Pourquoi les nouveaux enjeux Cloud et Cyber imposent d’auditer vos sauvegardes

0

Le récent incendie ayant touché les datacenters d’OVHCloud, ainsi – et plus généralement – que la recrudescence des attaques cyber de type ransomware ou wiper, nous démontre que le rôle des sauvegardes va bien au-delà de ce pourquoi il a si souvent été pensé.

La sauvegarde, une assurance non-optionnelle

Au vu des menaces actuelles et à venir, et de la croissance des environnements cloud qui incitent à héberger des sauvegardes en ligne, les questions sont désormais les suivantes :

  • Suis-je en mesure de restaurer mon système d’information en cas :
  • De perte de totale et instantanée de toute ou partie mon patrimoine IT ?
  • De compromission technique d’actifs critiques ?

Répondre à ces questions nécessite de donner de la valeur – donc du temps et des moyens – à une infrastructure ne créant justement aucune valeur directe pour l’entreprise. C’est bien là toute la question, et tout l’enjeu. La sauvegarde, in fine et dans le but qu’on lui adresse, n’est autre qu’une assurance couvrant les préjudices et dommages envers le patrimoine informationnel de l’entreprise. C’est par ce prisme que les moyens qu’on lui confère doivent être décidés, en adéquation avec les analyses de risques et leurs priorités au sein des entreprises.

Mener un état des lieux sous l’angle du scénario du pire

La première étape de cette démarche, implique de réaliser un état des lieux de son dispositif de sauvegarde/restauration actuel. Il s’agit bien là d’une question de survie pour les entreprises nécessitant de conduire un état des lieux sous l’angle de la prévention des attaques cyber ainsi que du scénario du pire.

Afin de conserver des repères sur la méthodologie à adopter et d’avoir une approche pragmatique, le référentiel cybersécurité NIST, appliqué au périmètre de sauvegarde/restauration, constitue un cadre de travail solide.

Identifier…

On ne peut protéger et sauvegarder que ce que l’on connait. La première étape consiste donc à revoir son organisation et sa gouvernance pour :

  • Valider l’identification des besoins métiers (RTO/RPO) et en décliner des politiques de sauvegardes cohérentes ;
  • Identifier les périmètres du SI à sauvegarder en fonction de leurs criticités ;
  • Définir les rôles et responsabilités de l’ensemble de la chaine de sauvegarde en mode nominal et en mode réponse à incident.

Protéger…

En termes d’architecture, il est indispensable d’isoler et de protéger l’infrastructure de sauvegarde par une segmentation réseau. Dans le scénario du pire, le serveur de sauvegarde est le premier maillon de la chaine de reconstruction du SI, il doit donc bénéficier d’un PRA spécifique accompagné d’un plan de remise en service de l’infrastructure de sauvegarde. Pour garantir un haut niveau de résilience, valider la règle du 3-2-1 et du 3-2-1-1-0, recommandée par exemple par la société Veeam, s’avère également être une bonne pratique élémentaire.

Détecter…

Il convient d’être en mesure de détecter les signes avant-coureurs d’une menace de type cryptolocker ou wiper. En effet, ce type d’attaque induit des comportements particuliers sur les serveurs, tel que l’augmentation de la charge CPU ou la montée en charge des performances des disques de stockage.

Également, l’intégrité des données et l’exploitabilité des données sauvegardées doivent régulièrement être contrôlées avec les outils à disposition.

Répondre…

En cas d’incident majeur et/ou d’attaque cyber, l’objectif est de pouvoir réagir dans des conditions préparées en amont. Cela signifie de pouvoir garantir les SLAs métiers et/ou clients (identifiés en étape 1) grâce à une architecture de sauvegarde dont les composants sont conçus pour supporter ces niveaux de services. Réagir rapidement et en adéquation avec les attentes nécessite de mettre en œuvre des mécanismes techniques d’automatisation et d’orchestration sur les actifs éligibles de la chaine de reprise.

Restaurer…

Ne pas connaitre sa capacité à restaurer peut entrainer des effets irréversibles dans une situation où celle-ci est la dernière solution pour reconstruire son SI. Plusieurs bonnes pratiques sont à mettre en œuvre :

1. Identifier des scénarios de restauration à réaliser (notamment le scénario du pire) ;
2. Identifier et maitriser l’ensemble de vos outils de restauration, en fonction des scénarios certaines technologies seront plus efficaces que d’autres (Réplication, SnapShot, Librairie de sauvegarde…)
3. Mettre en œuvre des tests de restauration sur chaque scénario préétabli (exemple : les mécanismes de restauration instantanée proposés par la société Rubrik dans son offre Cloud Data Management ; trop peu utilisées chez nos clients et offrant des leviers efficients pour tester les restaurations) ;
4. Valider les RTO et RPO réels ;
5. Réaliser des mises en situation réelles et des tests de restauration grandeur nature dans une optique de reconstruction du SI ;
6. Vérifier régulièrement l’exploitabilité des sauvegardes et leur lisibilité.

A retenir…

– Implémenter un plan de sauvegarde / restauration

  • Protéger les serveurs de sauvegarde et leurs composants
  • S’assurer de la résilience des données par la règle du 3-2-1 et aller plus loin avec le 3-2-1-1-0, avec un indispensable stockage objet immuable des sauvegardes
  • Connaitre les cartes que vous avez en main, maitriser les outils qui vous permettent de restaurer de la donnée et disposer de différents mécanismes de restauration

– Se préparer à restaurer

  • Maitriser les mécanismes et technologies
  • Formaliser les scénarios
  • Tester, tester, tester…tester.

– Être prêt à répondre en situation réelle

  • Disposer d’un plan de communication
  • Disposer d’une liste d’experts à contacter pour organiser la réponse à incident
  • Déclencher la chaine décisionnaire établie en amont
  • Être prêt à restaurer de façon sécurisée et dans quel ordre
  • Être à jour sur les options de restauration disponible

Tribune par Udaya Léost, Manager et Julien Couraud, Expert Cybersécurité

LAISSER UN COMMENTAIRE

S'il vous plaît entrez votre commentaire!
S'il vous plaît entrez votre nom ici

Notifiez-moi des commentaires à venir via e-mail. Vous pouvez aussi vous abonner sans commenter.

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.