Protégez vos sauvegardes contre les ransomwares

Protégez vos sauvegardes contre les ransomwares grâce au stockage immuable

Les ransomwares modernes suppriment vos sauvegardes avant de chiffrer la production. Sans copie saine, il ne reste que deux options : payer la rançon ou tout reconstruire. Avec Object Lock, OVHcloud Object Storage rend vos sauvegardes impossibles à supprimer tant que la période de rétention n'a pas expiré, même si des identifiants administrateur sont compromis.
Découvrir Object StorageConsulter la documentation
Noms de domaine illustration

Les attaquants neutralisent les sauvegardes avant de chiffrer les données

Les opérateurs de ransomware repèrent votre dépôt de sauvegarde, dérobent les identifiants et effacent les copies avant de lancer l'attaque sur la production. Une entreprise capable de restaurer ses données n'a guère de raison de payer. Si ses sauvegardes ont disparu, elle n'a plus le choix. Un seul compte disposant d'un accès en écriture suffit à effacer tous les objets en quelques minutes, à moins que la couche de stockage ne refuse d'exécuter l'ordre.
[object Object]

Object Lock : des sauvegardes que la couche de stockage refuse de supprimer

WORMCompatible S3
Object Lock agit directement au niveau de la couche de stockage, indépendamment de votre logiciel de sauvegarde. Toute demande de suppression ou d'écrasement est rejetée jusqu'à l'expiration de la période de rétention, y compris lorsqu'elle s'appuie sur des identifiants administrateur valides.

Le versioning conserve chaque version antérieure, de sorte qu’un objet modifié avant l'application du verrou dispose d’un historique sain et restaurable. Activez ces deux fonctionnalités dès la création du bucket.
Découvrir Object StorageConsulter la documentation
Illustration isométrique d'un stockage cloud de sauvegarde immuable, avec des conteneurs d'objets verrouillés, des nœuds régionaux répliqués et des boucliers de sécurité, en bleu et cyan

Un modèle de protection en quatre couches

Object Lock (WORM)

Rejette toute suppression ou tout écrasement jusqu'à l'expiration de la rétention, y compris depuis un compte administrateur. Irréversible une fois activé. La fonction Legal Hold ajoute un verrou à durée indéterminée sur des objets précis.

Versioning

Conserve chaque version précédente au lieu de l'écraser. Un fichier modifié avant le verrouillage dispose d’un historique sain et restaurable. Indispensable au fonctionnement d'Object Lock.

Réplication asynchrone compatible S3

Copie automatique dans une autre région, indépendante des identifiants principaux. Aucun transfert manuel. Chaque objet conserve son verrouillage une fois répliqué.

Chiffrement au repos

SSE-C pour gérer vous-même vos clés, SSE-OVHcloud Managed Keys pour en déléguer le cycle de vie. Même si un attaquant atteint la couche de stockage, les objets chiffrés restent illisibles.

Quatre raisons de choisir le stockage immuable

Toutes les couches fonctionnent ensemble, si bien qu'un seul identifiant compromis ne suffit pas à anéantir votre capacité de restauration.
[object Object]
Des sauvegardes qui résistent à la compromission d'un compte administrateur
Sauvegardes immuables, protégées par Object Lock.
[object Object]
Copie isolée dans une autre région
Sauvegarde 3-2-1 avec stockage d'objets immuable.
[object Object]
Aucun frais de sortie lors de la restauration
Restaurez vos données après un ransomware, à coût prévisible.
[object Object]
Infrastructure européenne souveraine, hors CLOUD Act
Des sauvegardes immuables sur un stockage européen souverain.
OVHcloud Object Storage est qualifié Veeam Ready et l'API S3 le rend également compatible avec HYCU, Cohesity et Veritas NetBackup. Configurez l'immuabilité dans votre outil : Object Lock applique la rétention de façon autonome au niveau de la couche de stockage, même si l'application est compromise. Pour Kubernetes, Velero et CloudCasa fonctionnent tous les deux. Pour l'intégration, il suffit de changer d'endpoint : votre architecture reste la même.
Utilisez awscli, Rclone, Restic, Duplicati ou Plakar. Un pipeline testé en local passe en production par un simple changement d'endpoint. Activez Object Lock et le versioning dès la création du bucket. La couche de stockage applique alors la rétention indépendamment de votre script.
Velero et CloudCasa prennent tous deux en charge OVHcloud Object Storage comme cible de sauvegarde via l'API S3. Les volumes persistants sont protégés par une immuabilité configurée directement sur le bucket. Object Lock applique la rétention au niveau de la couche de stockage, indépendamment de l'application. Compatible avec OVHcloud Managed Kubernetes Service.
OVHcloud Object Storage est qualifié Veeam Ready et l'API S3 le rend également compatible avec HYCU, Cohesity et Veritas NetBackup. Configurez l'immuabilité dans votre outil : Object Lock applique la rétention de façon autonome au niveau de la couche de stockage, même si l'application est compromise. Pour Kubernetes, Velero et CloudCasa fonctionnent tous les deux. Pour l'intégration, il suffit de changer d'endpoint : votre architecture reste la même.

