IBM FlashSystem rileva il furto di dati nell'unità prima che il ransomware la crittografi, con meno dell'1% di falsi positivi.

Gli array IBM FlashSystem 5600, 7600 e 9600 basati sul modulo IBM FlashCore di quinta generazione ora rilevano l'esfiltrazione di dati all'interno dell'unità, oltre al rilevamento della crittografia ransomware già presente nei moduli. IBM afferma che il modulo apprende il normale schema di lettura di ciascun volume, segnala le letture che si discostano da esso e conferma un evento sospetto in una finestra temporale di 30 minuti con un tasso di falsi positivi validato inferiore all'1%. La funzionalità sarà disponibile a partire da ottobre 2026 sulle configurazioni idonee con firmware 9.1.2 o versioni successive.

Secondo IBM, il ripristino risponde alla domanda sbagliata quando i dati sono già stati rimossi. Il ripristino riporta i volumi, ma non può dire a un operatore cosa è stato letto prima dell'inizio della crittografia o quanto sia stata grave la violazione. IBM cita il report M-Trends 2026 di Google Cloud, secondo cui gli aggressori in genere trascorrono dagli 11 ai 14 giorni all'interno di una rete prima di diffondere un ransomware, e il report Cost of a Data Breach 2026, che indica una media di 247 giorni per identificare una violazione.

Telemetria e rilevamento delle minacce del modulo FlashCore integrato

L'esfiltrazione dei dati è più difficile da intercettare rispetto alla crittografia perché è progettata per apparire come normali operazioni di lettura. Il modulo FlashCore analizza ogni operazione di I/O sull'unità, crea una baseline per ogni volume e riconosce i passaggi di backup di routine e le scansioni analitiche, in modo che una lettura completa programmata non generi un allarme. Poiché l'analisi viene eseguita all'interno del modulo, non dipende da agenti endpoint o log host che un utente malintenzionato potrebbe controllare, non richiede modifiche alle applicazioni e, secondo IBM, non ha alcun impatto misurabile sulle prestazioni.

"Il futuro della resilienza informatica non consiste semplicemente nel riprendersi dopo un attacco", ha affermato Sam Werner, General Manager di IBM Storage. Ha inquadrato l'obiettivo come l'identificazione del rischio prima che si verifichino danni, con una visione più tempestiva di potenziali furti di dati e una risposta più rapida. Laurence Horrocks-Barlow, Technical Director di OCF Limited, ha descritto il rilevamento a livello di storage come un'ulteriore fase di difesa: "Prima si viene a conoscenza di un problema, prima si può intervenire".

Crittografia post-quantistica FIPS e HBA Fibre Channel sicuri

La seconda modifica mira a contrastare gli attacchi "raccogli ora, decifra in seguito", in cui i dati crittografati rubati oggi vengono conservati fino a quando l'hardware quantistico non riesce a decifrare la chiave. FlashSystem mantiene AES-256 per i dati a riposo, e il modulo FlashCore di quinta generazione aggiunge ML-KEM (conforme allo standard FIPS 203) e ML-DSA (conforme allo standard FIPS 204), due algoritmi sviluppati con i ricercatori IBM. ML-KEM funziona in modalità ibrida per trasferire il PIN di sblocco al modulo, e le firme ibride ML-DSA verificano l'autenticità del firmware.

IBM afferma che gli HBA sicuri estenderanno le protezioni post-quantistiche al percorso dati Fibre Channel e consentiranno la crittografia a livello di sessione a prova di attacchi quantistici sulla rete, senza compromettere l'efficienza, le prestazioni o il rilevamento dei ransomware in esecuzione nei moduli. IBM non ha fornito una data per la disponibilità degli HBA e la crittografia a livello di sessione è descritta come una funzionalità futura.

Governance operativa di FlashSystem.ai

FlashSystem.ai, introdotto con il lancio dei modelli 5600, 7600 e 9600, acquisisce in questo aggiornamento funzionalità di consulenza: raccomandazioni contestuali, contesto delle attività che si mantiene tra le sessioni di gestione e suggerimenti per le azioni successive più appropriate. Gli amministratori lavorano in linguaggio naturale, possono visualizzare le motivazioni alla base di una raccomandazione e mantengono l'autorità di approvazione tramite una governance basata su policy. IBM stima una riduzione dello sforzo per il provisioning di routine fino al 90%, un dato derivante da valutazioni controllate in laboratorio del provisioning multi-volume con Safeguarded Copy e policy di disaster recovery.

Sistema Flash IBM