3 La reprise après une violation de données est un problème d’infrastructure. Lorsque des attaquants compromettent des systèmes, c’est votre équipe d’infrastructure qui porte la reprise. Pouvez-vous isoler les systèmes compromis ? Restaurer à partir de sauvegardes saines ? Empêcher une recontamination ? La reprise après une violation de données doit concilier enquête forensique, restauration rapide et conformité réglementaire. Vous devez préserver les preuves, rétablir rapidement les opérations et démontrer que la reprise est sécurisée. Et tout cela simultanément, avec des informations incomplètes. Cela exige une architecture de stockage délibérée et planifiée à l’avance. Les organisations qui réagissent bien aux violations ne sont pas celles qui disposent des outils de sécurité les plus sophistiqués, mais celles qui ont conçu leur infrastructure dès le premier jour pour une reprise rapide et préservant les preuves. Comprendre l’étendue et l’impact d’une violation de données La gravité d’une violation dépend de trois facteurs : ce qui a été consulté, la durée de l’accès des attaquants et ce qu’ils ont fait. Les attaquants peuvent n’avoir eu qu’un accès en lecture (données copiées, sans modification) ou un accès en écriture (données supprimées, chiffrées ou modifiées). Un accès en lecture seule permet d’« effacer et restaurer ». Un accès en écriture impose de vérifier que les données restaurées sont saines. La durée est tout aussi déterminante. Un accès de deux heures ne permet peut-être que de copier. Un accès de deux mois peut avoir compromis les sauvegardes, empoisonné les instantanés ou modifié l’antivirus. La durée détermine ce à quoi vous pouvez faire confiance. L’intention de l’attaquant façonne la reprise. Les attaquants qui exfiltrent volent puis partent. Les attaquants perturbateurs sabotent les systèmes. Les attaquants ciblés copient sélectivement des données de grande valeur. Vos tactiques varient en conséquence. Une architecture de stockage pour isoler la violation Votre premier objectif : l’isolement. Empêcher de nouveaux dégâts et protéger les systèmes non compromis. Maintenez une segmentation réseau stricte. Bases de données de production séparées des dépôts de sauvegarde. Développement séparé de la production. Archivage isolé dans un stockage WORM. Si la production est compromise, les attaquants doivent compromettre séparément d’autres systèmes pour atteindre les sauvegardes ou les archives. Ainsi, des attaquants disposant d’un accès en écriture à la production ne peuvent pas supprimer directement les sauvegardes. Ils peuvent compromettre le logiciel de sauvegarde (en anglais), mais leurs commandes se heurtent aux protections d’immuabilité et aux contrôles d’accès. Concevez les environnements de reprise comme des systèmes isolés, non connectés aux réseaux de production. Ces systèmes contiennent des instantanés immuables. En cas de violation, isolez entièrement le stockage de reprise de la production — en mode air gap (en anglais) pour empêcher tout mouvement latéral. Une approche de reprise après sinistre en tant que service accélère cela. Préservation des preuves et analyse forensique Pendant la reprise, votre équipe forensique a besoin d’un accès complet aux systèmes compromis. Cela crée une tension : la reprise isole les systèmes, tandis que l’enquête a besoin d’y accéder. L’architecture de stockage doit permettre les deux. Avant de toucher aux systèmes compromis, capturez des images forensiques. Créez des copies bit à bit du stockage, des captures mémoire et de l’état volatil. Stockez-les sur une infrastructure distincte, accessible uniquement aux équipes forensiques et juridiques. Les preuves sont ainsi préservées pendant que l’exploitation se rétablit. Mettez en place des capacités de gel forensique. Les données normalement soumises à des calendriers de rétention ou de suppression peuvent être gelées, ce qui empêche leur suppression automatique. Les artefacts temporaires et les journaux sont ainsi préservés pour l’enquête. Établissez un stockage forensique distinct, inaccessible par les chemins opérationnels. Les données forensiques ne doivent pas se trouver sur l’infrastructure principale, où des utilisateurs opérationnels pourraient y accéder. Idéalement, les preuves forensiques sont hors ligne (bandes dans un local verrouillé) ou dans un environnement cloud isolé. Une reprise saine et la prévention de la recontamination Déterminer ce qui est sain est le plus difficile. Des attaquants ayant eu accès aux systèmes de sauvegarde ont pu modifier les sauvegardes. Des mois d’accès ont pu compromettre plusieurs générations d’instantanés. Mettez en place une vérification continue de l’intégrité. Avant d’utiliser une sauvegarde ou un instantané, vérifiez sa signature cryptographique. Une signature générée à la création et intacte signifie que vous pouvez lui faire confiance. Une signature absente ou invalide signifie que vous ne pouvez pas l’utiliser. Cela exige une signature des instantanés immuables dès le premier jour. Calculez l’empreinte cryptographique de l’ensemble de la sauvegarde. Stockez-la dans un emplacement WORM. Lors de la reprise, recalculez l’empreinte et vérifiez qu’elle correspond. Une différence signifie que quelque chose a modifié la sauvegarde. Comprendre vos exigences