Une seconde copie dans une autre région, hors d'atteinte

Anti-affinitéSauvegarde 3-2-1Sauvegarde distante
Une sauvegarde stockée à côté de la production partage ses identifiants et subit les mêmes dégâts en cas d'attaque.

S3 Async Replication conserve une copie automatique dans une autre région OVHcloud, indépendante des identifiants principaux. Associée à Object Lock, elle oblige un attaquant à compromettre deux régions pour détruire toutes vos options de restauration. Aucun transfert manuel n'est nécessaire.
Découvrir Object Storage
[object Object]

Les bonnes pratiques pour préserver votre capacité de restauration

Imposez l'authentification multifacteur (MFA) sur chaque compte habilité à modifier une politique de rétention

La MFA bloque la réutilisation d'identifiants volés, une étape dont dépendent les ransomwares. Exigez-la sur la console de stockage et sur tous les comptes capables de modifier une politique de rétention. Stockez les identifiants de service dans un gestionnaire de mots de passe. Surveillez les tentatives de suppression : un pic de suppressions refusées signale souvent une compromission en cours.

Testez vos restaurations avant qu'un incident ne vous y oblige

Vérifiez votre processus de restauration avant d'en avoir besoin. Planifiez des exercices réguliers et documentez-en les résultats. Les assureurs demandent de plus en plus ces preuves lors du renouvellement des contrats. Tant qu'une sauvegarde n'a pas été testée, sa fiabilité reste une hypothèse.

Répartissez vos données entre classes de stockage

Les politiques de cycle de vie déplacent les objets de Standard vers Active Archive, puis vers Cold Archive. Object Lock reste actif sur toutes les classes. Vous conservez une politique de rétention immuable sur plusieurs années, sans payer le tarif le plus élevé pendant toute la durée.

Protégez-vous en quatre étapes

Créez un bucket avec Object Lock activé

Object Lock doit être activé lors de la création d'un compartiment et ne peut pas être ajouté ultérieurement. Activez le versioning en même temps. Définissez une période de rétention par défaut adaptée à vos objectifs de restauration.

Pointez votre outil de sauvegarde vers l'endpoint

Veeam, Rclone ou awscli : un changement d'endpoint suffit. La couche de stockage applique la rétention de façon autonome.

Activez la réplication interrégionale

S3 Async Replication conserve une copie automatique dans une seconde région, sans transfert manuel ni identifiants partagés entre les régions.

Effectuez un test de restauration et documentez-le

Restaurez une sauvegarde réelle depuis le bucket immuable et consignez le résultat. Vous validez ainsi votre processus de restauration tout en répondant aux exigences d'audit.

Prouvez l'immuabilité de vos sauvegardes aux assureurs et aux auditeurs

Lors du renouvellement, les assureurs posent désormais la question sans détour : vos copies sont-elles immuables et isolées, et pouvez-vous présenter un test de restauration ? Faute de preuves, les entreprises s'exposent à des primes plus élevées, voire à un refus de couverture. Les audits ISO 27001 et les questionnaires clients suivent la même logique. OVHcloud Object Storage repose sur une infrastructure européenne certifiée ISO 27001/27017/27018/27701 et n'est pas soumis au CLOUD Act.
[object Object]
Commencez par un essai gratuit et testez la restauration avant de vous engager
Activez Object Lock, lancez une tâche de sauvegarde, puis restaurez-la. L'essai vous permet de réaliser le test et d'en obtenir la preuve.
Démarrer l'essai gratuit