Sauvegardes immuables contre les rançongiciels

Le schéma d'attaque délibéré : chiffrer ou supprimer les sauvegardes, puis la production

Les opérateurs de rançongiciels modernes ont professionnalisé leur mode opératoire. Avant de déclencher la charge utile de chiffrement sur la production, les attaquants passent des jours à cartographier le réseau à la recherche de failles dans la sécurité réseau : identification du serveur de sauvegarde, des identifiants et mots de passe des employés laissés dans des scripts, et de la politique d'accès protégeant chaque référentiel. Une fois qu'ils ont obtenu l'accès et qu'ils sont en position, ils désactivent ou suppriment d'abord ces copies, puis chiffrent les données de production.

La séquence est délibérée. Une entreprise capable de restaurer ses données en quelques heures a peu d'incitation à payer ; celle dont les copies ont été effacées quelques jours plus tôt n'a pas cette option, et l'attaquant compte là-dessus. Une attaque de ce type ne consiste pas seulement à chiffrer des données, elle consiste à supprimer toute voie de restauration dont dispose une entreprise.

C'est pourquoi un identifiant compromis constitue désormais le plus grand risque dans une stratégie de protection. Le contrôle d'accès ainsi que vos protections en matière d'identité, de sécurité et d'opérations constituent la première ligne de défense, mais les pirates et les tentatives d'accès non autorisées ne s'arrêtent pas là : un compte disposant d'un accès en écriture à un compartiment de stockage peut supprimer chaque objet et chaque date de rétention en quelques minutes, à moins qu'une couche du stockage lui-même ne refuse cette instruction.

Fermez le chemin d'accès : MFA, sensibilisation au phishing et exercices de restauration

L'immuabilité protège la copie, mais elle ne protège pas la porte par laquelle l'attaquant est entré. Presque chaque incident commence par un identifiant volé, et l'hameçonnage reste la méthode de diffusion la plus courante, généralement un e-mail qui semble banal. Trois contrôles sont importants autour de la couche de stockage elle-même.

Exigez l'authentification multifacteur (MFA) sur la console de stockage et sur chaque compte pouvant modifier une politique de rétention. L'authentification multifacteur est ici le contrôle ayant la plus grande valeur, car la MFA brise l'étape de rejeu d'identifiants dont dépendent les cyberattaques de ce type, et la MFA sur la console est rapide à déployer. Conservez les identifiants de service dans un gestionnaire de mots de passe, et non dans des scripts, et vérifiez que la rotation des mots de passe a bien lieu. Formez régulièrement le personnel aux e-mails suspects et aux gestionnaires de mots de passe, afin qu'un employé qui en reçoit un le signale au lieu de l'ouvrir. Le personnel qui connaît le modèle de menace est une défense moins coûteuse que n'importe quel produit, et les menaces atteignant un employé informé s'arrêtent généralement là, et un rapport d'employé est souvent le premier signal qu'un employé vous donne. Et exécutez un exercice de restauration selon un calendrier régulier : la seule façon d'identifier un chemin de récupération défectueux est de l'exercer avant qu'un incident ne le fasse. Suivez également les tentatives de suppression sur le bucket : un pic de suppressions refusées est un signal précoce fiable indiquant que des identifiants ont été compromis. Suivez également les mises à jour des politiques, car les mises à jour de rétention sont ce qu'un attaquant tente en premier.

Rien de tout cela ne remplace la segmentation du réseau ou la protection des terminaux du côté de la production, et ce n'est pas un cadre de cybersécurité complet. C'est la couche qui empêche un seul compte d'employé compromis de devenir une panne à l'échelle de l'entreprise.

L'assurance cyber et les audits exigent désormais des copies immuables démontrables

Les assureurs qui renouvellent les polices cyber posent désormais des questions directes : ces copies sont-elles immuables, sont-elles isolées logiquement de la production et pouvez-vous démontrer un test de restauration réussi ? Les entreprises qui ne peuvent pas répondre avec des preuves font face à des primes plus élevées ou à un refus de police. La plupart des entreprises le découvrent au moment du renouvellement, et non avant. La première étape consiste à établir et documenter vos processus de restauration de sauvegarde, puis à effectuer des tests de restauration réguliers et une surveillance continue pour garantir qu'ils fonctionnent toujours à mesure que votre environnement évolue.

Les exigences de conformité ont évolué dans la même direction, tout comme les questionnaires de sécurité des données des clients. Qu'il s'agisse de contrôles ISO 27001, d'audits sectoriels ou de l'évaluation des risques d'un client, « nous avons des sauvegardes » n'est plus une réponse acceptable. Chaque organisation confrontée aux menaces de cyberattaques modernes doit de plus en plus prouver qu'une copie de sauvegarde ne peut être ni modifiée ni supprimée pendant une période de rétention définie, quels que soient les employés ou les comptes qui tentent de le faire.

