Waarom storage een actieve verdedigingslinie tegen cyberaanvallen moet zijn

Cybersecurity richt zich traditioneel vooral op het beschermen van gebruikers, endpoints en netwerken. Dat blijft belangrijk, maar uiteindelijk zijn aanvallers meestal uit op één ding: de data van een organisatie.

Juist daarom verdient de storagelaag een actievere rol binnen de beveiligingsstrategie. Een nieuw Analyst Brief van IDC, uitgelicht door NetApp, benadrukt dat storage niet alleen de plek moet zijn waar data wordt bewaard en hersteld. De infrastructuur waarop de data staat, kan ook helpen om afwijkend gedrag sneller te herkennen, de impact van een aanval te beperken en herstel te versnellen.

Back-up komt vaak pas laat in beeld

Veel organisaties werken met meerdere beveiligingslagen. Aan de buitenkant staan maatregelen om aanvallers buiten te houden. Aan de andere kant zijn er back-ups om data na een incident te herstellen.

Het probleem is dat back-up vaak pas wordt aangesproken wanneer een aanval al heeft plaatsgevonden. Op dat moment kunnen bestanden al versleuteld, beschadigd of gestolen zijn. Omdat de data uiteindelijk in de primaire storageomgeving staat, is het logisch om juist daar ook continu te kijken naar signalen die op ransomware of ander afwijkend gedrag kunnen wijzen.

Storage wordt daarmee meer dan een passieve opslagplaats. Het wordt een actieve verdedigingslinie rondom de data zelf.

Detectie direct in de storagelaag

NetApp Autonomous Ransomware Protection, oftewel ARP, is direct geïntegreerd in ONTAP. De technologie analyseert in realtime wat er met de data gebeurt en zoekt onder meer naar afwijkingen in data-entropie, encryptiepatronen en ongebruikelijke activiteit.

Wanneer verdacht gedrag wordt herkend, kan ONTAP automatisch reageren. Het systeem kan waarschuwingen genereren en vergrendelde snapshots aanmaken, zodat er een recent herstelpunt beschikbaar blijft. Deze bescherming vormt een extra beveiligingslaag naast bestaande endpoint-, netwerk- en back-upoplossingen.

Geen enkele oplossing kan volledige bescherming tegen ransomware garanderen. Het voordeel van detectie in de storageomgeving is echter dat er zo dicht mogelijk op de data wordt meegekeken, ook wanneer een aanval andere beveiligingslagen weet te omzeilen.

Bescherming van zowel file- als blockdata

Een belangrijk onderscheid van NetApp is dat de ransomwaredetectie niet beperkt blijft tot één type dataomgeving.

Bij filedata, bijvoorbeeld in NAS-omgevingen met SMB en NFS, kan ONTAP onder andere kijken naar veranderingen in bestandstypen, afwijkend gebruik en de mate waarin data plotseling versleuteld raakt.

NetApp heeft deze bescherming inmiddels ook uitgebreid naar blockdata in SAN-omgevingen. Denk daarbij aan databases, bedrijfskritische applicaties en virtuele machines die gebruikmaken van block storage. De technologie analyseert hier onder andere veranderingen in de data-entropie om verdacht encryptiegedrag te herkennen.

Dat NetApp zowel file- als blockworkloads kan ondersteunen, is relevant voor organisaties met gemengde IT-omgevingen. Zij hoeven de bescherming van NAS- en SAN-data niet volledig los van elkaar te organiseren. Vanuit één dataplatform kan een breder deel van de bedrijfskritische data worden bewaakt.

Snelle detectie is pas het begin

Het herkennen van een mogelijke aanval is belangrijk, maar uiteindelijk telt vooral hoe snel een organisatie de gevolgen kan beperken en herstellen.

Daarom moet ransomwarebescherming onderdeel zijn van een bredere cyber resilience-strategie. Daarin komen meerdere onderdelen samen:

• preventieve beveiligingsmaatregelen;
• realtime detectie van afwijkend gedrag;
• onveranderbare en vergrendelde herstelpunten;
• duidelijke procedures voor incidentrespons;
• regelmatig geteste recoveryprocessen.

NetApp ARP kan bij vroege signalen van een aanval automatisch beschermde snapshots aanmaken. Wanneer daadwerkelijk sprake blijkt te zijn van ransomware, kunnen deze herstelpunten worden gebruikt om getroffen bestanden of volumes te herstellen.

De technologie alleen is echter niet voldoende. Organisaties moeten ook weten welke data kritisch is, welke systemen als eerste hersteld moeten worden en wie tijdens een incident welke beslissingen neemt.

Storage als onderdeel van de securitystrategie

Het IDC-rapport onderstreept een ontwikkeling die we bij Idaita al langer zien: data-infrastructuur en cybersecurity kunnen niet meer los van elkaar worden bekeken.

De storagelaag is de plek waar de belangrijkste data van de organisatie samenkomt. Wanneer daar intelligente detectie, bescherming en recovery aan worden toegevoegd, ontstaat een extra verdedigingslinie die de bestaande securitymaatregelen versterkt.

Met NetApp helpt Idaita organisaties om hun datafundering niet alleen snel en beschikbaar, maar ook aantoonbaar weerbaarder in te richten. Daarbij kijken we naar de volledige omgeving: van file- en blockdata tot snapshots, recovery, databeheer en de aansluiting op de bredere beveiligingsstrategie.

Want cyber resilience begint niet pas wanneer een aanval is gestopt. Het begint bij weten waar je data staat, herkennen wat ermee gebeurt en voorbereid zijn om snel en gecontroleerd te herstellen.