Le anomalie dei backup sono cambiamenti imprevisti, guasti o comportamenti irregolari nei sistemi di backup. Possono includere processi di backup che improvvisamente smettono di riuscire, lacune insolite nei punti di ripristino, impostazioni di conservazione modificate, snapshot mancanti oppure backup più lenti, più grandi o più piccoli del normale.
Sono importanti perché i backup sono un controllo di ripristino fondamentale. Negli attacchi ransomware e in altri attacchi distruttivi, gli attori della minaccia spesso cercano di eliminare, crittografare, corrompere o disabilitare i backup, così che le vittime non possano ripristinare facilmente i sistemi. Un'anomalia nell'ambiente di backup può essere uno dei primi segnali che un'intrusione ha raggiunto infrastrutture critiche. I difensori monitorano i log dei backup, gli accessi allo storage e le azioni degli amministratori per individuare segnali come modifiche di configurazione non autorizzate, errori ripetuti o manomissioni dei repository di backup. Una singola anomalia non prova un compromesso, ma è un indizio forte che dovrebbe attivare la verifica e la risposta all'incidente.