Au vu des menaces actuelles et à venir, et de la croissance des environnements Cloud qui incitent à héberger des sauvegardes en ligne, les questions sont désormais les suivantes :

Suis-je en mesure de restaurer mon système d'information en cas :

• De perte de totale et instantanée de toute ou partie mon patrimoine IT 
• De compromission technique d'actifs critiques 

Répondre à ces questions nécessite de donner de la valeur – donc du temps et des moyens – à une infrastructure ne créant justement aucune valeur directe pour l'entreprise. C'est bien là toute la question, et tout l'enjeu.

La sauvegarde, in fine et dans le but qu'on lui adresse, n'est autre qu'une assurance couvrant les préjudices et dommages envers le patrimoine informationnel de l'entreprise. C'est par ce prisme que les moyens qu'on lui confère doivent être décidés, en adéquation avec les analyses de risques et leurs priorités au sein des entreprises.

Mener un état des lieux sous l’angle du scénario du pire

La première étape de cette démarche, implique de réaliser un état des lieux de son dispositif de sauvegarde/restauration actuel. Il s’agit bien là d’une question de survie pour les entreprises nécessitant de conduire un état des lieux sous l’angle de la prévention des attaques cyber ainsi que du scénario du pire.

Afin de conserver des repères sur la méthodologie à adopter et d’avoir une approche pragmatique, le référentiel cybersécurité NIST, appliqué au périmètre de sauvegarde/restauration, constitue un cadre de travail solide.

Identifier

On ne peut protéger et sauvegarder que ce que l’on connaît.

La première étape consiste donc à revoir son organisation et sa gouvernance pour :
• Valider l’identification des besoins métiers (RTO/RPO) et en décliner des politiques de sauvegardes cohérentes
• Identifier les périmètres du SI à sauvegarder en fonction de leurs criticités
• Définir les rôles et responsabilités de l’ensemble de la chaine de sauvegarde en mode nominal et en mode réponse à incident.

Protéger

En termes d’architecture, il est indispensable d’isoler et de protéger l’infrastructure de sauvegarde par une segmentation réseau. Dans le scénario du pire, le serveur de sauvegarde est le premier maillon de la chaine de reconstruction du SI, il doit donc bénéficier d’un PRA spécifique accompagné d’un plan de remise en service de l’infrastructure de sauvegarde. Pour garantir un haut niveau de résilience, valider la règle du 3-2-1 et du 3-2-1-1-0, recommandée par exemple par la société Veeam, s’avère également être une bonne pratique élémentaire.

Détecter

Il convient d’être en mesure de détecter les signes avant-coureurs d’une menace de type cryptolocker ou wiper. En effet, ce type d’attaque induit des comportements particuliers sur les serveurs, tel que l’augmentation de la charge CPU ou la montée en charge des performances des disques de stockage.

Également, l’intégrité des données et l’exploitabilité des données sauvegardées doivent régulièrement être contrôlées avec les outils à disposition.

Répondre

En cas d’incident majeur et/ou d’attaque cyber, l’objectif est de pouvoir réagir dans des conditions préparées en amont. Cela signifie de pouvoir garantir les SLAs métiers et/ou clients (identifiés en étape 1) grâce à une architecture de sauvegarde dont les composants sont conçus pour supporter ces niveaux de services. Réagir rapidement et en adéquation avec les attentes nécessite de mettre en œuvre des mécanismes techniques d’automatisation et d’orchestration sur les actifs éligibles de la chaine de reprise.

Restaurer

Ne pas connaître sa capacité à restaurer peut entraîner des effets irréversibles dans une situation où celle-ci est la dernière solution pour reconstruire son SI.

Plusieurs bonnes pratiques sont à mettre en œuvre :
1. Identifier des scénarios de restauration à réaliser (notamment le scénario du pire)
2. Identifier et maîtriser l’ensemble de vos outils de restauration, en fonction des scénarios certaines technologies seront plus efficaces que d’autres (Réplication, SnapShot, Librairie de sauvegarde...)
3. Mettre en œuvre des tests de restauration sur chaque scénario préétabli (exemple : les mécanismes de restauration instantanée proposés par la société Rubrik dans son offre Cloud Data Management ; trop peu utilisées chez nos clients et offrant des leviers efficients pour tester les restaurations)
4. Valider les RTO et RPO réels
5. Réaliser des mises en situation réelles et des tests de restauration grandeur nature dans une optique de reconstruction du SI
6. Vérifier régulièrement l’exploitabilité des sauvegardes et leur lisibilité.

À retenir

Implémenter un plan de sauvegarde / restauration

• Protéger les serveurs de sauvegarde et leurs composants
• S’assurer de la résilience des données par la règle du 3-2-1 et aller plus loin avec le 3-2-1-1-0, avec un indispensable stockage objet immuable des sauvegardes
• Connaître les cartes que vous avez en main, maîtriser les outils qui vous permettent de restaurer de la donnée et disposer de différents mécanismes de restauration

Se préparer à restaurer

• Maîtriser les mécanismes et technologies
• Formaliser les scénarios
• Tester, tester, tester…tester.

Être prêt à répondre en situation réelle

• Disposer d’un plan de communication
• Disposer d’une liste d’experts à contacter pour organiser la réponse à incident
• Déclencher la chaine décisionnaire établie en amont
• Être prêt à restaurer de façon sécurisée et dans quel ordre
• Être à jour sur les options de restauration disponible

Par Udaya Léost, Manager et Julien Couraud, Expert Cybersécurité - Almond