4 Le ransomware est devenu un risque opérationnel qui touche les organisations de toutes tailles. Les attaques modernes visent à perturber rapidement l’activité, souvent en chiffrant les systèmes de production puis en tentant d’éliminer les options de restauration en ciblant l’infrastructure de sauvegarde. C’est pourquoi la protection des sauvegardes contre les ransomwares est essentielle. Il ne suffit pas d’« avoir des sauvegardes ». Il faut des sauvegardes qui restent disponibles, intactes et restaurables, même lorsque des attaquants accèdent aux systèmes, aux identifiants ou aux outils d’administration. Ce guide explique ce qu’est la protection des sauvegardes contre les ransomwares, pourquoi les stratégies de sauvegarde traditionnelles échouent et comment bâtir une approche résiliente fondée sur l’immuabilité, la séparation des tâches et la vérification de la restauration. Qu’est-ce que la protection des sauvegardes contre les ransomwares ? La protection des sauvegardes contre les ransomwares désigne l’ensemble des choix de conception, des contrôles et des pratiques opérationnelles qui garantissent que les données de sauvegarde restent : disponibles pendant et après un incident inchangées (protégées contre le chiffrement ou la corruption) non supprimées (protégées contre la manipulation de la rétention) restaurables à la vitesse qu’exige votre activité Les attaquants font désormais souvent des sauvegardes une cible prioritaire. L’objectif est simple : supprimer votre capacité de restauration pour que le paiement de la rançon devienne la seule issue. La protection des sauvegardes permet de déjouer cette stratégie. Pourquoi les ransomwares ciblent les sauvegardes Les opérateurs de ransomware savent que le chiffrement n’est efficace que si la restauration est difficile. C’est pourquoi de nombreuses attaques comprennent : le vol d’identifiants (en particulier des comptes administrateurs de sauvegarde) la désactivation des tâches de sauvegarde et des alertes la suppression des points de restauration le raccourcissement des politiques de rétention le chiffrement des référentiels de sauvegarde la corruption des catalogues de sauvegarde Autrement dit, les ransomwares sont de plus en plus conçus pour transformer l’infrastructure de sauvegarde en point faible. Pourquoi les sauvegardes traditionnelles échouent face aux ransomwares De nombreux environnements de sauvegarde ont été conçus pour faire face aux pannes matérielles, et non à des actions malveillantes. Cette différence est déterminante. 1) Le stockage de sauvegarde est accessible depuis des systèmes compromis Si les cibles de sauvegarde sont accessibles depuis les réseaux de production, les ransomwares peuvent souvent les atteindre aussi. 2) Les identifiants de sauvegarde à privilèges sont exposés Les administrateurs de sauvegarde disposent généralement d’autorisations étendues, et les groupes de ransomware recherchent activement ces identifiants. 3) Les données de sauvegarde sont modifiables Si les données de sauvegarde peuvent être modifiées ou supprimées à tout moment, les attaquants peuvent éliminer rapidement les points de restauration. 4) La restauration est lente ou non testée Les sauvegardes ne servent que si vous pouvez restaurer. Lors de nombreux incidents, les organisations découvrent trop tard que : les restaurations prennent plusieurs jours les points de restauration sont incomplets les procédures (runbooks) sont absentes ou obsolètes La protection des sauvegardes contre les ransomwares traite directement ces modes de défaillance. Les principes fondamentaux de la protection des sauvegardes contre les ransomwares Une conception résiliente suit quatre principes : 1) Partir du principe d’une compromission Concevez les systèmes de sauvegarde en partant du principe que des attaquants peuvent : obtenir un accès interne récupérer des identifiants tenter des actions destructrices 2) Séparer les périmètres de confiance des sauvegardes Les sauvegardes ne doivent pas partager le même périmètre de confiance que la production. L’isolation réduit le rayon d’impact. 3) Rendre les sauvegardes immuables L’immuabilité empêche la suppression et la modification pendant une période de rétention définie, même si des identifiants sont compromis. 