4 Depuis près de 15 ans que Scality fait partie de l’écosystème du stockage de données d’entreprise, nous avons vu le marché évoluer au gré des grandes tendances, du rythme rapide des avancées technologiques et des exigences changeantes des clients. Dans le datacenter d’entreprise, le stockage objet a beaucoup progressé depuis les premières phases d’adoption, vers 2010. Les premiers clients ont immédiatement perçu les énormes avantages du stockage objet à l’échelle du cloud. Du point de vue des éditeurs d’applications, le stockage objet était d’abord vu comme un moyen fiable, économique et de grande capacité (« cheap and deep ») pour stocker de très gros volumes de données à des fins de rétention à long terme, d’archivage et de conformité. Cette perception s’est élargie — à juste titre, compte tenu des multiples avantages du stockage objet pour une variété croissante de cas d’usage, y compris des améliorations qui apportent de hautes performances. Dans le domaine de la protection des données, il fallait un éditeur vraiment innovant et visionnaire pour mettre sur le marché une application d’entreprise qui fasse du stockage objet une solution de premier plan. C’est exactement ce qu’a fait Veeam Software avec l’annonce révolutionnaire de Veeam Data Platform. L’intégration de l’application et du stockage objet immuable offre une puissance incroyable pour relever les redoutables défis de cybersécurité auxquels font face les organisations. La solution combinée Veeam + Scality offre désormais à nos clients une approche complète de protection inébranlable contre les ransomwares et de cyber-résilience avancée. C’est une immense victoire dans la lutte contre les ransomwares. Faire de la cyber-résilience une priorité face aux cybermenaces La cyber-résilience est une préoccupation majeure pour la plupart des dirigeants d’entreprise et du secteur public — et une priorité absolue pour les DSI et les RSSI. La plupart de ces décideurs se préparent désormais à l’inévitabilité d’une attaque par ransomware. Pour protéger leurs données, ils mettent en place plusieurs niveaux de sécurité — des pare-feu aux applications et au stockage des données. Ils prévoient aussi des stratégies de reprise pour le jour où l’inévitable se produira — avec l’objectif de rétablir l’activité le plus rapidement possible après une attaque. La restauration des données est au premier rang de ces stratégies, car les données sous-tendent aujourd’hui presque toutes les activités de l’entreprise. Le stockage des données — plus précisément le stockage immuable — est la clé des stratégies de restauration des données. Le stockage immuable permet de conserver les données, une fois écrites, de telle sorte qu’elles ne puissent être ni modifiées, ni supprimées, ni altérées de quelque façon que ce soit. Cette capacité protège contre les ransomwares, les malwares et les actions humaines involontaires ou malveillantes. L’immuabilité est largement reconnue comme indispensable dans la lutte contre les ransomwares, car elle protège efficacement les données contre toute suppression ou modification, comme c’est le cas lors d’une attaque qui tente de chiffrer des données critiques. Il faut aussi tenir compte des attaques qui menacent de lire et d’extraire (exfiltrer) les données pour les publier et exposer des informations sensibles ou secrètes (pensez à Wikileaks, par exemple). Depuis plus de 15 ans, Scality consacre l’essentiel de ses efforts à la protection des données de ses clients. Nous avons adopté le terme de stockage cloud inébranlable pour traduire nos efforts de protection des données contre le plus large éventail possible de menaces de perte de données, de sécurité et d’altération. Nos produits mettent tout en œuvre pour que les données soient protégées et sécurisées face à un large éventail d’attaques. L’approche en cinq volets de Scality pour la cyber-résilience Pour offrir à nos clients une protection maximale contre les menaces actuelles et futures, les solutions Scality ont été soigneusement conçues pour fournir cinq niveaux distincts de cyber-résilience inébranlable. Ces capacités s’appuient sur l’immuabilité intrinsèque de nos architectures de stockage objet. Du haut en bas de la pile logicielle : Immuabilité au niveau de l’API Amazon S3 L’API Amazon S3 a considérablement évolué depuis son lancement comme API de stockage