2 Les opérateurs de ransomware ciblent de plus en plus l’infrastructure de sauvegarde en premier. Supprimer ou chiffrer les points de restauration prive l’organisation de son levier et l’oblige à prendre des décisions difficiles sous la pression du temps. Pour les RSSI et les architectes sécurité, la question n’est plus de savoir si des sauvegardes existent. Il s’agit de savoir si elles peuvent survivre à une compromission administrative totale. Le stockage de sauvegarde air-gapped répond à cette préoccupation en isolant les données de restauration des systèmes de production et en limitant le rayon d’impact d’une intrusion. Cet article explique ce que signifie le stockage de sauvegarde air-gapped dans les architectures modernes et pourquoi il reste un contrôle fondamental de la stratégie de cyber-résilience des entreprises. Qu’est-ce que le stockage de sauvegarde air-gapped ? Le stockage de sauvegarde air-gapped est une approche architecturale qui isole les données de sauvegarde de l’environnement de production et d’identité principal. L’objectif est de garantir qu’une compromission : d’Active Directory des hyperviseurs des serveurs de gestion des sauvegardes des identifiants à privilèges des pipelines d’automatisation ne s’étende pas automatiquement aux données de restauration stockées. Il existe deux grands modèles : Isolation physiqueLe support de sauvegarde est entièrement déconnecté de tout accès réseau. La bande hors ligne traditionnelle en est l’exemple classique. Isolation logiqueLe stockage de sauvegarde reste en ligne, mais il est protégé par des contrôles stricts qui empêchent toute modification ou suppression, même en cas de compromission des identifiants. La plupart des entreprises modernes mettent en œuvre des air gaps logiques afin de conserver leur agilité opérationnelle tout en préservant les propriétés d’isolation. Le problème de sécurité que résolvent les architectures air-gapped Les systèmes de sauvegarde partagent souvent le même domaine d’administration que les charges de travail de production. Lorsque des attaquants obtiennent un accès à privilèges, ils peuvent : désactiver les tâches de sauvegarde raccourcir les durées de rétention supprimer les référentiels de sauvegarde chiffrer les points de restauration stockés exfiltrer les données de sauvegarde Cela crée un rayon d’impact unique couvrant la production et la restauration. L’architecture air-gapped rompt cette chaîne de dépendance. L’isolation part du principe qu’une compromission est possible et sépare ce qui doit survivre de ce qui risque d’être compromis. Valeur stratégique pour les RSSI Le stockage de sauvegarde air-gapped apporte plusieurs résultats qui comptent au niveau du risque pour la direction. 1. Confinement d’une compromission administrative Les campagnes de ransomware modernes élèvent souvent leurs privilèges avant de se déclencher. Si le stockage de sauvegarde est accessible via la même infrastructure d’identité, les attaquants peuvent détruire les points de restauration avant le début du chiffrement. L’isolation introduit une séparation entre : les plans d’identité les rôles d’administration les réseaux de gestion les surfaces de contrôle du stockage Cela réduit l’exposition systémique. 2. Préservation de la capacité de décision Lorsque des sauvegardes saines survivent, les organisations gardent des options : restaurer sans payer de rançon évaluer l’étendue de la compromission mener une analyse forensique reconstruire de manière sélective Sans isolation, les plans de restauration peuvent s’effondrer en même temps que les systèmes de production. Le stockage de sauvegarde air-gapped augmente la probabilité que la restauration reste possible même après une intrusion importante. 3. Réduction du risque de défaillance corrélée Les architectes sécurité s’attachent souvent à éliminer les points de défaillance uniques dans l’infrastructure. Le même raisonnement s’applique aux contrôles de sécurité. Si les systèmes de sauvegarde reposent sur les mêmes : fournisseurs d’authentification segments réseau identifiants d’administration systèmes d’exploitation vulnérables alors une seule compromission peut déclencher une défaillance en cascade. L’isolation réduit le risque corrélé entre les domaines de contrôle. 4. Prise en charge des exigences réglementaires et de gouvernance Les secteurs réglementés exigent fréquemment l’assurance que les enregistrements stockés ne peuvent pas être modifiés pendant des périodes de rétention définies. Les architectures air-gapped associées à une immuabilité appliquée fournissent des contrôles techniques qui prennent en charge : les exigences de rétention en écriture unique l’application des conservations légales (legal hold) la défendabilité lors des audits les obligations de préservation des données La conformité passe ainsi d’une application fondée uniquement sur des politiques à une application ancrée dans l’architecture. L’air gap logique dans les environnements d’entreprise modernes Les air gaps n’exigent plus de matériel déconnecté. Les conceptions modernes s’appuient sur des contrôles en couches pour obtenir des résultats d’isolation