Solutions de sauvegarde cloud

Utilisez cette page pour choisir une approche de sauvegarde dans le cloud qui fonctionne encore après un ransomware.

Objectif : récupérabilité, conservation et protection contre la suppression des sauvegardes.

Google Drive et OneDrive

Les environnements Google Drive et OneDrive ne disposent pas de fonctionnalités natives leur permettant de restaurer leurs données à la suite d'une attaque par ransomware qui a supprimé leurs versions précédentes. Il est donc nécessaire d'envisager certaines solutions afin de sauvegarder régulièrement leurs données et de les protéger.

Plusieurs solutions peuvent être envisagées pour atteindre cet objectif, chacune avec ses avantages et ses inconvénients.

Solution n°1 : disque dur

Cette solution consiste à sauvegarder manuellement les fichiers de l'environnement Google Drive ou OneDrive sur un disque dur externe. Idéalement, une sauvegarde d'un environnement OneDrive ou Google Drive devrait être réalisée sur au moins deux disques durs externes afin d'éviter toute perte de données en cas de défaillance de l'un des disques durs. Bien que cette solution soit la plus simple à mettre en œuvre, elle est aussi la plus contraignante.

Solution n°2 : NAS

Un NAS (Network Attached Storage) est un serveur de stockage physique sur le réseau. Cette solution consiste à installer une application de synchronisation sur le NAS — à savoir Google Drive Desktop pour un environnement Google Workspace et OneDrive pour un environnement O365 — afin de synchroniser régulièrement les drives partagés (Google Drive) et les sites SharePoint (OneDrive), et d'effectuer des sauvegardes sur les disques du NAS. Il est également possible d'utiliser certains types de RAID pour améliorer la sécurité des disques ou la tolérance aux pannes sur le NAS.

Solution n°3 : espace de stockage AWS/Azure

Azure (Microsoft) et AWS (Amazon) proposent des espaces de stockage Cloud abordables pour stocker des sauvegardes. L'idée est de transférer régulièrement l'ensemble des données des environnements Google Drive et OneDrive vers l'un de ces espaces de stockage, soit manuellement, soit automatiquement à l'aide d'un script et d'une machine souscrite à l'un de ces environnements. Plusieurs outils gratuits sont développés et fréquemment mis à jour pour cet usage, notamment rclone et duplicity, conçus pour permettre ce type de transfert.

Solution n°4 : solutions tierces

Certaines solutions tierces peuvent être envisagées si aucune des solutions précédentes n'est adaptée. Ces solutions rendent les sauvegardes très simples d'utilisation, mais impliquent un coût financier important. Ce type de solution consiste à donner à un service tiers un accès à votre environnement Google Drive et OneDrive afin qu'il puisse récupérer automatiquement les données de manière régulière. Ces solutions offrent également des fonctionnalités de restauration des données. Parmi les exemples, on peut citer Afi, Backupify, Spanning et SpinBackup.

Tableau récapitulatif

En analysant l'ensemble de ces scénarios, il est possible de définir certains critères et de classer toutes ces solutions en conséquence, comme l'illustre le tableau suivant :

Azure

Sauvegardes immuables Azure

Les sauvegardes Azure peuvent être de deux types, Backup Vault ou Recovery Services, selon vos modèles de données :

Il existe 2 méthodes pour garantir l'immuabilité de ces sauvegardes :

datasources$ (1)

1

Vérifiez que la fonctionnalité Soft Delete est activée.

Par défaut, Soft Delete est activé sur les coffres Recovery Services d'Azure. Cette fonctionnalité protège les sauvegardes contre la suppression accidentelle ou malveillante pendant une durée de 14 jours, sans coût supplémentaire. Si les sauvegardes sont supprimées et que Soft Delete n'est pas activé, ni vous ni Microsoft ne pouvez récupérer les données supprimées. Il est nécessaire de mettre en œuvre la protection suivante pour éviter le scénario suivant :

1. Compromission du tenant Azure et des Vaults ;

2. Désactivation de Soft Delete ;

3. Suppression des sauvegardes ;

4. Restauration ;

5. Suppression définitive.

2

Utilisez l'autorisation multi-utilisateur (MUA) sur la fonctionnalité Soft Delete.