cloud public en 2006. Sa popularité tient notamment à son adoption par les développeurs et les fournisseurs de solutions pour des applications d’entreprise majeures comme Veeam Data Platform. La dernière version de ce logiciel prend en charge les sauvegardes « direct-to-object » ainsi qu’une Smart Object Storage API (SOSAPI) étendue. L’immuabilité au niveau de l’API nous aide à protéger les données contre les tentatives, intentionnelles ou non, d’écrasement par un utilisateur ou une application envoyant des commandes S3 sur un jeu de données (comme ce pourrait être le cas lors d’une attaque par ransomware). Une amélioration majeure de S3 est apparue il y a quelques années avec l’immuabilité au niveau de l’API, grâce aux API de verrouillage d’objets S3 (Object Lock). Des politiques de rétention des données configurables garantissent la préservation de l’immuabilité pendant une durée donnée, selon les règles métier — ou permettent d’appliquer des politiques différentes selon les jeux de données. Scality prend en charge toutes ces API, ainsi qu’un mode conformité qui garantit qu’une fois les verrous d’objets et les politiques de rétention définis, ils ne peuvent pas être contournés, même par le super-administrateur du système. Cette immuabilité robuste au niveau de l’API a aussi permis à la solution Scality de satisfaire à la très exigeante règle SEC 17a-4 de conformité du secteur financier au sein des banques. Outre le verrouillage d’objets, S3 prend aussi en charge des politiques de versioning de buckets facultatives qui préservent les états antérieurs des objets si une application tente d’écraser ou de supprimer un objet existant. Toutes les solutions Scality intègrent une authentification complète compatible AWS (précisément, l’authentification Signature v4 basée sur HMAC, avec clés privées et secrètes) et des politiques IAM (gestion des identités et des accès) de type AWS pour un contrôle d’accès ultra-granulaire aux buckets S3 et aux objets. Un attaquant sans jeu de clés S3 valide ni identité utilisateur valide n’irait donc pas très loin dans ses tentatives d’accès aux données stockées sur une solution Scality. En bref, ce « niveau supérieur » d’immuabilité dans l’API S3 nous aide à protéger les données contre les tentatives, intentionnelles ou non, d’écrasement par un utilisateur ou une application envoyant des commandes S3 sur un jeu de données (comme ce pourrait être le cas lors d’une attaque par ransomware). Chiffrement des données en transit et au repos, avec gestion des clés hors système Si l’immuabilité au niveau de l’API est un élément important de la cyber-résilience des données, elle ne peut pas empêcher un utilisateur authentifié de lire les données et d’y accéder, par exemple pour les publier (exfiltrer) dans une intention malveillante. Scality s’appuie donc sur les mécanismes de chiffrement les plus avancés pour ajouter une couche de protection supplémentaire : La terminaison HTTPS/TLS des endpoints S3 garantit que les données transmises sur le réseau ne peuvent pas être interceptées de manière exploitable par des tiers indésirables. Chiffrement AES 256 bits des données au repos dans le système de stockage Scality : les objets S3 sont chiffrés au niveau de l’endpoint S3 lors de leur écriture dans le système de stockage, et déchiffrés lors de la lecture, uniquement si l’utilisateur dispose d’un accès autorisé aux clés de chiffrement. Nous allons plus loin en séparant le stockage des clés chiffrées elles-mêmes dans un système de gestion des clés dédié (KMS), afin que les clés soient stockées dans leur propre domaine de sécurité. Nous prenons en charge le protocole KMIP, bien connu, pour assurer la compatibilité avec un large éventail de solutions KMS tierces parmi les plus répandues. Ces mécanismes de chiffrement complètent l’immuabilité de la couche API S3 par une autre ligne de défense importante de notre solution globale de protection contre les ransomwares. Erasure coding distribué pour rendre les données indéchiffrables face aux attaques de bas niveau Les attaquants peuvent devenir assez sophistiqués pour comprendre que la couche API S3 est plus difficile à pénétrer, compte tenu des capacités S3 Object Lock décrites plus haut et des politiques d’authentification et de contrôle d’accès IAM de S3. Et s’ils parvenaient à pénétrer le système sous la couche API pour