Cette preuve est importante car une sauvegarde immuable réduit considérablement le risque qu'un identifiant compromis détruise à la fois la production et son chemin de restauration. La barre est passée de « une sauvegarde existe » à « nous pouvons démontrer un chemin de restauration qu'un attaquant ne peut pas facilement détruire. »

Trois copies, deux types de supports, une hors site (et une immuable)

La règle 3-2-1, trois copies sur deux types de supports dont une hors site, est le pilier de la protection des données depuis une décennie, et la logique demeure : si un système ou un emplacement fait défaut, une autre voie subsiste.

Le ransomware change la donne. Si un attaquant peut atteindre chaque copie via les mêmes identifiants ou le même chemin réseau, le « hors site » seul ne protège pas votre entreprise ; il déplace simplement le risque ailleurs. C'est pourquoi de nombreuses entreprises et équipes de sauvegarde traitent désormais la règle comme 3-2-1 plus une copie immuable : une sauvegarde qui survit même après que le reste de l'environnement a été compromis.

Ce que signifie réellement « immuable » au niveau de la couche de stockage objet

L'immuabilité n'est pas un paramètre dans votre logiciel, c'est une garantie appliquée par la couche de stockage. Avec Object Lock activé et une période de rétention définie, le système refuse toute suppression ou écrasement jusqu'à l'expiration de cette période, y compris les demandes effectuées avec un accès administrateur valide.

Peu importe que la demande utilise un mot de passe employé valide, un compte compromis ou la charge utile du ransomware elle-même : le système, par conception, n'autorisera pas la modification. Cela protège la copie contre la technique précise sur laquelle repose ce logiciel malveillant, utilisant un accès volé pour modifier ou effacer tout ce qu'il peut atteindre.

11 neufs de durabilité et un Accord de niveau de service (SLA) de disponibilité de 99,99 % sur 3 zones de disponibilité

Une sauvegarde que vous ne pouvez pas restaurer rapidement n'est pas très utile. Toute l'infrastructure OVHcloud Object Storage est conçue pour une durabilité de onze neufs (99,999999999 %), et pas seulement les régions à 3 zones de disponibilité ; la perte de données due à une défaillance matérielle est donc extrêmement improbable, quel que soit l'emplacement de la copie. Le Accord de niveau de service (SLA) de disponibilité de 99,99 % s'applique au mode de déploiement 3 zones de disponibilité. Les administrateurs ont besoin que la cible de restauration soit disponible lorsqu'un incident de sécurité survient, et pas seulement d'une preuve que les données étaient sécurisées auparavant. C'est également la dimension que les clients évaluent le plus haut : Stabilité à 4,51/5 et disponibilité à 4,50/5 dans les scores NPS.

Aucuns frais de sortie lors de la restauration entre les services OVHcloud

La restauration d'un grand volume de données après un incident ne devrait pas ajouter une facture imprévisible à un événement déjà coûteux. Il n'y a aucuns frais de sortie entre les services OVHcloud, donc la restauration vers une instance Public Cloud, un serveur Bare Metal ou toute autre ressource OVHcloud n'entraîne aucun frais de transfert distinct, et le coût d'une restauration reste prévisible. Cela facilite la budgétisation de la récupération lorsque le temps est un facteur critique.

Hiérarchisez votre rétention pour maîtriser les coûts : Standard → Active Archive → Cold Archive

Chaque copie n'a pas besoin de la même classe de stockage pour la même durée. Les politiques de cycle de vie déplacent les objets de Standard vers Active Archive pour une rétention à moyen terme, puis vers Cold Archive pour une rétention réglementaire, tandis qu'Object Lock reste en vigueur pour chaque classe.
Active Archive coûte environ 4,5 € par TiB et Cold

Archive environ 1,7 € par TiB, les deux étant bien en dessous de Standard pour les données que vous restaurez rarement. Cette hiérarchisation permet à votre entreprise de conserver une politique de rétention immuable sur plusieurs années pour la conformité, répondant à la plupart des exigences du secteur, sans payer des prix de stockage premium tout au long de la période. Examinez et mettez à jour régulièrement la politique de cycle de vie à mesure que les exigences de rétention ou les volumes de données changent.

Souveraineté et conformité : RGPD, HDS, ISO 27701, aucune exposition au CLOUD Act

Les données de sauvegarde contiennent souvent certaines des informations les plus précieuses et sensibles d'une entreprise : sauvegardes de bases de données, état des applications, propriété intellectuelle, instantanés système complets et parfois des données personnelles couvertes par le RGPD. L'emplacement de ces données et la juridiction légale applicable sont importants pour la souveraineté numérique, la protection des données et pour les exigences spécifiques au secteur telles que HDS ou ISO 27701, y compris pour les opérateurs d'infrastructures critiques et les industries réglementées.

OVHcloud Object Storage est hébergé et exploité dans des centres de données européens, sans exposition au CLOUD Act, car OVHcloud n'est pas une entreprise soumise aux exigences de divulgation de cette loi. Les certifications actuelles incluent ISO 27001, 27017, 27018 et 27701 pour la gestion de la confidentialité, avec la qualification SecNumCloud pour Object Storage sur la feuille de route. Cela transforme ce stockage en une partie de la gestion des risques, de la posture de conformité et des opérations commerciales de l'organisation, et non pas seulement en un utilitaire opérationnel.