Des sauvegardes qui survivent aux ransomwares

Module 6: Sauvegardes · Temps de lecture : 10 minutes

Objectif pédagogique : À l'issue de cette leçon, vous saurez mettre en place une sauvegarde qu'un attaquant ne peut ni chiffrer ni effacer, en choisissant une copie hors ligne, un stockage inaltérable, des versions avec une durée de conservation adaptée et des identifiants de connexion distincts pour la sauvegarde.
Notions clés : sauvegarde hors ligne, air gap, inaltérable (immutable), object lock, gestion des versions, identifiants de connexion distincts pour la sauvegarde, durée de conservation

Pourquoi une sauvegarde classique ne suffit souvent pas

Dans la leçon 1.3, vous avez vu comment fonctionne un ransomware : quelqu'un s'introduit, observe, puis chiffre d'un coup tout ce qu'il peut atteindre. «Tout ce qu'il peut atteindre» est le cœur du problème. Si votre sauvegarde se trouve sur un disque réseau qui apparaît en permanence comme une lettre de lecteur sur votre ordinateur, cette sauvegarde n'est pour le ransomware qu'un simple dossier de fichiers. Elle sera chiffrée aussi facilement que l'original.

L'agence américaine de cybersécurité CISA indique dans son guide sur les ransomwares que de nombreux types de ransomwares recherchent activement les sauvegardes accessibles afin de les supprimer ou de les chiffrer. Un attaquant qui a pris le contrôle de votre compte administrateur peut en outre se connecter à votre logiciel de sauvegarde ou à votre service cloud et y supprimer les sauvegardes. C'est pourquoi une sauvegarde résistante aux ransomwares exige davantage qu'une simple «copie existante». Elle doit être hors de portée de toute personne ayant pris le contrôle de votre ordinateur ou de votre compte.

Il existe trois moyens pour cela, à combiner de préférence :

1. la sauvegarde n'est pas connectée (hors ligne) ;
2. la sauvegarde ne peut être ni modifiée ni supprimée, pas même par un administrateur (inaltérable) ;
3. la sauvegarde est protégée par des identifiants de connexion différents de ceux de votre travail quotidien.

Hors ligne : le disque dans le tiroir

Une sauvegarde hors ligne est une copie déconnectée une fois réalisée. Un disque externe que vous débranchez de votre ordinateur portable après la sauvegarde et que vous rangez dans un tiroir ou un coffre est l'exemple le plus simple. Un ransomware ne peut chiffrer que ce qui est accessible, et un disque dans un tiroir ne l'est pas. On parle en anglais d'air gap : il y a littéralement de l'air entre la sauvegarde et votre réseau.

L'ANSSI recommande la même approche : ne gardez pas la sauvegarde connectée à votre ordinateur, car un ransomware pourrait sinon la chiffrer également.

Pièges à éviter avec les sauvegardes hors ligne :

• L'oubli. Une sauvegarde réalisée manuellement finit par être négligée après quelques semaines chargées. Fixez un jour précis dans votre agenda et faites alterner deux disques, afin qu'il y en ait toujours un conservé ailleurs.
• Le laisser branché en permanence. Un disque laissé connecté «par commodité» n'est plus une sauvegarde hors ligne.
• L'absence de chiffrement. Un disque externe contenant toute votre comptabilité constitue une violation de données s'il est volé. Activez le chiffrement (voir leçon 5.2) et conservez la clé dans un endroit différent du disque.

Inaltérable : immutable et object lock

Une sauvegarde inaltérable (en anglais : immutable) ne peut être ni modifiée ni supprimée par personne pendant une période définie. Pas même par une personne disposant de votre mot de passe. Pas même par l'administrateur.

Dans le stockage cloud, cette technique est souvent appelée object lock. La documentation d'un grand fournisseur la décrit comme write once, read many : vous écrivez un fichier une seule fois, puis vous ne pouvez plus que le lire jusqu'à l'expiration de la durée de conservation. Il existe généralement deux modes :

De nombreux logiciels et services de sauvegarde proposent un stockage inaltérable, sous des appellations telles que «sauvegarde immutable», «sauvegarde verrouillée» ou «WORM». Lors du choix, vérifiez trois points :

• Quelle est la durée du verrouillage ? Un verrouillage de 7 jours ne vous protège pas si vous ne découvrez l'attaque qu'après trois semaines.
• Qui peut lever le verrouillage ? Si vous pouvez le faire avec le même compte que celui utilisé pour vous connecter au quotidien, un attaquant le peut aussi.
• Quel est le coût ? Inaltérable signifie aussi que vous ne pouvez pas faire de ménage dans les données. La CISA avertit qu'un paramétrage incorrect peut entraîner des coûts élevés. Commencez petit et testez.

Versions et durée de conservation : jusqu'où pouvez vous remonter ?

Une sauvegarde d'hier n'est utile que si tout allait encore bien hier. Un ransomware patiente parfois un certain temps avant de frapper, et une erreur (un dossier supprimé, une liste de prix écrasée) ne se remarque parfois que des semaines plus tard. C'est pourquoi vous avez besoin de versions : plusieurs instantanés de sauvegarde conservés en parallèle. La durée de conservation (aussi appelée rétention) détermine jusqu'où vous pouvez remonter. L'ANSSI le formule ainsi : la rétention indique jusqu'où vous pouvez remonter dans l'historique d'une sauvegarde.

