Les opérateurs de rançongiciels ont appris une leçon simple : une victime qui peut restaurer ses données ne paie pas. Leur méthode s’est donc adaptée. Avant de chiffrer quoi que ce soit, ils cherchent les sauvegardes, les suppriment ou les chiffrent, désactivent les instantanés et vident les corbeilles. Une sauvegarde accessible depuis le réseau compromis, avec les mêmes identifiants, n’est plus une protection.
La réponse technique s’appelle l’immuabilité : des copies qui ne peuvent être ni modifiées ni supprimées pendant une durée définie, même par un administrateur. Ce guide détaille comment la mettre en œuvre dans une petite ou moyenne structure.
L’essentiel en 30 secondes
- Une sauvegarde immuable résiste à un attaquant qui aurait obtenu les droits d’administrateur sur votre réseau.
- Trois briques : snapshots protégés sur le NAS, stockage objet avec verrouillage (Object Lock) hors site, isolation des identifiants.
- La durée de rétention doit couvrir la période pendant laquelle un attaquant peut rester discret dans le réseau.
- L’immuabilité ne dispense pas des tests de restauration réguliers.
Comment les attaquants neutralisent les sauvegardes
- Compromission initiale (phishing, accès distant exposé, faille non corrigée).
- Élévation de privilèges jusqu’aux comptes d’administration du domaine ou des postes.
- Reconnaissance : recherche des consoles de sauvegarde, des NAS, des partages montés, des comptes de stockage cloud.
- Destruction : suppression des tâches et des jeux de sauvegarde, des instantanés, des clichés de volumes, des copies cloud accessibles.
- Exfiltration éventuelle des données (double extorsion), puis chiffrement.
Chaque étape exploite le fait que les sauvegardes sont joignables et administrables depuis le réseau de production, souvent avec les mêmes comptes.
Les briques de l’immuabilité
1. Les instantanés protégés sur le NAS
Les NAS récents proposent des instantanés (snapshots) en lecture seule, et pour certains des instantanés immuables qui ne peuvent pas être supprimés avant l’expiration de leur durée de rétention, y compris par l’administrateur du NAS. Ils permettent une restauration rapide et locale. Limite : ils restent dans le même local que le reste et dépendent de la sécurité du NAS lui-même.
2. Le stockage objet avec verrouillage (Object Lock)
De nombreux fournisseurs de stockage compatibles S3 proposent le verrouillage d’objet. En mode conformité, un objet verrouillé ne peut être ni supprimé ni écrasé avant la date d’expiration, par aucun compte. En mode gouvernance, certains comptes privilégiés peuvent lever la protection : moins robuste face à un attaquant. Les logiciels de sauvegarde modernes savent écrire vers ces stockages et gérer les rétentions.
3. Les supports hors ligne
Disques en rotation débranchés, bandes : la solution la plus ancienne reste efficace. Un support déconnecté ne peut pas être atteint par le réseau. Contrepartie : discipline humaine et délais de restauration.
4. L’isolation des identifiants
C’est souvent le point le plus négligé :
- la console de sauvegarde n’est pas jointe au domaine de production ;
- les comptes d’administration de la sauvegarde sont distincts, protégés par une double authentification résistante au phishing ;
- les clés d’accès au stockage cloud n’ont que les droits nécessaires (écriture, pas de suppression) ;
- aucun partage de sauvegarde n’est monté en permanence sur les serveurs ou les postes.
Une architecture type pour une PME
| Couche | Rôle | Rétention indicative |
|---|---|---|
| Snapshots NAS immuables | Restauration rapide de fichiers | Quelques jours à quelques semaines |
| Sauvegarde sur NAS dédié, isolé | Restauration de serveurs et de bases | Plusieurs semaines |
| Copie chiffrée vers stockage objet verrouillé | Survie en cas de sinistre ou de compromission totale | Plusieurs mois |
| Sauvegarde des services SaaS (messagerie, fichiers en ligne) | Protection des données cloud | Plusieurs mois |
Durcir le NAS
- jamais exposé directement sur Internet (pas de redirection de port, pas d’accès « cloud » du constructeur inutile) ;
- firmware à jour, applications superflues désinstallées ;
- compte administrateur par défaut désactivé, double authentification activée ;
- placé dans un VLAN d’administration, accessible seulement depuis des postes autorisés ;
- alertes de sécurité et d’échec envoyées à une adresse surveillée.
Bien choisir la rétention
Un attaquant peut rester plusieurs semaines dans un réseau avant d’agir, et certaines données corrompues ne sont remarquées que tardivement. La rétention de la couche immuable doit donc couvrir plusieurs semaines au minimum, idéalement plusieurs mois pour les points mensuels. Attention aux coûts : en mode conformité, vous paierez le stockage jusqu’à l’expiration, sans possibilité de supprimer pour faire de la place.
Tester la reprise
- restauration de fichiers mensuelle, avec vérification d’intégrité ;
- restauration d’un serveur ou d’une base sur un environnement isolé chaque trimestre ;
- exercice annuel « tout est chiffré » : combien de temps pour redémarrer depuis la copie hors site ? Avec quelle bande passante ?
- documentation à jour, imprimée et accessible hors du réseau, avec les clés de chiffrement en lieu sûr.
Questions fréquentes
Le versioning d’un service cloud est-il une sauvegarde immuable ?
Pas nécessairement : un compte compromis avec suffisamment de droits peut souvent purger les versions. Seul un verrouillage qui ne peut pas être levé avant expiration offre une vraie immuabilité.
Les snapshots suffisent-ils ?
Ils sont précieux pour une restauration rapide, mais restent sur le même équipement. Une copie hors site et immuable reste indispensable.
Faut-il chiffrer les sauvegardes ?
Oui, surtout hors site. Conservez la clé hors du système sauvegardé : sans elle, la sauvegarde est inutilisable.
Quel coût pour une petite structure ?
Un NAS dédié et un abonnement de stockage objet dimensionné au volume réel restent accessibles, surtout comparés au coût d’un arrêt de plusieurs jours.
Pouvez-vous auditer nos sauvegardes ?
Oui, la résistance des sauvegardes aux rançongiciels est un point central de nos audits de cybersécurité. Voir aussi notre guide plan de sauvegarde pour TPE.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