de RTO et de RPO (en anglais) garantit que la validation de la reprise respecte vos contraintes. En cas d’accès de plusieurs mois, vous devrez peut-être écarter les sauvegardes récentes et restaurer à partir d’une date antérieure au début de l’attaque. Cela peut signifier revenir six mois en arrière. Mais c’est le seul moyen d’éviter un nouvel empoisonnement. Complétez la vérification par une validation indépendante. Lancez des analyses antimalware sur des sous-ensembles de fichiers. Recherchez des schémas inhabituels. Faites examiner les journaux par l’équipe sécurité. La combinaison de validations manuelles et automatisées donne l’assurance que la reprise élimine bien la violation. Une reprise rapide avec assurance qualité Une fois les sauvegardes saines identifiées, passez à une reprise rapide sans réinfection. Restaurez d’abord dans des environnements de reprise isolés, et non directement en production. Isolez l’infrastructure de reprise d’Internet et de la production. Vérifiez que les systèmes fonctionnent, que les requêtes renvoient les données attendues et qu’aucun processus suspect n’existe. Cette validation peut prendre de 4 à 8 heures, mais elle se fait hors ligne. Procédez à une bascule progressive vers la production. Ne basculez pas tout d’un coup. Restaurez la base de données, validez, puis remettez les serveurs d’applications en ligne un par un. Surveillez toute propagation de la menace. Si une activité suspecte est détectée, isolez le système concerné sans affecter les autres. Définissez des critères d’achèvement clairs. Pour certaines violations, la reprise est réussie lorsque les systèmes fonctionnent. Pour d’autres, il faut 24 à 48 heures de fonctionnement normal sans activité suspecte. Documentez ces critères dans les plans de réponse aux incidents afin que les décisions soient prises de manière rationnelle. Enquête et prévention après la violation Après la reprise, passez à l’enquête et à la prévention. Les preuves forensiques font foi. Reconstituez la chronologie à partir des journaux d’audit, des images forensiques et des journaux système. Quand l’accès a-t-il eu lieu ? Quelles données ont été consultées ? Combien de temps les attaquants sont-ils restés ? Ont-ils mis en place des mécanismes de persistance ? Cette chronologie est essentielle pour la conformité et la prévention. Mettez en œuvre des mesures préventives à partir des conclusions de l’enquête. Application vulnérable ? Corrigez-la et renforcez-la. Contrôles d’accès aux sauvegardes insuffisants ? Durcissez-les. Identifiants compromis ? Renforcez leur gestion. Chaque violation révèle des faiblesses de l’infrastructure. Menez une revue post-incident. Les procédures ont-elles fonctionné ? Qu’est-ce qui a pris plus de temps que prévu ? Quelles informations auraient été utiles ? Quelles capacités accéléreraient la reprise ? Servez-vous de ces enseignements pour améliorer l’infrastructure et les procédures. La conformité réglementaire dans la reprise après une violation De nombreuses juridictions imposent une notification dans un délai de 30 à 60 jours. Votre calendrier de reprise doit en tenir compte. Si vous enquêtez encore sur une exfiltration au 45ᵉ jour, vous avez peut-être déjà des obligations de notification. Conservez une trace claire des étapes de reprise, de préservation des preuves et de validation. Les régulateurs demanderont de la documentation. Démontrer des procédures rigoureuses — isolement, vérification de l’intégrité des sauvegardes, validation de la reprise — prouve une gestion maîtrisée. Certaines réglementations exigent de démontrer la sécurité des données compromises. Si les données étaient chiffrées et que les clés n’ont pas été compromises, l’impact réglementaire est réduit. Le chiffrement et la gestion des clés sont essentiels, non seulement pour empêcher l’exfiltration, mais aussi pour démontrer aux régulateurs que les données consultées sont inexploitables. La mise en œuvre d’une reprise après ransomware grâce au stockage objet (en anglais) apporte des garanties face aux attaques sophistiquées. Conclusion : l’infrastructure, socle de la réponse aux violations Les organisations qui se rétablissent efficacement ne sont pas celles qui disposent de la supervision la plus sophistiquée, mais celles qui ont investi en amont dans leur infrastructure de stockage, leurs pratiques de sauvegarde et leurs procédures de reprise. Elles disposent d’instantanés immuables que les attaquants ne peuvent pas corrompre, d’environnements de reprise isolés, de capacités forensiques et de procédures de reprise testées. Si votre approche se résume à « restaurer depuis la sauvegarde et espérer », vous n’êtes pas prêt. Investissez dans une architecture de stockage qui permet une reprise rapide et préservant les preuves. Les capacités de votre équipe d’infrastructure déterminent si la reprise prend des jours ou des semaines. Faites de cette capacité un choix délibéré. Pour aller plus loin Qu’est-ce que le stockage immuable ? (en anglais) Stockage de sauvegarde isolé (air gap) Plan de continuité d’activité Bonnes pratiques de sécurité zero trust (en anglais) RTO ou RPO : les principales différences expliquées (en anglais) Stratégie de sauvegarde d’entreprise (en anglais) Stockage immuable et défense contre les ransomwares (en anglais)
