Guide · Sécurité
Rançongiciels : des sauvegardes qui survivent à une attaque
En bref : les attaquants modernes (ransomware) recherchent et détruisent d'abord les sauvegardes, avant de chiffrer. Seule survit à l'attaque une copie qui ne peut pas être supprimée depuis le réseau de l'entreprise (verrouillée sur un serveur de sauvegarde séparé, hors site ou hors ligne) et dont la restauration a été testée auparavant.
Comment se déroule une attaque contre les sauvegardes
- Intrusion : par un e-mail d'hameçonnage, une faille de sécurité ou des identifiants volés.
- Propagation : les attaquants accumulent des droits d'administrateur, souvent pendant des semaines sans être repérés.
- Recherche des sauvegardes : ils cherchent les serveurs de sauvegarde, les partages NAS, les instantanés et les accès au cloud.
- Destruction des sauvegardes : elles sont supprimées ou chiffrées avec le reste, grâce aux droits obtenus.
- Chiffrement et extorsion : ce n'est qu'à ce moment que l'attaque devient visible, généralement la nuit ou le week-end.
On en déduit que toute sauvegarde qu'un administrateur du réseau de l'entreprise peut supprimer peut aussi être supprimée par un attaquant disposant de ces droits.
Cinq mesures qui aident vraiment
| Mesure | Ce qu'elle apporte |
|---|---|
| Copie immuable | Les sauvegardes sont verrouillées contre la modification et la suppression jusqu'à une date, y compris pour les appareils protégés et leurs identifiants |
| Serveur de sauvegarde séparé | Identifiants propres, pas de membre du domaine Windows, seuls les ports nécessaires ouverts |
| Copie hors site | Une seconde copie dans un autre lieu, avec d'autres identifiants |
| Copie hors ligne | Une exportation régulière sur disque USB ou bande, rangée ensuite déconnectée du réseau |
| Restauration testée | Des restaurations de contrôle régulières prouvent que les sauvegardes sont saines et complètes |
Protéger le serveur de sauvegarde lui-même
Un verrou de rétention ne vaut que ce que vaut le serveur qui l'impose. Pour le serveur de sauvegarde, la règle est donc : un compte du système d'exploitation dédié à l'administration, pas de membre du domaine, aucune connexion avec les mêmes mots de passe que dans le reste du réseau, des mises à jour rapides et un accès uniquement par les interfaces nécessaires. Qui conserve en plus une copie hors ligne dispose d'une réserve même pour le pire des cas.
Après l'attaque : restaurer proprement
- Choisir la bonne version : les attaquants sont souvent dans le réseau des semaines avant le chiffrement. De nombreuses versions conservées permettent de revenir à un moment antérieur à l'intrusion.
- Vérifier d'abord, restaurer ensuite : démarrer d'abord les systèmes restaurés de manière isolée et les examiner, pour que le logiciel malveillant ne revienne pas avec eux.
- Connaître l'ordre : d'abord le service d'annuaire et le réseau, ensuite les applications métier, testé et non improvisé.
Comment AegisGrid protège contre les rançongiciels
AegisGrid chiffre les données sur le système protégé et les écrit vers jusqu'à huit destinations en une seule exécution. Sur un stockage WORM du serveur de sauvegarde, chaque sauvegarde est verrouillée contre la modification et la suppression jusqu'à l'expiration de son verrou : le serveur de sauvegarde impose le verrou vis-à-vis de tous les appareils protégés et de toutes les interfaces, et ses clés d'accès ne valent que pour ses propres répertoires. Sur le serveur lui-même, le traitement des données s'exécute sous un compte dédié sans privilèges. Pour la copie hors ligne, AegisGrid exporte des sauvegardes choisies sous forme d'archive sur disque USB ou bande. Les restaurations de contrôle démarrent les VM restaurées dans un environnement isolé sans connexion vers l'extérieur et lisent chaque fichier de la sauvegarde : si les fichiers qui semblent chiffrés ou les demandes de rançon se multiplient, le serveur de sauvegarde le signale tant qu'il existe encore des versions saines. Chaque suppression est consignée dans le journal de preuves signé.
Questions fréquentes sur la sauvegarde et les rançongiciels
Des instantanés et un NAS suffisent-ils contre les rançongiciels ?
En général, non. Un rançongiciel disposant de droits d'administrateur supprime les instantanés en quelques secondes, et un partage NAS accessible en écriture depuis le réseau est chiffré lui aussi. Il faut au moins une copie qui ne puisse pas être supprimée avec les droits du réseau de l'entreprise.
Combien de temps le verrou doit-il durer ?
Plus longtemps qu'une attaque ne peut passer inaperçue : en pratique, au moins 14 à 30 jours pour la sauvegarde quotidienne, plus des versions mensuelles plus anciennes avec un verrou plus long. L'essentiel est que plusieurs versions anciennes soient conservées.
AegisGrid détecte-t-il si le rançongiciel est déjà dans la sauvegarde ?
La restauration de contrôle du serveur de sauvegarde lit chaque fichier de la sauvegarde restaurée et cherche des indices de chiffrement : un contenu qui ne correspond pas à l'extension ou qui semble aléatoire, des extensions typiques des rançongiciels et des demandes de rançon. S'il y en a nettement plus que lors du dernier contrôle, une alerte est émise ; on détecte ainsi une attaque avant que la dernière sauvegarde saine n'expire. Pour les sauvegardes de fichiers, l'agent contrôle déjà chaque exécution : si un nombre inhabituel de fichiers change ou si de nombreuses extensions typiques apparaissent, l'exécution est marquée, une notification part et les versions plus anciennes ne sont pas nettoyées pendant un délai. Si besoin, la restauration de contrôle analyse en plus les sauvegardes avec ClamAV et indique la dernière sauvegarde sans la détection. Cela ne remplace pas un antivirus sur les systèmes.
Le chiffrement de la sauvegarde aide-t-il contre les rançongiciels ?
Il protège la confidentialité : des sauvegardes volées ne révèlent rien. Il ne protège ni contre la suppression ni contre un nouveau chiffrement ; pour cela, il faut la copie immuable et la copie hors ligne.
Votre sauvegarde résisterait-elle à une attaque ?
Nous vérifions avec vous, en anglais ou en allemand, si vos sauvegardes survivraient à une attaque.