4) Vérifier la restauration Vous devez pouvoir prouver que la restauration fonctionne et la mesurer par rapport aux objectifs de RTO et de RPO. Les sauvegardes immuables : le socle de la protection contre les ransomwares L’immuabilité est aujourd’hui l’une des protections les plus efficaces. Qu’est-ce qu’une sauvegarde immuable ? Une sauvegarde immuable ne peut être ni modifiée ni supprimée avant l’expiration de sa période de rétention. Les attaquants ne peuvent donc pas détruire les points de restauration, même s’ils obtiennent un accès administrateur. Comment l’immuabilité est mise en œuvre en pratique De nombreuses organisations mettent en œuvre l’immuabilité à l’aide de stockage objet doté de contrôles WORM comme : S3 Object Lock les modes de rétention gouvernance les modes de rétention conformité (lorsque c’est requis) C’est particulièrement efficace, car le stockage objet est conçu pour monter en charge et la rétention peut être imposée au niveau du stockage. Les bonnes pratiques de protection des sauvegardes contre les ransomwares 1) Appliquer la règle 3-2-1-1-0 Une norme moderne de résilience face aux ransomwares est la règle 3-2-1-1-0 : 3 copies des données 2 supports de stockage différents 1 copie hors site 1 copie immuable ou air-gapped 0 erreur (restaurations vérifiées) Cette règle est importante, car elle exige explicitement une copie immuable ou isolée et une vérification. 2) Utiliser du stockage objet immuable pour les référentiels de sauvegarde Le stockage objet convient particulièrement à la protection des sauvegardes, car il prend en charge : une conservation longue à grande échelle l’immuabilité avec le verrouillage des objets la durabilité et la disponibilité sur plusieurs nœuds ou sites des protocoles standard (compatibilité S3) Pour la protection des sauvegardes contre les ransomwares, le stockage objet aide aussi à supprimer la dépendance à une seule baie de stockage ou à un seul plan d’administration. 3) Segmenter l’infrastructure de sauvegarde de la production La segmentation réseau réduit la portée des ransomwares. Les modèles recommandés comprennent : des réseaux ou VLAN de sauvegarde distincts un routage restreint entre les sous-réseaux de production et de sauvegarde un accès aux référentiels limité aux serveurs de sauvegarde connus un plan de gestion séparé du plan de données lorsque c’est possible Un modèle mental utile : la production ne doit pas pouvoir « parcourir » le stockage de sauvegarde. 4) Appliquer le moindre privilège et la séparation des tâches Les sauvegardes sont souvent compromises via les accès d’administration. Les contrôles qui réduisent réellement le risque : la MFA pour tous les administrateurs de sauvegarde des comptes d’administration de sauvegarde dédiés (aucun compte partagé) des rôles distincts pour les opérations de sauvegarde et pour le contrôle des politiques de rétention des comptes « bris de glace » pour les actions destructrices (avec approbations) Cela garantit qu’un ransomware ne peut pas facilement utiliser une seule identité compromise pour éliminer la capacité de restauration. 5) Protéger les politiques de rétention contre la manipulation Les paramètres de rétention font partie de la frontière de sécurité. La protection des sauvegardes doit garantir que : la rétention ne peut pas être réduite par des administrateurs standard les modifications de rétention sont auditées des alertes se déclenchent en cas de modification des politiques de rétention ou d’immuabilité Cela empêche les attaquants de raccourcir la rétention pour créer une situation sans aucun point de restauration valide. 