similaires. Les principaux composants architecturaux comprennent généralement : Application de la rétention immuable Les politiques de rétention au niveau des objets empêchent la suppression ou la modification pendant des périodes définies, quelle que soit l’intention de l’administrateur. Plans de contrôle segmentés Le stockage de sauvegarde réside dans un segment réseau dédié, avec un routage restreint et un accès API strictement délimité. Systèmes de stockage renforcés Les plateformes de stockage sont réduites au minimum afin de limiter l’exposition aux vulnérabilités courantes et les services inutiles. Séparation forte des identités Les comptes d’administration des sauvegardes sont séparés des domaines d’administration de la production, avec des limites de privilèges strictes et une authentification multifacteur. Pris individuellement, ces contrôles réduisent le risque. Combinés, ils créent un air gap concret. Air gap ou immuabilité L’immuabilité empêche la modification des données stockées.L’air gap empêche les systèmes compromis d’atteindre les données stockées. Pour les architectes sécurité, la distinction est importante. Un référentiel immuable situé dans un domaine d’administration entièrement compromis peut rester exposé si les attaquants peuvent modifier les politiques de rétention ou supprimer des conteneurs avant l’application du verrouillage. L’isolation garantit que les contrôles d’immuabilité ne peuvent pas être contournés facilement par la compromission du domaine. Superposer ces contrôles renforce la résilience. Alignement avec les principes du zero trust Le zero trust part du principe que l’intrusion a eu lieu et réduit au minimum la confiance implicite entre les systèmes. Le stockage de sauvegarde air-gapped s’aligne sur cette philosophie en : éliminant la confiance implicite entre les systèmes de production et de restauration restreignant les voies de déplacement latéral appliquant l’accès selon le principe du moindre privilège réduisant le rayon d’impact administratif Plutôt que de supposer que les sauvegardes sont sûres parce qu’elles sont internes, l’isolation traite l’infrastructure de restauration comme un domaine de confiance distinct. Points d’architecture pour les architectes sécurité Lorsqu’ils évaluent des stratégies de stockage de sauvegarde air-gapped, les RSSI et les architectes doivent vérifier : Le stockage de sauvegarde dépend-il du même fournisseur d’identité que la production ? Un administrateur de domaine compromis peut-il modifier les paramètres de rétention ? Les interfaces de gestion du stockage sont-elles accessibles depuis les réseaux de production ? Les journaux d’audit sont-ils inviolables et stockés de manière indépendante ? Les données de restauration sont-elles répliquées sur des sites indépendants ? Ces questions portent sur la séparation architecturale, pas seulement sur des listes de fonctionnalités. Étendre l’isolation au-delà des frontières géographiques L’isolation est renforcée lorsque les données de restauration sont réparties sur plusieurs sites. La réplication multisite avec des politiques de rétention appliquées réduit les risques liés : aux pannes régionales aux menaces d’accès physique à la compromission d’un site au sabotage de l’infrastructure La séparation géographique complète la séparation administrative. Pour les grandes entreprises, cela peut faire la différence entre une perturbation partielle et une indisponibilité prolongée. Pièges courants Le stockage de sauvegarde air-gapped peut échouer s’il est mis en œuvre de manière superficielle. Les problèmes courants comprennent : des identifiants d’administration partagés entre les domaines des serveurs de sauvegarde joints à l’Active Directory de production une application insuffisante de la rétention des politiques IAM trop larges l’absence de tests réguliers des procédures de restauration L’isolation doit être délibérée et validée par des tests de scénarios. Quand le stockage de sauvegarde air-gapped est le plus critique Bien qu’utile de manière générale, l’isolation est particulièrement importante pour : les services financiers les systèmes de santé les infrastructures critiques les organismes du secteur public les organisations peu tolérantes aux interruptions Dans ces environnements, un échec de restauration a des conséquences opérationnelles, juridiques et réputationnelles. Perspective finale Le stockage de sauvegarde air-gapped n’est pas un concept hérité de l’ère de la bande. C’est un contrôle architectural conçu pour garantir la capacité de restauration en cas de compromission administrative totale. Pour les RSSI, il apporte l’assurance qu’une seule intrusion ne peut pas éliminer à la fois la production et la restauration. Pour les architectes sécurité, il introduit une séparation entre les domaines d’identité, de réseau et de stockage, ce qui réduit le risque de défaillance corrélée et renforce la posture de résilience. Alors que les tactiques des ransomwares continuent d’évoluer, l’isolation reste l’un des rares contrôles qui s’attaque directement à l’objectif central des attaques modernes : détruire la capacité de restauration.
