La sauvegarde, une assurance non-optionnelle
Le récent incendie ayant touché les datacenters d’OVHCloud, ainsi – et plus généralement – que la recrudescence des attaques cyber de type ransomware ou wiper, nous démontre que le rôle des sauvegardes va bien au-delà de ce pourquoi il a si souvent été pensé.
Au vu des menaces actuelles et à venir, et de la croissance des environnements cloud qui incitent à héberger des sauvegardes en ligne, les questions sont désormais les suivantes :
– Suis-je en mesure de restaurer mon système d’information en cas :
– De perte de totale et instantanée de toute ou partie mon patrimoine IT ?
– De compromission technique d’actifs critiques ?
Répondre à ces questions nécessite de donner de la valeur – donc du temps et des moyens – à une infrastructure ne créant justement aucune valeur directe pour l’entreprise. C’est bien là toute la question, et tout l’enjeu. La sauvegarde, in fine et dans le but qu’on lui adresse, n’est autre qu’une assurance couvrant les préjudices et dommages envers le patrimoine informationnel de l’entreprise. C’est par ce prisme que les moyens qu’on lui confère doivent être décidés, en adéquation avec les analyses de risques et leurs priorités au sein des entreprises.
Mener un état des lieux sous l’angle du scénario du pire
La première étape de cette démarche, implique de réaliser un état des lieux de son dispositif de sauvegarde/restauration actuel. Il s’agit bien là d’une question de survie pour les entreprises nécessitant de conduire un état des lieux sous l’angle de la prévention des attaques cyber ainsi que du scénario du pire.
Afin de conserver des repères sur la méthodologie à adopter et d’avoir une approche pragmatique, le référentiel cybersécurité NIST, appliqué au périmètre de sauvegarde/restauration, constitue un cadre de travail solide.
Identifier…
On ne peut protéger et sauvegarder que ce que l’on connait. La première étape consiste donc à revoir son organisation et sa gouvernance pour :
– Valider l’identification des besoins métiers (RTO/RPO) et en décliner des politiques de sauvegardes cohérentes ;
– Identifier les périmètres du SI à sauvegarder en fonction de leurs criticités ;
– Définir les rôles et responsabilités de l’ensemble de la chaine de sauvegarde en mode nominal et en mode réponse à incident.
Protéger…
En termes d’architecture, il est indispensable d’isoler et de protéger l’infrastructure de sauvegarde par une segmentation réseau. Dans le scénario du pire, le serveur de sauvegarde est le premier maillon de la chaine de reconstruction du SI, il doit donc bénéficier d’un PRA spécifique accompagné d’un plan de remise en service de l’infrastructure de sauvegarde. Pour garantir un haut niveau de résilience, valider la règle du 3-2-1 et du 3-2-1-1-0, recommandée par exemple par la société Veeam, s’avère également être une bonne pratique élémentaire.
Détecter…
Il convient d’être en mesure de détecter les signes avant-coureurs d’une menace de type cryptolocker ou wiper. En effet, ce type d’attaque induit des comportements particuliers sur les serveurs, tel que l’augmentation de la charge CPU ou la montée en charge des performances des disques de stockage.
Également, l’intégrité des données et l’exploitabilité des données sauvegardées doivent régulièrement être contrôlées avec les outils à disposition.
Répondre…
En cas d’incident majeur et/ou d’attaque cyber, l’objectif est de pouvoir réagir dans des conditions préparées en amont. Cela signifie de pouvoir garantir les SLAs métiers et/ou clients (identifiés en étape 1) grâce à une architecture de sauvegarde dont les composants sont conçus pour supporter ces niveaux de services. Réagir rapidement et en adéquation avec les attentes nécessite de mettre en œuvre des mécanismes techniques d’automatisation et d’orchestration sur les actifs éligibles de la chaine de reprise.
Restaurer…
Ne pas connaitre sa capacité à restaurer peut entrainer des effets irréversibles dans une situation où celle-ci est la dernière solution pour reconstruire son SI.
Plusieurs bonnes pratiques sont à mettre en œuvre :
1. Identifier des scénarios de restauration à réaliser (notamment le scénario du pire) ;
2. Identifier et maitriser l’ensemble de vos outils de restauration, en fonction des scénarios certaines technologies seront plus efficaces que d’autres (Réplication, SnapShot, Librairie de sauvegarde…)
3. Mettre en œuvre des tests de restauration sur chaque scénario préétabli (exemple : les mécanismes de restauration instantanée proposés par la société Rubrik dans son offre Cloud Data Management ; trop peu utilisées chez nos clients et offrant des leviers efficients pour tester les restaurations) ;
4. Valider les RTO et RPO réels ;
5. Réaliser des mises en situation réelles et des tests de restauration grandeur nature dans une optique de reconstruction du SI ;
6. Vérifier régulièrement l’exploitabilité des sauvegardes et leur lisibilité.
A retenir…
– Implémenter un plan de sauvegarde / restauration
Protéger les serveurs de sauvegarde et leurs composants
S’assurer de la résilience des données par la règle du 3-2-1 et aller plus loin avec le 3-2-1-1-0, avec un indispensable stockage objet immuable des sauvegardes
Connaitre les cartes que vous avez en main, maitriser les outils qui vous permettent de restaurer de la donnée et disposer de différents mécanismes de restauration
– Se préparer à restaurer
Maitriser les mécanismes et technologies
Formaliser les scénarios
Tester, tester, tester…tester.
– Être prêt à répondre en situation réelle
Disposer d’un plan de communication
Disposer d’une liste d’experts à contacter pour organiser la réponse à incident
Déclencher la chaine décisionnaire établie en amont
Être prêt à restaurer de façon sécurisée et dans quel ordre
Être à jour sur les options de restauration disponible
Auteurs :
Udaya Léost, Manager
Julien Couraud, Expert Cybersécurité
