Quand vos sauvegardes deviennent la cible numéro un

Les ransomwares ciblent désormais en priorité les infrastructures de sauvegarde

Les stratégies en matière de Ransomware ont rapidement évolué. Les attaquants ne se contentent plus de bloquer vos systèmes de production. Ils s’en prennent à votre capacité de récupération. Cela signifie que vos systèmes de sauvegarde, votre dernière ligne de défense, sont devenus leur première cible.

Ce changement est calculé. Les acteurs de la menace ont commencé à désactiver les agents des logiciels de sauvegarde, à effacer les instantanés, à modifier les politiques de conservation et à chiffrer les volumes de sauvegarde, en particulier ceux qui sont connectés au réseau. L’objectif est de s’assurer que lorsqu’ils prennent vos données en otage, vous ne disposez pas d’une copie sûre sur laquelle vous appuyer. Si l’infrastructure de sauvegarde de votre entreprise n’a pas été conçue en tenant compte de ce modèle de menace, votre système n’est pas sécurisé.

Il n’y a pas lieu de paniquer. Mais il faut absolument penser clairement et agir de manière décisive. La donne a changé. Nous devons adapter la manière dont nous sécurisons nos systèmes critiques. Il n’est plus acceptable de s’appuyer sur des stratégies de sauvegarde traditionnelles. Les dirigeants doivent considérer la sauvegarde non seulement comme une case à cocher de conformité, mais aussi comme un élément clé de la résilience opérationnelle.

Et il ne s’agit pas simplement d’acheter plus de logiciels, mais de faire les choses différemment. Il s’agit d’améliorer votre façon de concevoir la cybersécurité et de veiller à ce que la sécurité des sauvegardes soit profondément ancrée dans votre stratégie d’infrastructure. Les attaquants ne prennent pas de raccourcis, vous ne pouvez pas vous le permettre non plus.

Une séparation inadéquate des sauvegardes et la dépendance à l’égard d’un seul fournisseur augmentent la vulnérabilité.

Voyons où les choses se passent le plus souvent mal. Des sauvegardes qui vivent dans le même environnement que les systèmes de production ? C’est un signal d’alarme. Il est trop facile pour les Ransomware et autres menaces de se déplacer latéralement, ce qui signifie qu’une fois qu’un système est touché, les autres sont rapidement exposés. C’est l’échec le plus courant dans la conception des sauvegardes, et il n’a pas sa place dans l’infrastructure de l’entreprise.

Les attaquants savent comment exploiter cette situation. Ils utilisent des comptes Active Directory compromis pour élever les privilèges. Ils prennent le contrôle d’hôtes virtuels et utilisent les vulnérabilités de Windows et des logiciels de sauvegarde pour pénétrer plus profondément dans les systèmes. Et ils le font avec précision. Ils ne devinent pas, ils exécutent.

Un problème de plus, celui de dépendre d’un seul fournisseur pour la production et la sauvegarde. Sauvegarder les données de Microsoft 365 dans la propre infrastructure de Microsoft ? Cela crée un point de défaillance unique. Avec les bonnes informations d’identification volées ou l’accès à l’API, le Ransomware peut frapper à la fois la production et la sauvegarde en un seul mouvement. C’est ainsi que des systèmes entiers sont anéantis.

Pour les équipes dirigeantes, il ne s’agit pas seulement d’une question à résoudre par le responsable informatique. Il s’agit d’une décision structurelle qui affecte la continuité de l’activité et l’exposition aux risques. Les données critiques ont besoin d’être séparées. Isolement. Diversité. Qu’il s’agisse de séparer physiquement les systèmes ou de choisir des fournisseurs de stockage cloud indépendants, l’objectif est simple : il est nettement plus difficile pour un seul vecteur d’attaque de mettre à mal plusieurs systèmes à la fois.

La sécurité est une stratégie soutenue par une discipline. Veillez à ce que la vôtre puisse résister aux attaques délibérées qui se produisent chaque jour.