6) Chiffrer les données de sauvegarde et sécuriser les clés Le chiffrement est important, mais il doit être considéré comme un contrôle de base. Exigences clés : chiffrer les sauvegardes en transit et au repos protéger les clés dans des systèmes KMS centralisés s’assurer que les administrateurs de sauvegarde ne contrôlent pas automatiquement les clés de chiffrement renouveler les clés conformément à la politique Le chiffrement protège la confidentialité. L’immuabilité protège la capacité de restauration. Vous avez besoin des deux. 7) Surveiller les sauvegardes comme une infrastructure critique Les systèmes de sauvegarde doivent bénéficier de la même rigueur de surveillance que la production. Détectez et signalez : les pics soudains de tentatives de suppression les tâches de sauvegarde en échec les modifications inattendues de configuration des référentiels les connexions depuis des emplacements inhabituels les nouvelles clés d’accès ou nouveaux jetons les modifications des politiques de rétention ou d’immuabilité La surveillance des sauvegardes réduit le délai de détection et évite les compromissions silencieuses. 8) Tester la restauration en continu La restauration n’est pas un processus réservé aux urgences. C’est une capacité opérationnelle. Fréquence recommandée : des tests de restauration mensuels pour les jeux de données critiques des tests trimestriels de restauration complète des applications une simulation annuelle de ransomware (exercice sur table et restauration technique) Suivez : le taux de réussite des restaurations le temps de restauration (RTO) la fenêtre de perte de données (RPO) les goulots d’étranglement (réseau, calcul, débit de stockage) C’est ainsi que la protection des sauvegardes passe de la théorie à des résultats prévisibles. Air gap ou sauvegardes immuables : que choisir ? Les deux ont de la valeur, et de nombreux environnements utilisent les deux. Sauvegardes air-gapped Les sauvegardes air-gapped sont isolées des réseaux et des accès de production. Points forts une forte résistance aux attaques à distance Contreparties une charge opérationnelle des processus de restauration plus lents davantage de processus manuels Sauvegardes immuables Les sauvegardes immuables sont en ligne, mais protégées contre la modification et la suppression. Points forts des restaurations rapides une bonne compatibilité avec l’automatisation une rétention évolutive Contreparties une configuration et une gouvernance rigoureuses sont nécessaires Pour de nombreuses organisations, une approche courante consiste à utiliser du stockage objet immuable pour les copies de sauvegarde fréquentes, et à conserver une copie isolée supplémentaire pour les scénarios les plus défavorables. Planification de la restauration : à quoi ressemble une bonne pratique La protection des sauvegardes contre les ransomwares doit inclure un plan de restauration qui permet : l’identification du dernier point de restauration sain connu la restauration priorisée des systèmes critiques des procédures documentées avec responsables et points de décision un débit de restauration connu (pour respecter le RTO) des options de restauration en salle blanche (clean room) si la production n’est pas fiable En pratique, la différence entre un incident bref et une longue interruption tient généralement à la préparation, et non aux outils. Liste de contrôle : exigences de protection des sauvegardes contre les ransomwares Utilisez cette liste pour valider votre posture : règle 3-2-1-1-0 mise en œuvre copie de sauvegarde immuable activée (verrouillage des objets/WORM) stockage de sauvegarde inaccessible depuis les réseaux de production MFA obligatoire pour les administrateurs de sauvegarde moindre privilège appliqué politiques de rétention protégées et auditées détection des anomalies activée sur les systèmes de sauvegarde tests de restauration réalisés et documentés restauration conforme aux exigences de RTO et de RPO procédure de restauration après ransomware tenue à jour Si plusieurs éléments ne sont pas encore en place, la protection des sauvegardes contre les ransomwares doit être traitée comme un programme prioritaire plutôt que comme une amélioration au mieux. Conclusion Le ransomware est conçu pour supprimer les options de restauration. L’objectif de la protection des sauvegardes contre les ransomwares est de garantir que cela n’arrive pas. Les stratégies les plus résilientes combinent : des sauvegardes immuables une infrastructure segmentée des contrôles d’accès stricts une surveillance continue une restauration testée et mesurable Avec ces fondations, les sauvegardes deviennent un système de restauration fiable, et non une simple supposition.
