Mettre en place des sauvegardes sécurisées

Toute entreprise est exposée à des conséquences graves en cas de cyberattaque, telles que la perte de données métier et la perte de disponibilité, impactant ainsi la continuité des activités. Lorsque de telles situations surviennent, la restauration du système d'information devient un enjeu majeur pour la reprise des activités de l'entreprise. La réussite de cette restauration dépend principalement de la qualité et de la fréquence des sauvegardes effectuées sur le système d'information.

Dans cette perspective, il est impératif de comprendre les différents types de sauvegarde disponibles.

Types de sauvegardes

Nom	Exemple de moyens	Commentaires	Sécurisées*
Sauvegardes hors ligne	Disques durs externes, clés USB, NAS déconnecté du réseau, bandes magnétiques (LTO, DLT)	Plus haut niveau de sécurité face à un attaquant ayant compromis le SI, car les sauvegardes ne sont pas accessibles en réseau	✅
Sauvegardes immuables en ligne (Cloud)	Services Cloud avec fonctionnalités d'immuabilité (AWS S3 Object Lock, Azure Blob Storage avec verrouillage WORM)	Bien que les sauvegardes soient accessibles en ligne, les fonctionnalités d'immuabilité empêchent les modifications non autorisées et offrent une protection solide	✅
Sauvegardes en ligne (On-Premise ou DataCenter)	Serveurs de sauvegarde distants avec accès réseau strictement contrôlé et limité	Moins sécurisé que les sauvegardes hors ligne, mais offre une protection raisonnable contre les attaques si les accès réseau sont isolés de l'entreprise. Ex: VLAN spécifique, séparé de l'Active Directory, accès à l'environnement limité à un administrateur avec MFA)	✅ / ⛔
Sauvegardes non-immuables en ligne (Cloud)	Services Cloud tels que Dropbox, Google Drive, Microsoft OneDrive sans verrouillage WORM	Bien que simples d'utilisation, les sauvegardes sont accessibles en ligne et potentiellement vulnérables aux attaques	⛔
Sauvegardes locales	Disques durs internes ou connectés, sauvegarde incrémentale sur serveur local, miroir RAID	Solution la moins sécurisée contre un attaquant ayant compromis le SI, car les sauvegardes sont stockées localement et peuvent être facilement compromises	⛔

*Ce terme fait référence à une sécurisation des sauvegardes en cas d'attaque standard par un ransomware visant à supprimer l'ensemble des données de l'entreprise.

🔏 Quelles sont les conditions pour bénéficier de l'assurance cyber Stoik ?

L'assurance cyber Stoïk impose des exigences strictes pour les politiques de sauvegarde lors du processus de souscription personnalisé, défini par l'activité, le chiffre d'affaires ou l'exposition au risque de l'entreprise. Nous demandons qu'au moins une sauvegarde hebdomadaire soit stockée hors ligne ou sur un dispositif de stockage immuable, avec une durée de rétention minimale de deux semaines.

"Sauvegarde sécurisée"

Si les sauvegardes ne peuvent pas être hors ligne ou immuables, une autre option - moins recommandée - est possible : la "sauvegarde sécurisée".
La sauvegarde reste alors physiquement connectée, mais doit répondre aux exigences suivantes :
- Système de sauvegarde hors domaine AD
- Système de sauvegarde séparé du reste du réseau par un pare-feu
- La suppression / modification des sauvegardes n'est possible que via une interface web sécurisée par MFA.

En d'autres termes, même avec un compte administrateur sur votre réseau, vous ne devez pas être en mesure de supprimer les sauvegardes. Pendant les incidents de type ransomware, les attaquants compromettront très probablement les comptes des administrateurs de domaine Active Directory et vos comptes d'administration Cloud. C'est pourquoi il est essentiel que même avec de telles autorisations, les sauvegardes ne puissent pas être supprimées.

Parmi les solutions de sauvegardes compatibles, deux types se distinguent : les sauvegardes hors ligne ou immuables.

Exemples de solutions de sauvegardes hors ligne

Nom	Pré-requis à la sécurisation des sauvegardes
Bandes magnétiques (LTO, DLT)	Effectuez un roulement entre au moins deux bandes afin de toujours garder une bande déconnectée du système d'information.
NAS déconnecté	Connectez périodiquement un NAS au réseau pour effectuer la sauvegarde, puis déconnectez-le. Alternez entre plusieurs NAS pour garantir que chaque appareil capture les dernières modifications. Lorsque les NAS ne sont pas utilisés pour les sauvegardes, débranchez-les du réseau.
Disques durs externes ou clés USB	Connectez périodiquement le périphérique externe au serveur de sauvegarde pour effectuer la sauvegarde , puis déconnectez-le. Alternez entre plusieurs périphériques pour garantir que chaque appareil capture les dernières modifications. Lorsque les périphériques ne sont pas utilisés pour les sauvegardes, débranchez-les et stockez les dans un endroit sécurisé.

Exemples de solutions / services de sauvegardes immuables avec hébergement Cloud

Nom	Pré-requis à l'immuabilité	Documentation
AWS	S3 lock ou Glacier	Guide Stoïk
Azure	Archive Storage ou Blob de stockage immuable	Guide Stoïk
Wasabi	Option sauvegardes immuables	Guide Stoïk
Acronis Cyber Protect Cloud	Compliance Mode Cloud Storage version > =4.7.1 Agent version >= 21.12 L'immuabilité n'est pas supportée avant ces versions	Documentation Acronis 1 Documentation Acronis 2
Inspeere Datis	Aucun prérequis	Site officiel
Scaleway	Scaleway storage
Beemo	Beemo2cloud: Local back-up + Cloud backup	Documentation officielle
OVHCloud	OVHCloud Object Storage
Fast LTA	Zero Loss Storage

Exemples de solutions / services de sauvegardes immuables avec hébergement local

Nom	Pré-requis à l'immuabilité	Documentation
Veeam Linux Hardened Repository	Veeam version >= 11 L'immuabilité n'est pas supportée avant la version 11 Durcissement sécurité à effectuer autour du serveur de stockage (voir documentation)	Documentation Veeam Cloud Guide Stoïk de durcissement du serveur de stockage
Synology	DiskStation Manager (DSM) >= 7.2 Utiliser un des modèles de NAS suivants	Documentation Synology
Dell	Dell Data Domains Immutable (en mode compliance seulement)	Documentation officielle

Exemple de sauvegardes non sécurisées en cas de compromission

Nom	Commentaire
Dropbox	Les fichiers supprimés sont envoyés dans la corbeille avec restauration possible, mais ces points de restaurations peuvent aussi être supprimés.
Sharepoint
Onedrive
Google Drive
NAS immuable	L'immuabilité du NAS est portée par une couche logicielle installée sur le système d'exploitation : la destruction des disques par le système ou du système en lui même reste possible.
Datacenter externalisé avec lien réseau permanent	Ce type d'externalisation est similaire à avoir un serveur de fichier local : en cas d'attaque ransomware, la destruction des données sera aussi réalisée au sein du datacenter en passant par le lien réseau mis en place.
Stockage cloud non immuable	Si l'accès au compte administrateur sur le cloud est compromis, l'attaquant pourra alors simplement supprimer le stockage et les sauvegardes.

Toutes les informations et exemples présentés dans cet article ne constituent que des recommandations d'implémentation visant à garantir des sauvegardes sécurisées, conformément aux politiques de Stoïk. Il est important de noter que cet article et les guides cités n'ont pas de caractère contractuel.