Presque toutes les organisations disposent de sauvegardes. Beaucoup pensent que leurs sauvegardes sont immuables. Mais bien moins nombreuses sont celles qui peuvent vérifier avec certitude que leurs données de sauvegarde ne peuvent être ni modifiées ni supprimées, en aucune circonstance.
L’absence d’immuabilité des données de sauvegarde est préoccupante. Selon les études, 96 % des attaques par ransomware ciblent désormais spécifiquement les données de sauvegarde afin de contraindre au paiement d’une rançon1. Si vos sauvegardes ne sont pas suffisamment protégées, les conséquences pour l’entreprise seront lourdes.
Cet article explique précisément pourquoi la plupart des stockages de sauvegarde dits immuables sont plus vulnérables qu’on ne le pense, en quoi cela crée un risque cyber important, et comment l’immuabilité absolue (Absolute Immutability) apporte une solution.
Gagnez du temps en lisant notre sommaire :
Pourquoi tous les stockages de sauvegarde ne sont pas véritablement immuables
De nombreux fournisseurs affirment proposer un stockage de sauvegarde immuable. En réalité, ils fournissent généralement une configuration basée sur des politiques – par exemple un paramètre Object Lock, un indicateur WORM ou une période de rétention – qui peut encore être modifiée, contournée ou désactivée par des administrateurs ou par des attaquants disposant de privilèges élevés. Si un administrateur peut passer outre, un attaquant muni d’identifiants administrateur le peut aussi.
La distinction essentielle se situe entre l’immuabilité en tant que politique et l’immuabilité en tant que propriété physique de l’architecture de stockage. La première peut être modifiée. La seconde, non. La plupart des stockages de sauvegarde vendus aujourd’hui comme immuables relèvent de la première catégorie – et la différence reste invisible en fonctionnement normal. Elle n’apparaît que lorsque la configuration est activement mise à l’épreuve, ou lorsqu’un attaquant la teste en premier.
Comment l’illusion d’immuabilité crée un risque cyber
Les exemples suivants présentent quatre vecteurs d’attaque distincts qui exploitent les vulnérabilités des solutions dites « immuables » :
Cibler l’infrastructure de sauvegarde avant de déclencher la charge utile
Avant de déclencher leur charge utile, les opérateurs de ransomware cartographient l’environnement : ils identifient les serveurs et les référentiels de sauvegarde, et déterminent si les données de sauvegarde peuvent être modifiées ou supprimées. Si c’est le cas, ils les corrompent ou les suppriment avant de lancer l’attaque principale. Lorsque l’attaque devient visible, l’organisation se trouve déjà dans la pire des situations : les systèmes de production sont compromis et les référentiels de sauvegarde sont vides, chiffrés ou corrompus. La séquence de réponse habituelle – isoler, restaurer, reprendre l’activité – ne s’applique plus. L’immuabilité au niveau de la couche de stockage supprime ce levier : des données de sauvegarde physiquement inaltérables, quels que soient les identifiants présentés, ne laissent aux attaquants aucune prise exploitable pendant la phase de reconnaissance.
Utiliser des identifiants volés pour détruire les points de restauration
Dès qu’un attaquant dispose d’identifiants administrateur, un stockage de sauvegarde modifiable n’offre plus aucune protection. Les identifiants administrateur de l’infrastructure de sauvegarde se trouvent généralement aux côtés d’autres comptes administrateur, dans les mêmes systèmes de gestion des identifiants. Un attaquant qui compromet un compte administrateur de domaine, un compte de service de sauvegarde ou un poste de travail à privilèges dispose le plus souvent de tout ce dont il a besoin pour atteindre, corrompre ou supprimer les référentiels de sauvegarde. Zero Access élimine ce vecteur : grâce à l’immuabilité imposée au niveau matériel, le système de stockage n’autorise aucune opération destructive sur les données protégées, quel que soit l’auteur de la requête ou les autorisations dont il dispose.
Retourner le processus de restauration contre l’organisation
Un stockage modifiable crée un risque qui va au-delà de la suppression : des référentiels accessibles en écriture peuvent être attaqués par l’ajout de contenu malveillant. Un attaquant qui dissimule un malware dans des snapshots de VM, des sauvegardes au niveau fichier ou des jeux de sauvegarde cohérents avec les applications s’assure que toute restauration à partir de ces sauvegardes réinfectera l’environnement. Les équipes IT isolent les systèmes touchés, restaurent à partir des sauvegardes et s’attendent à reprendre l’activité – pour voir l’environnement restauré compromis à nouveau en quelques heures. L’organisation assume le coût total d’une reprise sans réellement se rétablir. L’immuabilité au niveau du stockage empêche ce scénario : ce qui a été écrit à l’origine dans la sauvegarde est exactement ce qui sera restauré – rien d’ajouté, rien de modifié.