Un schéma courant consiste à dégressif : une sauvegarde quotidienne conservée quelques semaines, une sauvegarde hebdomadaire conservée quelques mois, et une sauvegarde mensuelle conservée plus longtemps. Vous pouvez ainsi remonter loin dans le temps sans stocker des centaines de copies complètes.

Questions à vous poser pour choisir votre durée de conservation :

• En combien de temps remarquez vous généralement qu'un problème est survenu ? Observez les erreurs passées.
• Existe t il des obligations légales de conservation, par exemple pour votre comptabilité ? Une sauvegarde n'est pas la même chose qu'une archive : une archive se conserve pendant des années à un emplacement fixe, une sauvegarde tourne.
• Quel est le coût du stockage ? Conserver plus longtemps coûte plus cher.

Des identifiants de connexion distincts pour la sauvegarde

La troisième mesure est la moins coûteuse et aussi la plus souvent oubliée. Si votre service de sauvegarde, votre stockage cloud et votre messagerie fonctionnent tous avec le même compte, et que ce compte est compromis (leçon 1.4), l'attaquant obtient tout en une seule fois.

• Utilisez pour le service ou le logiciel de sauvegarde un compte dédié avec un mot de passe propre et unique issu de votre gestionnaire de mots de passe, et activez l'authentification à deux facteurs (2FA).
• N'utilisez pas ce compte pour le travail quotidien et ne vous y connectez pas depuis l'ordinateur sur lequel vous consultez vos e-mails et naviguez sur internet.
• Configurez le logiciel de sauvegarde, lorsque c'est possible, pour qu'il puisse uniquement écrire sur l'emplacement de sauvegarde, pas supprimer.
• Déterminez qui y a accès, aussi bien physiquement (qui détient la clé de l'armoire contenant le disque) que dans le logiciel. L'ANSSI le mentionne également explicitement.

En pratique : à quoi cela ressemble

Chez le fournisseur donné en exemple, WebOké, les sauvegardes nocturnes d'un hébergement sont stockées sur des serveurs de stockage distincts, dans un autre datacenter, séparés du serveur où s'exécute le site web. Selon la base de connaissances, vous ne pouvez pas supprimer vous même ces sauvegardes nocturnes : elles restent en place afin qu'il y ait toujours un point de restauration, et disparaissent automatiquement après 30 jours. Seule une sauvegarde supplémentaire que vous avez réalisée vous même peut être supprimée, et le panneau vous demande alors votre mot de passe.

Ce que vous y ajoutez vous même pour respecter la règle 3-2-1 et obtenir la copie hors ligne : télécharger de temps en temps une sauvegarde (qui reste disponible 48 heures) et la conserver sur un disque que vous déconnectez ensuite. Un instantané (snapshot) de VPS n'est expressément pas, selon la même base de connaissances, une sauvegarde, car il se trouve sur le même espace de stockage que le VPS lui même.

Chez d'autres fournisseurs, cela peut être comparable ou très différent. Demandez concrètement à votre fournisseur : les sauvegardes sont elles séparées de mon compte, puis je, ou quelqu'un disposant de mon mot de passe, les supprimer, et sur quelle durée remontent elles ?

Résumé

• Un ransomware chiffre tout ce qu'il atteint, y compris les sauvegardes connectées, et les attaquants recherchent activement les sauvegardes.
• Hors ligne : déconnectez le disque de sauvegarde et faites alterner plusieurs disques, avec chiffrement.
• Inaltérable (immutable, object lock) : personne ne peut supprimer la copie avant la fin de la durée fixée.
• Les versions et une durée de conservation adaptée déterminent jusqu'où vous pouvez remonter ; choisissez les en fonction du délai habituel de détection des problèmes.
• Utilisez des identifiants de connexion distincts et bien sécurisés pour votre sauvegarde, séparés de votre compte quotidien.

Quiz

Exercice

Exercice D6.2 : Rendez une sauvegarde résistante aux ransomwares. Choisissez vos données les plus importantes (par exemple votre comptabilité ou votre site web) et mettez en place une copie hors de portée : un disque externe que vous déconnectez après la sauvegarde et conservez ailleurs, ou un service de sauvegarde proposant un stockage inaltérable. Attribuez à la sauvegarde des identifiants de connexion propres avec authentification à deux facteurs, vérifiez jusqu'où vous pouvez remonter et notez qui y a accès. Répondez enfin aux questions de réflexion.

Pour aller plus loin

Les étapes décrites dans les articles de WebOké s'appliquent à l'environnement de WebOké ; chez d'autres fournisseurs, le fonctionnement peut être comparable ou différent. Renseignez vous auprès de votre fournisseur.

• Guide DirectAdmin 16.2: Sauvegarde et restauration : créer soi-même une sauvegarde dans DirectAdmin
• Guide Nextcloud 6.2: Restaurer une version antérieure et nommer des versions
• Guide Nextcloud 6.3: Combien de temps Nextcloud conserve-t-il les versions et les fichiers supprimés ?
• Snapshots et sauvegardes de votre VPS
• WebOké Backups : consulter, restaurer ou télécharger une sauvegarde
• ANSSI, cybersécurité pour les entreprises : https://cyber.gouv.fr/
• Cybermalveillance.gouv.fr, conseils et assistance aux victimes : https://www.cybermalveillance.gouv.fr/
• CISA, #StopRansomware Guide (en anglais) : https://www.cisa.gov/stopransomware/ransomware-guide