Des sauvegardes qui survivent à un ransomware

Module 6: Sauvegardes · Temps de lecture : 10 minutes

Objectif pédagogique : à l'issue de cette leçon, vous saurez mettre en place une sauvegarde qu'un attaquant ne peut ni chiffrer ni supprimer, en choisissant une copie hors ligne, un stockage inaltérable, des versions avec une durée de conservation adaptée et un identifiant séparé pour la sauvegarde.
Notions clés : sauvegarde hors ligne, air gap, inaltérable (immutable), object lock, gestion des versions, identifiant séparé pour la sauvegarde, durée de conservation

Pourquoi une sauvegarde ordinaire ne suffit souvent pas

Dans la leçon 1.3, vous avez vu comment fonctionne un ransomware : quelqu'un s'introduit, observe les lieux, puis chiffre d'un coup tout ce qu'il peut atteindre. « Tout ce qu'il peut atteindre » est le cœur du problème. Si votre sauvegarde se trouve sur un lecteur réseau qui reste toujours monté comme une lettre de lecteur sur votre ordinateur, cette sauvegarde n'est, pour le ransomware, qu'un dossier de fichiers parmi d'autres. Elle sera chiffrée tout aussi sévèrement que l'original.

Le NCSC néerlandais écrit dans son guide sur les ransomwares que de nombreux types de ransomwares recherchent activement les sauvegardes accessibles afin de les supprimer ou de les chiffrer. Un attaquant qui a obtenu votre compte administrateur peut en outre se connecter à votre logiciel de sauvegarde ou à votre service cloud et y supprimer les sauvegardes. C'est pourquoi une sauvegarde résistante aux ransomwares exige davantage que « il existe une copie ». Elle doit être hors de portée de quiconque a pris le contrôle de votre ordinateur ou de votre compte.

Il existe trois moyens pour cela, que vous avez tout intérêt à combiner :

1. la sauvegarde n'est pas connectée (hors ligne);
2. la sauvegarde ne peut pas être modifiée ni supprimée, même pas par un administrateur (inaltérable);
3. la sauvegarde se trouve derrière un identifiant différent de celui de votre travail quotidien.

Hors ligne : le disque dans le tiroir

Une sauvegarde hors ligne est une copie déconnectée après sa création. Un disque externe que vous débranchez de votre ordinateur portable après la sauvegarde et que vous rangez dans un tiroir ou un coffre est l'exemple le plus simple. Un ransomware ne peut chiffrer que ce qui est accessible, et un disque dans un tiroir n'est pas accessible. Le terme anglais est air gap : il y a littéralement de l'air entre la sauvegarde et votre réseau.

Le NCSC néerlandais recommande la même chose : ne laissez pas la sauvegarde connectée à votre ordinateur, car sinon le ransomware pourrait la chiffrer avec le reste.

Les pièges des sauvegardes hors ligne :

• L'oubli. Une sauvegarde que vous effectuez manuellement finit par être négligée après quelques semaines chargées. Fixez un jour précis dans votre agenda et faites alterner deux disques, afin qu'il y en ait toujours un hors des locaux.
• Le laisser toujours branché. Un disque qui reste connecté « par commodité » n'est plus une sauvegarde hors ligne.
• L'absence de chiffrement. Un disque externe contenant toute votre comptabilité constitue une violation de données s'il est volé. Activez le chiffrement (voir leçon 5.2) et conservez la clé à un autre endroit que le disque.

Inaltérable : immutable et object lock

Une sauvegarde inaltérable (en anglais : immutable) ne peut être modifiée ni supprimée par personne pendant une période définie. Pas même par quelqu'un qui possède votre mot de passe. Pas même par l'administrateur.

Dans le stockage cloud, cette technique s'appelle souvent object lock. La documentation d'un grand fournisseur la décrit comme write once, read many : vous écrivez un fichier une seule fois, après quoi vous pouvez seulement le lire jusqu'à la fin de la durée de conservation. Il existe généralement deux modes :

De nombreux logiciels et services de sauvegarde proposent un stockage inaltérable, sous des noms tels que « immutable backup », « sauvegarde verrouillée » ou « WORM ». Lors de votre choix, soyez attentif à trois points :

• Quelle est la durée du verrouillage ? Un verrouillage de 7 jours ne vous protège pas si vous ne découvrez l'attaque qu'après trois semaines.
• Qui peut lever le verrouillage ? Si vous pouvez le faire avec le même compte que celui utilisé au quotidien, un attaquant le peut aussi.
• Quel est le coût ? Inaltérable signifie aussi que vous ne pouvez pas faire de ménage. Le NCSC néerlandais avertit qu'un mauvais réglage peut entraîner des coûts élevés. Commencez petit et testez.

Versions et durée de conservation : jusqu'où pouvez-vous remonter ?

Une sauvegarde d'hier n'aide que si tout allait bien hier. Un ransomware attend parfois un certain temps avant de frapper, et une erreur (un dossier supprimé, une liste de prix écrasée) ne se remarque parfois que des semaines plus tard. C'est pourquoi vous avez besoin de versions : plusieurs points de sauvegarde conservés en parallèle. La durée de conservation (aussi appelée rétention) détermine jusqu'où vous pouvez remonter. Le NCSC néerlandais l'explique ainsi : la rétention indique jusqu'où vous pouvez remonter dans l'historique d'une sauvegarde.

