La resilienza delle identità è diventata un elemento centrale nella risposta al ransomware. In molti incidenti, gli attaccanti non si limitano a cifrare server e workstation: cercano di compromettere Active Directory, account privilegiati, trust e strumenti di amministrazione per mantenere controllo e ostacolare il ripristino.

Il limite del solo backup

Avere una copia della directory è indispensabile, ma non garantisce da solo il ritorno a uno stato sicuro. Se il backup contiene account già compromessi, deleghe eccessive o modifiche introdotte dagli attaccanti, il ripristino può riportare online anche le condizioni che hanno permesso l’incidente.

Che cosa significa resilienza delle identità

Un approccio più completo combina backup verificati, analisi delle modifiche sospette, ricostruzione dei privilegi, rotazione delle credenziali e validazione delle relazioni di trust. L’obiettivo è recuperare un’infrastruttura di identità affidabile, non soltanto disponibile.

Priorità operative

Le organizzazioni dovrebbero monitorare gruppi amministrativi, service account, policy di dominio e modifiche ai controller. Nei piani di crisi è utile prevedere procedure per ripristini isolati, verifica forense e riemissione delle credenziali critiche. Senza una directory attendibile, anche sistemi ripristinati correttamente restano esposti a nuove compromissioni.