo Commvault descrive un approccio multilivello: una prima convalida basata sulla threat intelligence, seguita, quando necessario, da analisi forensi, crittografiche e anti-malware più approfondite.
Questa impostazione cerca di bilanciare velocità e accuratezza. Sottoporre ogni backup alla più costosa forma di analisi potrebbe richiedere molto tempo e notevoli risorse di calcolo; eseguire inizialmente verifiche più rapide e riservare gli approfondimenti ai casi sospetti potrebbe invece accelerare le decisioni durante un’emergenza.
Il ruolo di Synthetic Recovery
Le nuove funzioni dovrebbero rafforzare anche Synthetic Recovery, la tecnologia di Commvault che utilizza un processo basato sull’intelligenza artificiale per rilevare le minacce e rimuovere gli elementi considerati dannosi durante il ripristino, mantenendo disponibili i dati ritenuti integri.
L’obiettivo è evitare una scelta binaria tra recuperare interamente una copia potenzialmente contaminata e rinunciare a tutti i suoi contenuti. In linea teorica, il sistema può ricostruire un insieme di dati utilizzabile, escludendo selettivamente file o componenti associati alla minaccia.
Si tratta tuttavia di un’area nella quale l’automazione richiede particolare cautela. La rimozione selettiva deve evitare sia i falsi negativi, che lascerebbero passare elementi dannosi, sia i falsi positivi, che potrebbero eliminare dati legittimi o indispensabili al funzionamento delle applicazioni. Le prestazioni dichiarate e il livello di affidabilità raggiungibile dovranno essere verificati nei diversi ambienti aziendali, soprattutto quando sono coinvolti sistemi complessi, applicazioni interdipendenti e grandi quantità di dati.
Pranay Ahlawat, Chief Technology e AI Officer di Commvault, ha spiegato: “Le aziende hanno bisogno di essere certe che i dati che stanno ripristinando siano puliti,” aggiungendo: “Combinando Threat Scan e la sua scansione inline con Google Threat Intelligence, supportiamo i clienti a convalidare i punti di ripristino più rapidamente e ad accelerare un recovery pulito proprio quando è più importante.”
Sicurezza e recovery convergono sulla stessa piattaforma
L’annuncio si inserisce in un’evoluzione più ampia del mercato della protezione dei dati. Le piattaforme di backup non vengono più valutate soltanto per la capacità di conservare copie e riportare online i sistemi, ma anche per le funzioni di rilevamento, analisi e risposta alle minacce.
Questa convergenza potrebbe aumentare la pressione sui fornitori che mantengono una separazione netta tra sicurezza informatica e data protection. Per le aziende clienti, il vantaggio potenziale consiste nella possibilità di ridurre i passaggi manuali e lo scambio di informazioni tra strumenti diversi durante le fasi più critiche di un incidente.
Al tempo stesso, una maggiore integrazione crea nuove dipendenze. La qualità delle decisioni di ripristino sarà legata alla completezza e all’aggiornamento degli indicatori disponibili, alla correttezza dei processi di scansione e alla capacità dell’organizzazione di configurare e interpretare i risultati. La tecnologia può accelerare le verifiche, ma non elimina la necessità di procedure di risposta collaudate, responsabilità chiaramente assegnate e test periodici di recovery.
L’adozione potrebbe inoltre richiedere un adeguamento dei processi interni. I team di sicurezza, infrastruttura e continuità operativa dovranno condividere criteri, dati e priorità. Senza questo coordinamento, anche un sistema capace di produrre rapidamente informazioni sulle minacce rischia di non tradursi in decisioni altrettanto rapide.
Miton Adhikari, Head of Google Security OEM Partnerships, ha sottolineato: “Le imprese sono alla ricerca di metodi per rafforzare la cyber resilience, riducendo al contempo la complessità nelle fasi di risposta agli incidenti e ripristino,” proseguendo: “Attraverso la nostra collaborazione con Commvault, i clienti saranno in grado di applicare Google Threat Intelligence all’interno dei workflow di recovery per prendere decisioni di ripristino più rapide e informate, riducendo l’incertezza legata a queste operazioni.”
Una collaborazione che si estende agli ambienti Google Cloud
L’integrazione amplia il rapporto già esistente tra Commvault e Google Cloud. La collaborazione comprende le capacità di cyber resilience per gli ambienti Google Cloud offerte attraverso Clumio, oltre al supporto dei relativi workflow cloud.
Per Commvault, l’accesso alla threat intelligence di Google potrebbe rafforzare il posizionamento della propria piattaforma come punto di incontro tra protezione dei dati, analisi delle minacce e ripristino. Per Google, l’accordo estende invece l’utilizzo della sua intelligence a una fase operativa particolarmente sensibile: la ricostruzione dei sistemi dopo un attacco.
Il valore dell’iniziativa dipenderà però dalla capacità di trasformare la grande quantità di indicatori disponibili in segnali affidabili e utilizzabili nel contesto specifico di ciascun cliente. Più informazioni non significano necessariamente decisioni migliori se generano rumore, richiedono verifiche manuali eccessive o non riflettono le caratteristiche dell’infrastruttura da recuperare.
La prova decisiva arriverà negli ambienti reali
L’integrazione affronta un problema concreto della resilienza informatica: ripristinare rapidamente i sistemi senza riportare in produzione anche la minaccia. Il confronto degli hash durante il backup, l’impiego della threat intelligence e le analisi selettive più profonde delineano un processo nel quale il recovery diventa più informato e meno dipendente da verifiche svolte soltanto dopo l’incidente.
Le potenzialità sono rilevanti, soprattutto per le organizzazioni con grandi volumi di dati e obiettivi di ripristino molto stringenti. Restano tuttavia da misurare l’impatto della scansione sulle operazioni di backup, la capacità di rilevare minacce nuove o modificate, la gestione dei falsi allarmi e il livello di supervisione umana necessario.
Poiché le funzionalità arriveranno nei prossimi mesi, l’annuncio rappresenta per ora una direzione di sviluppo più che un risultato già dimostrato. La verifica decisiva sarà la capacità di ridurre realmente i tempi di recovery senza compromettere l’integrità dei dati e l’affidabilità dei sistemi riportati online.