Un schéma courant consiste à espacer les conservations : une sauvegarde quotidienne conservée quelques semaines, une sauvegarde hebdomadaire conservée quelques mois, et une sauvegarde mensuelle conservée plus longtemps. Vous pouvez ainsi remonter loin dans le temps sans accumuler des centaines de copies complètes.

Questions à se poser pour choisir votre durée de conservation :

• En général, en combien de temps remarquez-vous qu'il y a un problème ? Observez les erreurs passées.
• Existe-t-il des obligations légales de conservation, par exemple pour votre comptabilité ? Une sauvegarde est différente d'une archive : une archive se conserve des années au même endroit, une sauvegarde tourne.
• Quel est le coût du stockage ? Conserver plus longtemps coûte plus cher.

Un identifiant séparé pour la sauvegarde

La troisième mesure est la moins coûteuse et c'est aussi celle qu'on oublie le plus souvent. Si votre service de sauvegarde, votre stockage cloud et votre messagerie fonctionnent tous avec le même compte, et que ce compte est compromis (leçon 1.4), l'attaquant obtient alors tout d'un coup.

• Utilisez pour le service ou le logiciel de sauvegarde un compte dédié avec un mot de passe propre et unique issu de votre gestionnaire de mots de passe, et activez l'authentification à deux facteurs.
• N'utilisez pas ce compte pour le travail quotidien et ne vous en servez pas pour vous connecter sur l'ordinateur où vous consultez vos e-mails et naviguez sur internet.
• Configurez, lorsque c'est possible, le logiciel de sauvegarde pour qu'il puisse seulement écrire vers l'emplacement de sauvegarde, pas supprimer.
• Déterminez qui y a accès, aussi bien physiquement (qui détient la clé de l'armoire contenant le disque) que dans le logiciel. Le NCSC néerlandais le souligne également de manière explicite.

En pratique : à quoi cela ressemble-t-il

Chez le fournisseur donné en exemple WebOké, les sauvegardes nocturnes d'un forfait d'hébergement sont stockées sur des serveurs de stockage séparés, dans un autre centre de données, indépendamment du serveur où tourne le site web. Selon la base de connaissances, vous ne pouvez pas supprimer vous-même ces sauvegardes nocturnes : elles restent en place afin qu'il y ait toujours un point de restauration, et disparaissent automatiquement après 30 jours. Seule une sauvegarde supplémentaire que vous avez créée vous-même peut être supprimée, et pour cela le panneau vous demande votre mot de passe.

Ce que vous pouvez y ajouter vous-même pour respecter la règle du 3-2-1 et obtenir une copie hors ligne : télécharger de temps en temps une sauvegarde (elle reste disponible 48 heures) et la conserver sur un disque que vous déconnectez ensuite. Selon cette même base de connaissances, un instantané (snapshot) d'un VPS n'est explicitement PAS une sauvegarde, car il se trouve sur le même stockage que le VPS lui-même.

Chez d'autres fournisseurs, cela peut être comparable ou très différent. Demandez concrètement à votre fournisseur : les sauvegardes sont-elles séparées de mon compte, puis-je, ou quelqu'un disposant de mon mot de passe peut-il, les supprimer, et jusqu'où remontent-elles dans le temps ?

Résumé

• Un ransomware chiffre tout ce qu'il atteint, y compris les sauvegardes connectées, et les attaquants recherchent activement les sauvegardes.
• Hors ligne : déconnectez le disque de sauvegarde et faites alterner plusieurs disques, avec chiffrement.
• Inaltérable (immutable, object lock) : personne ne peut supprimer la copie avant la fin de la durée fixée.
• Les versions et une durée de conservation adaptée déterminent jusqu'où vous pouvez remonter; choisissez-la en fonction du délai habituel de détection de vos problèmes.
• Utilisez un identifiant séparé et bien sécurisé pour votre sauvegarde, distinct de votre compte quotidien.

Quiz

Exercice

Exercice D6.2 : Rendez une sauvegarde résistante aux ransomwares. Choisissez vos données les plus importantes (par exemple votre comptabilité ou votre site web) et mettez en place une copie hors de portée : un disque externe que vous déconnectez après la sauvegarde et conservez ailleurs, ou un service de sauvegarde avec stockage inaltérable. Donnez à la sauvegarde un identifiant propre avec authentification à deux facteurs, vérifiez jusqu'où vous pouvez remonter dans le temps et notez qui y a accès. Répondez enfin aux questions de réflexion.

Pour aller plus loin

Les étapes décrites dans les articles de WebOké s'appliquent à l'environnement de WebOké; chez d'autres fournisseurs, cela peut fonctionner de façon comparable ou différente. Renseignez-vous auprès de votre fournisseur.

• Guide DirectAdmin 16.2: Sauvegarde et restauration : créer soi-même une sauvegarde dans DirectAdmin
• Guide Nextcloud 6.2: Restaurer une version antérieure et nommer des versions
• Guide Nextcloud 6.3: Combien de temps Nextcloud conserve-t-il les versions et les fichiers supprimés ?
• Snapshots et sauvegardes de votre VPS
• WebOké Backups : consulter, restaurer ou télécharger une sauvegarde
• NCSC néerlandais, Ransomware uitgelegd (explication du ransomware) : https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• NCSC néerlandais, Een back-up strategie opstellen (élaborer une stratégie de sauvegarde) : https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (en anglais) : https://www.cisa.gov/stopransomware/ransomware-guide
• Stratégie de sauvegarde : la règle du 3-2-1 pour votre propre entreprise