Le scénario que personne n'anticipe
Un ransomware moderne ne chiffre pas immédiatement. Il s'installe, observe, et surtout il cherche vos sauvegardes. Un NAS accessible depuis le réseau, un disque externe branché en permanence, un partage de sauvegarde monté sur le serveur : tout cela est visible pour un attaquant qui a pris la main sur un compte administrateur.
Le chiffrement ne se déclenche qu'ensuite, une fois les sauvegardes détruites ou chiffrées elles aussi. C'est précisément ce qui transforme un incident gênant en arrêt total d'activité : l'entreprise découvre au pire moment que son filet de sécurité n'existait plus.
Ce qu'est une sauvegarde immuable
Une sauvegarde immuable est une sauvegarde qui ne peut être ni modifiée ni supprimée pendant une durée définie à l'avance, y compris par un compte administrateur, y compris par celui qui l'a créée. Une fois écrite, elle est verrouillée pour la période choisie, quinze jours, trente jours, ce que vous décidez.
C'est une différence de nature, pas de degré. Une sauvegarde classique est protégée par des droits d'accès, et tout droit d'accès peut être volé. Une sauvegarde immuable est protégée par le support lui-même, qui refuse physiquement l'ordre de suppression, quelle que soit l'autorité de celui qui le donne.
La règle 3-2-1-1-0
La règle historique 3-2-1 recommandait trois copies des données, sur deux supports différents, dont une hors site. Elle a été complétée pour tenir compte des ransomwares :
- 3 copies de vos données, l'originale et deux sauvegardes
- 2 supports de nature différente, par exemple disque local et cloud
- 1 copie hors site, à l'abri d'un incendie, d'un dégât des eaux ou d'un vol
- 1 copie immuable ou déconnectée, hors d'atteinte d'un attaquant ayant les droits d'administration
- 0 erreur de restauration, vérifiée par des tests réels et réguliers
Le dernier point est celui que l'on néglige le plus. Une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une hypothèse.
Comment la mettre en place dans une TPE ou PME
Contrairement à une idée répandue, l'immuabilité n'est pas réservée aux grandes structures. Plusieurs approches accessibles existent :
- Stockage objet avec verrouillage : la plupart des hébergeurs, y compris français, proposent un stockage compatible S3 avec option de verrouillage temporel. C'est aujourd'hui la solution la plus simple à mettre en oeuvre et la moins coûteuse.
- Dépôt renforcé sur serveur dédié : les principaux logiciels de sauvegarde du marché savent écrire sur un dépôt Linux durci, où même le compte root ne peut pas supprimer les fichiers avant l'échéance.
- Rotation de supports déconnectés : moins élégant mais redoutablement efficace pour une très petite structure, un jeu de disques tournant et physiquement débranchés reste hors de portée de toute attaque réseau.
Le choix dépend de votre volume de données, de votre tolérance à l'interruption et de votre budget. Dans tous les cas, l'important est que la copie protégée soit inaccessible depuis le réseau de production avec des droits d'administration ordinaires.
Le test de restauration, la partie que tout le monde saute
Une sauvegarde qui tourne tous les soirs et qui affiche un voyant vert peut être inutilisable : fichiers corrompus, base de données incohérente, machine virtuelle qui refuse de démarrer, mot de passe de chiffrement égaré. On ne le découvre qu'au moment où l'on en a désespérément besoin.
Une restauration test, au moins deux fois par an, sur un environnement isolé, est le seul moyen de savoir que votre plan fonctionne. C'est aussi l'occasion de chronométrer combien de temps il faut réellement pour repartir, information capitale que peu d'entreprises connaissent avant le sinistre.
En résumé
Une sauvegarde qui peut être supprimée par un compte administrateur compromis ne protège pas d'un ransomware. Ajouter une copie immuable et tester réellement les restaurations sont les deux mesures qui font basculer une entreprise de la catégorie « elle a payé la rançon » à la catégorie « elle a redémarré en deux jours ».
