Mettre en œuvre des sauvegardes sécurisées

Toutes les informations et tous les exemples de cet article sont des recommandations de mise en œuvre pour des sauvegardes sécurisées.

Rien de ce qui figure ici n'a de valeur contractuelle.

Les sauvegardes sont votre dernière ligne de défense face aux ransomwares et aux attaques destructrices.

Le succès de la restauration dépend de la qualité des sauvegardes, de leur fréquence, de leur rétention et de la capacité à restaurer rapidement.

Conditions de l'assurance cyber Stoïk

L'assurance cyber Stoïk définit des exigences de sauvegarde lors de la souscription.

Exigence minimale : au moins une sauvegarde hebdomadaire doit être :

• hors ligne, ou

• sur stockage immuable

Avec une rétention minimale de 2 semaines.

Si le hors ligne ou l'immuable n'est pas possible, une option moins recommandée est une sauvegarde en ligne sécurisée.

Le système de sauvegarde reste connecté, mais doit respecter toutes les exigences ci-dessous :

• Le système de sauvegarde est hors du domaine AD

• Le système de sauvegarde est segmenté (pare-feu + accès par liste d'autorisation)

• La suppression/modification des sauvegardes n'est possible que via une console web protégée par MFA

Objectif : même avec un administrateur de domaine ou un administrateur cloud compromis, un attaquant ne peut toujours pas effacer les sauvegardes.

Types de sauvegarde (et ce qui compte)

Type	Exemples typiques	Pourquoi c'est important	Répond à l'exigence ?
Sauvegardes hors ligne	Disques externes, supports USB, NAS hors ligne, bandes magnétiques (LTO/DLT)	Protection maximale. Non accessible via le réseau.
Sauvegardes en ligne immuables (cloud)	AWS S3 Object Lock, blobs immuables Azure (WORM), Wasabi Object Lock	Accessibles en ligne, mais ne peuvent pas être modifiées ni supprimées.
Sauvegardes en ligne (sur site / centre de données)	Serveur de sauvegarde dédié avec accès restreint	Peut être acceptable seulement si l'accès est fortement isolé.	(seulement si renforcé)
« Stockage » en ligne non immuable (cloud)	Dropbox, Google Drive, OneDrive sans WORM	Facile à utiliser, facile à supprimer si les comptes sont compromis.
Sauvegardes locales	Disques locaux, copie de fichiers sur le même serveur, miroir RAID	Se fait chiffrer ou supprimer avec l'hôte. Ce n'est pas un plan de reprise.

« Sauvegarde en ligne sécurisée » signifie « résiliente face à un mode opératoire typique de ransomware qui tente de supprimer toutes les sauvegardes ».

Options de sauvegarde hors ligne

Utilisez la rotation. Conservez au moins une copie récente déconnectée.

Option	Comment procéder en toute sécurité
Bandes magnétiques (LTO/DLT)	Faites tourner au moins 2 bandes. Conservez en permanence 1 bande hors site/hors ligne.
NAS hors ligne	Connectez-le uniquement pendant la fenêtre de sauvegarde. Déconnectez-le après la tâche. Faites tourner plusieurs appareils si possible.
Disques externes / supports USB	Connectez-les uniquement pendant la fenêtre de sauvegarde. Déconnectez-les après la tâche. Stockez-les dans un endroit verrouillé. Faites tourner plusieurs appareils.

Options de sauvegarde immuables

Sauvegardes immuables hébergées dans le cloud

Fournisseur	Fonction d'immuabilité	Guide / documentation
AWS	S3 Object Lock (et/ou Glacier)	Sauvegardes S3 immuables
Azure	Blobs immuables (WORM)	Solutions de sauvegarde cloud
Wasabi	S3 Object Lock	Sauvegardez vos données avec Wasabi
Acronis Cyber Protect Cloud	Mode conformité (vérifiez votre offre/version)	Documentation Acronis 1, Documentation Acronis 2
Scaleway	Object Storage (vérifiez la prise en charge de Object Lock)	Concepts Object Storage de Scaleway
OVHcloud	Object Lock pour S3 Object Storage	Guide OVHcloud
Fast LTA	« Zero Loss Storage »	Présentation de Fast LTA

Sauvegardes immuables hébergées localement

Fournisseur / produit	Prérequis	Guide / documentation
Veeam Linux Hardened Repository	Veeam >= 11. Nécessite de renforcer l'hôte du référentiel.	Référence Veeam
Synology	DSM >= 7.2. Nécessite des modèles pris en charge.	Modèles pris en charge, Documentation sur les instantanés immuables
Dell Data Domain	Utilisez le mode conformité.	Livre blanc Dell

Exemples de sauvegardes « non sécurisées »

Ce sont des schémas courants qui échouent lorsque des attaquants prennent le contrôle des comptes administrateur.

Exemple	Pourquoi cela échoue
Dropbox / Google Drive / OneDrive / SharePoint (sans WORM)	Un administrateur compromis peut supprimer les données et vider les corbeilles / la rétention.
NAS « immuable » implémenté uniquement en logiciel	Si le système d'exploitation du NAS est compromis, l'attaquant peut toujours détruire les volumes.
Centre de données externalisé avec un lien réseau permanent	Fonctionnellement similaire à un serveur de fichiers en ligne. Les ransomwares peuvent chiffrer/supprimer via le lien.
Stockage cloud non immuable	Si l'administrateur cloud est compromis, l'attaquant peut supprimer les buckets, les sauvegardes et les règles de rétention.

Contrôles opérationnels (recommandés)

Même avec un stockage hors ligne/immuable, les contrôles opérationnels déterminent souvent le succès de la restauration :

• Tester les restaurations selon un calendrier (au moins mensuellement pour les systèmes critiques).

• Utilisez des comptes administrateur de sauvegarde séparés. Ne les synchronisez pas depuis AD.

• Imposer MFA sur les consoles de sauvegarde et les comptes cloud.

• Conservez les identifiants de sauvegarde hors des postes utilisateurs (pas de mots de passe enregistrés dans les scripts).

• Activer des alertes sur les échecs des tâches de sauvegarde, les changements de rétention et les tentatives de suppression.

• Documentez le mode opératoire de restauration et conservez-en une copie hors ligne.