lire ou écrire directement des données sur les disques physiques ? C’est là qu’intervient l’approche avancée de Scality en matière de protection des données, grâce à l’erasure coding distribué. Il est généralement utilisé pour les objets de plus de 64 kilo-octets, c’est-à-dire pour une grande partie des données stockées dans un stockage objet. Comment fonctionne l’erasure coding distribué ? Il consiste à découper les données en fragments (ou « chunks »), à les enrichir et les encoder avec des données redondantes (fragments de parité), puis à répartir intelligemment tous ces fragments sur l’ensemble des disques du système. Le catalogue des emplacements des fragments est stocké dans un référentiel sécurisé et durci, avec sa propre authentification et son propre contrôle d’accès (non partagés) : il est donc très bien protégé. Sans cette « carte », il serait impossible de savoir où sont stockés les morceaux d’un fichier dans le système distribué. Cette approche rend extrêmement improbable le succès d’une attaque classique consistant à chiffrer les données des utilisateurs pour exiger une rançon, car le cybercriminel devrait savoir où sont stockés les milliers de fragments d’un objet donné. Distribution et réplication géographiques pour éliminer le problème de « toutes les données au même endroit » Une attaque par ransomware pouvant percer les défenses d’un datacenter unique, il faut éliminer ce vecteur d’attaque. Les solutions Scality peuvent stocker les données sur plusieurs sites, zones de disponibilité ou datacenters physiques. Il en résulte plusieurs « domaines de sécurité » qu’une attaque devrait franchir pour atteindre toutes les instances des données. Tant qu’une copie reste intacte (saine et non touchée par le ransomware), l’organisation peut restaurer et récupérer ses données — et refuser de payer la rançon. Les solutions Scality sont capables de réplication multisite (mise en miroir) vers des cibles Scality distantes dans d’autres datacenters, ou vers des cibles de stockage cloud chez AWS, Azure, Google et un nombre croissant de nos fournisseurs de services régionaux. Pour compliquer l’accès aux sites distants pour un attaquant ayant accès au premier site, ces sites peuvent disposer de leurs propres domaines IAM et de sécurité. En éliminant les vulnérabilités liées au stockage de toutes les données au même endroit, on déjoue les attaques par ransomware. Une architecture de stockage objet intrinsèquement immuable pour protéger les données au cœur de la couche de stockage Une large majorité des attaques par ransomware (plus de 90 % selon les estimations) ciblent des applications et des données hébergées sous Microsoft Windows. Système d’exploitation le plus utilisé au monde, Windows offre une large surface d’attaque aux cybercriminels. Mais bien sûr, des attaques hors Windows existent aussi, comme l’a montré la récente attaque massive contre les environnements d’hyperviseur VMware. Si les gangs de ransomware gagnent en sophistication, leur code reste plus habile à exploiter les failles courantes des plateformes, en particulier celles qui touchent les données stockées sous Windows. Il est encore moins avancé pour exploiter les plateformes accessibles via des API de stockage RESTful comme S3, pour les données stockées dans un stockage objet. Il faut toutefois s’attendre à ce que cela change. Le stockage objet est idéal pour se protéger des ransomwares grâce à son immuabilité. Les solutions de stockage objet de Scality sont intrinsèquement immuables au cœur de leur architecture : le système applique les protocoles nécessaires pour préserver les données dans leur forme d’origine une fois écrites. Les applications peuvent bien sûr envoyer des commandes d’API objet qui suppriment ou écrivent des données, mais l’architecture sous-jacente traite un écrasement (une requête PUT sur une clé d’objet existante) comme l’écriture d’un nouvel objet et non comme l’écrasement de l’objet d’origine, tout en conservant la trace et l’emplacement des données d’origine. De même, les requêtes DELETE créent un marqueur logique plutôt qu’une suppression physique de l’objet d’origine. Grâce à cette architecture, nous mettons en échec bon nombre des méthodes d’attaque habituelles, qui tentent de modifier (principalement en les chiffrant) les données des utilisateurs pour extorquer une rançon au client.