La stratégie 3-2-1-1-0 renforce la résilience des systèmes de sauvegarde

L’ancienne règle de sauvegarde 3-2-1 (trois copies de données, deux types de supports, une hors site) convenait parfaitement au paysage des menaces. Aujourd’hui, elle ne suffit plus. Les attaquants se sont adaptés. Les entreprises doivent faire de même.

Voici le 3-2-1-1-0. Trois copies des données, deux types de supports différents, une copie hors site, une version immuable, zéro erreur de sauvegarde. Chaque partie de ce cadre s’attaque à un point de défaillance réel exploité par les attaquants. Il s’agit d’une structure conçue pour survivre à des attaques délibérées et coordonnées, ce pour quoi les modèles traditionnels n’ont jamais été conçus.

Les sauvegardes basées sur des images sont désormais essentielles. Elles couvrent tout : le système d’exploitation, les applications, les paramètres, l’état. Ainsi, lorsqu’une restauration est nécessaire, vous récupérez l’intégralité du système, et pas seulement des composants individuels. Cela permet de réduire les temps d’arrêt, de diminuer les risques et de maintenir les opérations sur la bonne voie.

Les copies immuables dans le cloud sont tout aussi essentielles. Elles ne peuvent pas être modifiées, chiffrées ou supprimées par un Ransomware, des initiés ou même une automatisation mal configurée. Des tests réguliers des sauvegardes, automatisés, vérifiés et cohérents, garantissent que vous disposez réellement de données opérationnelles lorsque vous en avez besoin.

Et si vous utilisez du matériel, faites en sorte qu’il soit renforcé par Linux. Vous serez ainsi moins exposé aux vulnérabilités que l’on trouve généralement dans les systèmes basés sur Windows. Il s’agit là de mesures architecturales importantes qui vous évitent d’être hors ligne pendant des jours, ou pire, de ne jamais récupérer.

Ce cadre est le nouveau minimum. Si votre stratégie de sauvegarde ne répond pas à cette norme, elle n’est pas seulement dépassée, elle expose l’ensemble de vos activités.

Le renforcement de l’environnement de sauvegarde est essentiel pour la défense

La protection de vos sauvegardes n’est pas complexe en théorie, mais elle exige de la discipline. Le durcissement consiste à éliminer l’exposition.

Commencez par l’emplacement de vos serveurs de sauvegarde. Conservez-les dans des réseaux isolés. Pas de trafic internet entrant, accès basé sur les rôles, segmentation stricte. Seuls les systèmes autorisés doivent pouvoir communiquer avec votre serveur de sauvegarde et, même dans ce cas, ils doivent le faire par des voies contrôlées et limitées.

Utiliser le le contrôle d’accès basé sur les rôles (RBAC). Les droits d’administration doivent être rares, contrôlés et spécifiques à chaque tâche. L’authentification multifactorielle (de préférence biométrique) n’est pas un bonus, c’est un élément non négociable. Plus votre accès est large, plus votre surface de risque est importante. Limiter l’accès, c’est limiter l’exposition.

Cryptez tout. Les données doivent être chiffrées par l’agent lui-même avant d’arriver sur le serveur de sauvegarde. Utilisez vos propres clés. Ne vous fiez pas aux fournisseurs ou aux jetons génériques, car ils compromettent le contrôle. En ce qui concerne l’infrastructure, désactivez les ports et les services inutilisés et appliquez des correctifs de manière agressive. Cela comprend le micrologiciel, le système d’exploitation et le logiciel de sauvegarde lui-même.

La sécurité physique est également importante. Si quelqu’un peut débrancher ou emporter votre dispositif de sauvegarde, votre système n’est pas sécurisé. Verrouillez les boîtiers, suivez les accès et surveillez le matériel physiquement, et pas seulement virtuellement.

Pour les équipes dirigeantes, il ne s’agit pas de technologie de pointe, mais d’hygiène opérationnelle de base. Un environnement de sauvegarde renforcé protège votre dernière couche de récupération en cas de violation. Sans cela, tout ce qui se trouve en amont, vos outils de sécurité, vos investissements en matière de conformité et même votre assurance, devient plus facile à compromettre.

