Guide · Sécurité
Analyser les sauvegardes contre les virus : restaurer sain, pas réinfecté
En bref : un logiciel malveillant n'est souvent détecté que des semaines après l'infection – et il se trouve alors depuis longtemps dans les sauvegardes. En analysant régulièrement les sauvegardes avec des signatures à jour, vous savez depuis quand une détection se trouve dans les sauvegardes et quelle est la dernière sauvegarde saine. Ainsi, une restauration ne ramène pas le logiciel malveillant avec elle.
Pourquoi l'antivirus du serveur ne suffit pas
L'antivirus des serveurs et des postes de travail analyse avec les signatures d'aujourd'hui. Ce qui était encore inconnu lors de la sauvegarde il y a trois semaines peut être détecté aujourd'hui – mais dans la sauvegarde, il reste inaperçu. Au plus tard lors d'une restauration après une attaque, cela devient un problème : si une version infectée est restaurée, l'attaquant est aussitôt de retour dans le réseau.
L'analyse des sauvegardes ne remplace pas l'antivirus des systèmes. Elle le complète par un regard en arrière.
Où et comment analyser
- Pas sur le système de production. Analyser de grands volumes de données coûte du temps processeur et des accès disque. Cela revient au serveur de sauvegarde, qui dispose déjà de la sauvegarde.
- En lecture seule. L'analyse ne doit pas modifier la sauvegarde – ni en la « désinfectant », ni en déplaçant des fichiers en quarantaine. Une sauvegarde est une pièce à conviction.
- Avec des signatures à jour. Un serveur de sauvegarde sans accès à Internet a lui aussi besoin de signatures récentes, sinon il analyse avec les connaissances d'hier.
- Régulièrement, pas une seule fois. Une nouvelle analyse vaut surtout la peine lorsque de nouvelles signatures sont disponibles. Les fichiers inchangés n'ont pas besoin d'être relus à chaque fois, mais de temps en temps oui.
Ce que signifie une détection
| Question | Pourquoi elle compte |
|---|---|
| Quel fichier, quelle signature ? | Indique s'il s'agit d'un seul document suspect ou d'un logiciel malveillant dans le système |
| Depuis quelle sauvegarde est-elle présente ? | Délimite le moment de l'infection – important pour l'analyse de l'incident et les obligations de notification |
| Quelle est la dernière sauvegarde sans elle ? | C'est la version à partir de laquelle on restaure en cas d'urgence |
| Est-ce un faux positif ? | Les faux positifs arrivent. Une fois vérifiés et marqués, ils ne devraient pas réapparaître à chaque analyse |
Une détection dans la sauvegarde signifie presque toujours qu'elle se trouve aussi encore sur le système sauvegardé. Elle y est examinée et supprimée avec l'antivirus habituel ; la sauvegarde reste telle quelle.
Analyse antivirus et traces de rançongiciel
Les signatures trouvent les logiciels malveillants connus. Un rançongiciel se trahit souvent autrement : par des fichiers dont le contenu ne correspond pas à l'extension ou semble aléatoire, par des extensions typiques et par des demandes de rançon. Les deux ensemble, dans le cadre d'un test de restauration régulier, donnent une image plus complète.
Comment AegisGrid analyse les sauvegardes contre les virus
Le serveur de sauvegarde AegisGrid analyse les sauvegardes lors de la restauration de contrôle avec ClamAV, en lecture seule et sans charge pour le système sauvegardé. En cas de détection, il indique le fichier et la signature concernés, la première sauvegarde qui la contient et la dernière sans elle ; la détection figure dans le rapport de contrôle, une notification part et, pour les sauvegardes de fichiers et de lecteurs, le planificateur de la machine sauvegardée affiche aussi un avis. Les faux positifs peuvent être marqués. Les analyses suivantes peuvent se limiter aux fichiers modifiés et tout vérifier à intervalles fixes. Les serveurs de sauvegarde sans accès à Internet reçoivent les signatures via un serveur de site ou par importation. En outre, la restauration de contrôle recherche les traces de rançongiciel.
Questions fréquentes sur l'analyse antivirus des sauvegardes
Une sauvegarde infectée est-elle supprimée ou désinfectée ?
Non. L'analyse ne fait que lire. La sauvegarde reste inchangée et peut toujours être utilisée, par exemple pour en extraire des fichiers sains ou pour retracer l'infection.
L'analyse ralentit-elle mes serveurs ?
Non. L'analyse a lieu sur le serveur de sauvegarde, pas sur le système sauvegardé. Là, le temps processeur, la mémoire et les accès disque de la tâche d'analyse peuvent être limités.
L'analyse des sauvegardes remplace-t-elle l'antivirus ?
Non. Elle le complète : l'antivirus protège les systèmes en fonctionnement, l'analyse des sauvegardes montre si une détection plus tardive se trouve déjà dans des versions antérieures et quelle version est saine.
Des sauvegardes dignes de confiance
Dans un projet pilote, nous mettons en place avec vous la restauration de contrôle et l'analyse antivirus sur votre serveur de sauvegarde.