Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Che cosa accadde nel maggio 2017
Le prime segnalazioni della campagna globale emersero il 12 maggio 2017. WannaCry combinava cifratura e capacità di propagazione attraverso vulnerabilità del protocollo SMBv1. CISA documentò centinaia di migliaia di infezioni in oltre 150 Paesi in pochi giorni, con impatti anche su infrastrutture e dispositivi critici.
Microsoft aveva pubblicato l’aggiornamento MS17-010 nel marzo 2017 per le versioni supportate di Windows. Durante l’emergenza rese disponibili eccezionalmente aggiornamenti anche per alcuni sistemi fuori supporto. L’esistenza della correzione prima dell’attacco rese evidente la distanza tra disponibilità di una patch e sua applicazione effettiva.
- 12 maggio 2017: diffusione globale osservata
- Vulnerabilità SMB comprese in MS17-010
- Sistemi legacy e non aggiornati nel perimetro
- Propagazione rapida tra reti raggiungibili
- Necessità di contenimento oltre alla rimozione del malware
Perché una patch non basta
Un’organizzazione non può correggere ciò che non conosce. Inventario incompleto, dispositivi non gestiti, applicazioni incompatibili e responsabilità poco chiare rallentano gli aggiornamenti. Il patch management deve quindi includere scoperta, valutazione della criticità, test, distribuzione, gestione delle eccezioni e verifica finale.
La segmentazione limita il movimento laterale quando un controllo preventivo fallisce. Servizi legacy e protocolli non necessari non dovrebbero poter comunicare liberamente con l’intera rete. Blocchi di rete, separazione per funzione e monitoraggio dei tentativi anomali riducono la probabilità che un singolo endpoint compromesso diventi un incidente esteso.
- Inventario di sistemi, versioni e proprietari
- SLA di correzione basati sul rischio
- Eccezioni con scadenza e misura compensativa
- Segmentazione tra utenti, server e sistemi critici
- Verifica tecnica dell’avvenuta installazione
Che cosa insegna ancora oggi
La resilienza richiede copie non raggiungibili con le stesse credenziali della produzione, restore testati e priorità concordate con i responsabili dei processi. Il backup protegge il dato, ma il ripristino di un servizio dipende anche da identità, configurazioni, rete, chiavi, licenze e competenze disponibili.
WannaCry resta un caso utile per le esercitazioni: partire da un endpoint cifrato, introdurre progressivamente indisponibilità e propagazione e verificare chi decide isolamento, comunicazioni e ripartenza. La prova deve produrre azioni assegnate e una successiva verifica, non soltanto un verbale.
- Backup isolati o immutabili
- Test periodici di recupero
- Runbook disponibili durante l’emergenza
- Contatti e autorità decisionali definiti
- Tabletop exercise con azioni correttive
Domande frequenti
WannaCry è ancora una minaccia attuale?+
La campagna del 2017 è un evento storico, ma sistemi non aggiornati e varianti basate su tecniche simili possono ancora rappresentare un rischio. La verifica deve riguardare esposizione, versioni supportate e controlli presenti oggi.
Installare gli aggiornamenti avrebbe evitato ogni impatto?+
L’aggiornamento MS17-010 proteggeva dalle vulnerabilità sfruttate per la propagazione osservata, ma una difesa affidabile comprende anche inventario, segmentazione, protezione degli endpoint, backup e risposta agli incidenti.
Qual è la prima verifica utile in azienda?+
Confrontare inventario reale, sistemi fuori supporto, stato degli aggiornamenti, esposizione SMB, segmentazione e risultati dell’ultimo test di ripristino.