Ce niveau de protection ne vous ralentit pas, il vous permet de vous reconnecter rapidement, en toute confiance. Et c’est ce qui compte.

La sécurisation des sauvegardes dans le cloud nécessite une segmentation et une authentification isolée

Beaucoup d’entreprises partent du principe que les sauvegardes dans le cloud sont automatiquement sécurisées. Cette hypothèse est erronée. Les Ransomware ne s’arrêtent pas à votre centre de données, ils ciblent les plateformes cloud avec le même niveau d’intensité, en particulier lorsque vos systèmes de sauvegarde font partie du même environnement cloud que vos systèmes de production.

Si vous exécutez la production et les sauvegardes dans le même cloud et utilisez le même système d’identité, vous avez créé un chemin de moindre résistance pour les attaquants. Ils pénètrent dans votre environnement de production et, avec les mêmes informations d’identification ou des jetons volés, ils accèdent à vos sauvegardes. Vous avez perdu vos opérations et vos options de récupération.

Les sauvegardes dans le cloud doivent être clairement séparées des systèmes qu’elles protègent. Cela signifie qu’il faut les structurer dans un compte ou une infrastructure cloud différente, idéalement avec des mécanismes d’authentification indépendants et sans exposition aux identifiants de production ou aux secrets stockés. Si votre équipe peut utiliser le même identifiant pour la production et la récupération, un pirate peut également le faire.

Utilisez un contrôle d’accès basé sur les rôles et activez une authentification multifactorielle stricte. L’authentification biométrique offre ici une meilleure protection que les mots de passe à usage unique. Surveillez les actions inhabituelles, comme les changements soudains dans les politiques de conservation ou la suppression des agents de sauvegarde. Ces changements sont souvent à l’origine d’attaques juste avant que le chiffrement ne frappe.

Ce qui importe le plus aux dirigeants, c’est ceci : si vos sauvegardes ne sont pas isolées de vos systèmes actifs, vous n’avez pas le contrôle. Vous vous en remettez à l’espoir. C’est instable. Établissez une séparation claire. Investissez dans des sauvegardes cloud dédiées et indépendantes qui restent accessibles lorsque les systèmes de production tombent en panne. Sans cela, vos capacités de récupération seront compromises lorsque vous en aurez le plus besoin.

Principaux enseignements pour les dirigeants

• Les ransomwares ciblent désormais d’abord les sauvegardes : Les dirigeants doivent modifier leurs stratégies de récupération en donnant la priorité à la sécurité des sauvegardes, car les attaquants ciblent désormais les sauvegardes avant les systèmes de production, ce qui rend les défenses traditionnelles inefficaces.
• Mauvaise séparation et risque lié à un fournisseur unique : Les dirigeants doivent s’assurer que les sauvegardes sont isolées de la production et éviter de s’appuyer sur un seul fournisseur de cloud pour atténuer la compromission d’un système complet en cas de vol d’informations d’identification ou d’abus d’API.
• Passez au modèle de sauvegarde 3-2-1-1-0 : Les entreprises devraient mettre en œuvre ce modèle amélioré, en y ajoutant l’immutabilité et la validation zéro erreur, afin de garantir que les sauvegardes sont résilientes, complètes et récupérables en cas d’attaques sur l’ensemble du système.
• Renforcer l’environnement de sauvegarde : Les décideurs doivent investir dans la segmentation du réseau, des contrôles d’accès stricts, le cryptage et l’application continue de correctifs pour protéger l’infrastructure de sauvegarde contre les menaces internes et externes.
• Isolez les sauvegardes dans le cloud avec des systèmes d’identité distincts : Les dirigeants doivent appliquer la séparation au niveau du cloud et l’authentification indépendante pour les sauvegardes, en veillant à ce que les Ransomware en production ne puissent pas atteindre les ensembles de données de récupération.