Menaces internes et limites des contrôles procéduraux
Les utilisateurs à privilèges peuvent causer des dommages irréversibles aux données de sauvegarde : suppression de jeux de sauvegarde critiques pour la rétention, mauvaise configuration de tâches qui cessent silencieusement de protéger des systèmes clés, ou destruction délibérée des options de restauration. La séparation des tâches et la gestion des accès à privilèges réduisent ce risque, mais ne protègent pas contre un acteur interne déterminé ou agissant sous l’influence d’un tiers. Zero Access offre une protection structurelle là où les contrôles procéduraux en sont incapables : aucun utilisateur – quel que soit son rôle ou son niveau de privilège – ne peut effectuer d’opérations destructives sur les données de sauvegarde protégées. Cette protection est appliquée au niveau matériel ; l’appliance n’exécute aucune commande destructive sur les données protégées, quel que soit le compte qui l’émet.
Les exigences d’un stockage réellement immuable
Pour fermer ces vecteurs d’attaque et éliminer ces risques, une solution de sauvegarde pour entreprise doit reposer sur une immuabilité imposée par l’architecture plutôt que par une politique. Les études confirment l’importance de cet enjeu : 81 % des professionnels de l’IT considèrent qu’un stockage de sauvegarde immuable fondé sur les principes Zero Trust constitue la meilleure défense disponible contre les ransomwares, et 94 % le jugent indispensable à toute stratégie de protection globale2. Trois composantes permettent d’atteindre ce niveau de protection :
Stockage d’objets natif S3
Le protocole de stockage lui-même doit imposer l’immuabilité au niveau de la couche de données, et non comme un contrôle supplémentaire placé au-dessus. Les systèmes de stockage traditionnels basés sur des fichiers ont été conçus pour des charges de travail génériques et permettent, par conception, la modification sur place : les politiques d’immuabilité appliquées au-dessus de cette couche peuvent donc toujours être contournées au niveau inférieur. Le stockage d’objets natif S3 fonctionne différemment : chaque objet est écrit une seule fois, reçoit un identifiant unique, et toute version ultérieure est enregistrée comme un nouvel objet au lieu d’écraser l’existant. Combiné à Object Lock en mode conformité, ce mécanisme protège les données au niveau du protocole – une garantie structurelle, et non un paramètre configurable.
Zero Time to Immutability
Une protection qui ne s’applique qu’après l’arrivée des données crée une fenêtre d’exposition. Tout délai entre le moment où une sauvegarde est écrite et celui où l’immuabilité prend effet constitue un intervalle pendant lequel les données peuvent être modifiées – que ce soit par un attaquant ayant calé son accès sur ce créneau ou par une corruption survenant avant l’application du verrou. L’immuabilité doit prendre effet dès l’écriture des données, sans aucun état intermédiaire dans lequel les données seraient accessibles mais non protégées. La combinaison du versioning S3 et d’Object Lock le permet : la protection est appliquée au moment de la création de l’objet, et non lors d’une étape ultérieure.
Une appliance cible dédiée
Une véritable séparation entre le logiciel de sauvegarde et le stockage de sauvegarde exige une architecture matérielle dédiée, garantissant par conception que le logiciel et le stockage sont isolés l’un de l’autre de manière sécurisée. Seule une appliance cible dédiée applique la Zero Trust Data Resilience en maintenant ces couches structurellement indépendantes, de sorte qu’aucune ne puisse émettre de commandes destructives vers l’autre.
Vérification indépendante
L’écart entre l’immuabilité au niveau des politiques et l’immuabilité au niveau du stockage est invisible en fonctionnement normal. La seule façon de confirmer que les données de sauvegarde ne peuvent réellement être ni modifiées ni supprimées, en aucune circonstance, est de les soumettre à des tests indépendants dans des conditions adverses. Les cadres réglementaires l’exigent de plus en plus : non pas une simple affirmation de l’intégrité des données, mais une preuve démontrable. Sans tests d’intrusion menés par un tiers, Zero Access reste une promesse et non une garantie – ce qui ne répond pas à la définition de l’immuabilité absolue.
Conclusion
Tous les vecteurs d’attaque décrits dans cet article – corruption des sauvegardes avant le déclenchement, suppression à l’aide d’identifiants, réinfection via des restaurations compromises, destruction par un acteur interne – reposent sur un stockage sous-jacent qui autorise la modification après écriture. Chacun découle directement de l’écart entre l’immuabilité au niveau des politiques et l’immuabilité au niveau du stockage. Comblez cet écart par l’architecture, et ces vecteurs d’attaque disparaissent avec lui.
Lorsque le ransomware frappera – car la question n’est pas de savoir si, mais quand -, la capacité à se rétablir dépendra entièrement du caractère réellement immuable des données de sauvegarde. Object First propose un stockage de sauvegarde doté de l’immuabilité absolue, conçu spécifiquement pour Veeam : fondé sur le Zero Trust, testé et vérifié de manière indépendante, ne nécessitant aucune expertise en sécurité et évoluant de façon linéaire avec votre activité. Lorsque le stockage de sauvegarde est aussi sûr, simple et puissant, la restauration devient une certitude, et non une question.
1,2 https://objectfirst.com/fr/resources/analyst-reports/