La MUA pour Azure Backup utilise une nouvelle ressource appelée Resource Guard afin de garantir que les opérations critiques, telles que la désactivation de Soft Delete, l'arrêt et la suppression des sauvegardes, ou la réduction de la rétention des stratégies de sauvegarde, ne soient effectuées qu'avec une autorisation appropriée. Pour comprendre le processus, il est nécessaire de comprendre 2 rôles qui doivent être définis au sein de l'organisation Azure :

1. Backup Administrator : propriétaire du Recovery Services Vault ou du Backup Vault qui effectue les opérations d'administration et de gestion sur ceux-ci ;

2. Security Administrator : propriétaire du Resource Guard, agissant comme gardien des opérations critiques sur le coffre. Ainsi, le Security Administrator contrôle les autorisations dont le Backup Administrator a besoin pour effectuer les opérations critiques sur le coffre.

Pour configurer MUA, vous devez :

• Vérifier que Resource Guard et Azure Recovery Services Vault se trouvent dans la même région Azure ;

• Vérifier que le Backup Administrator n'a pas de droits de contributeur sur Resource Guard. Vous pouvez avoir Resource Guard dans un autre abonnement du même tenant ou dans un autre tenant ;

• Suivez la procédure officielle Azure.

Protection de vos opérations critiques Azure

La configuration de coffres-forts immuables permet les protections suivantes :

• Recovery Services : protège les données contre la suppression ; empêche la modification ou la suppression de la stratégie de sauvegarde afin de réduire la durée de conservation des données.

• Backup Vaults : protège les données contre la suppression

1

Connectez-vous à votre portail Azure et recherchez Recovery Services Vaults, Backup Vaults ou le coffre-fort que vous souhaitez protéger :

2

Cliquez sur l'onglet Properties pour activer le coffre-fort immuable et verrouiller le coffre-fort pendant la durée de la stratégie de sauvegarde

Remarque : cette étape ne peut pas être annulée ; utilisez-la avec prudence pour les données sensibles.

3

Répétez cette opération pour les autres coffres-forts requis pour la continuité d'activité.

AWS

Solution dégradée (sans droits SCP)

Remarque : la première étape doit être répétée pour chaque compartiment S3 contenant des données sensibles ou techniques qui peuvent être nécessaires en production.

1

Créez une stratégie de compartiment S3 qui empêche la suppression des versions du compartiment S3.

1. Dans l' console Amazon S3, ouvrez le compartiment, puis Autorisations.

   
2. Sous Stratégie du compartiment, cliquez sur Modifier.

3. Remplacez la stratégie de compartiment existante (le cas échéant) par le JSON ci-dessous.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyVersionDeletion",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:DeleteObject*",
            "Resource": "arn:aws:s3:::my-bucket-name/*"
        }
    ]
}

Remplacez my-bucket-name par le nom de votre compartiment.

2

Créez un mécanisme d'alerte pour détecter toute modification ou suppression de ce compartiment.

1. Activer AWS CloudTrail s'il n'est pas déjà activé.

2. Ouvrez la console Amazon EventBridge (CloudWatch Events), puis accédez à Règles.

   
3. Cliquez sur Créer une règle. Sélectionnez AWS API Call via CloudTrail comme type d'événement.

   
4. Choisissez Opérations spécifiques et ajoutez :

   1. PutBucketPolicy

   2. DeleteBucketPolicy

   3. DeleteBucketLifecycle

   4. DeleteBucketPublicAccessBlock

   5. PutBucketPublicAccessBlock

   6. DeleteBucket comme opérations pour lesquelles nous voulons être alertés.

5. Utilisez le modèle d'événement ci-dessous :

{
  "source": ["aws.s3"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventSource": ["s3.amazonaws.com"],
    "eventName": ["DeleteBucket", "DeleteBucketLifecycle", "DeleteBucketPolicy", "PutBucketPolicy", "DeleteBucketPublicAccessBlock", "PutBucketPublicAccessBlock"],
    "requestParameters": {
      "bucketName": ["my-bucket-name"]
    }
  }
}

Remplacez my-bucket-name avec le compartiment que vous souhaitez protéger.

1. Configurez la cible de l'alerte (par exemple, un sujet SNS pour les notifications ou une fonction Lambda).