âMais on a des backups, non ?â
Oui, Jean-Kévin. Mais ils sont déjà chiffrés.
Bienvenue dans lâĂšre du ransomware 2.0 : plus intelligent, plus stratĂ©gique, et surtout, plus vicieux. Oubliez lâimage du pirate isolĂ© qui spamme des exĂ©cutables moisis. Aujourdâhui, les attaquants ciblent directement votre infrastructure de sauvegarde. Et si vous pensez que vos snapshots et exports NAS vous sauveront, dĂ©trompez-vous. Ce sont eux les premiĂšres victimes.
đŻ Objectif n°1 : les sauvegardes
Avant mĂȘme de verrouiller votre production, les cybercriminels font le mĂ©nage derriĂšre vous. Ils :
- désactivent vos agents de backup,
- réécrivent vos politiques de rétention,
- encryptent ou suppriment les sauvegardes locales,
- sâintroduisent dans votre console de backup (avec vos identifiants admin. Bravo pour le mot de passe âBackup2020!â).
Pourquoi ? Parce que si vous ne pouvez pas restaurer, vous paierez. Et cher.
đ§ Retour aux fondamentaux : la rĂšgle 3-2-1-1-0, ou la recette du sauvetage
Oubliez les backup faits âĂ la mainâ sur un disque externe posĂ© Ă cĂŽtĂ© du routeur. Il vous faut une stratĂ©gie, pas une habitude.
âïž 3 copies
- Une production.
- Une sauvegarde locale (NAS, appliance).
- Une sauvegarde distante (cloud, bande, bunker soviĂ©tique dĂ©saffectĂ©âŠ).
âïž 2 types de supports
- Disques durs, stockage cloud, bandes magnétiques si vous aimez le vintage.
âïž 1 hors site
- Dans un autre datacenter ou cloud sĂ©curisĂ© (et non reliĂ© Ă votre domaine AD en mode âtout ouvertâ).
âïž 1 copie immuable
- Une version non modifiable pendant X jours, mĂȘme par vous (ou lâadmin trop pressĂ© qui clique partout).
âïž 0 erreur
- Testez vos restaurations ! Un backup, ce nâest pas une garantie. Câest une promesse, et les promesses non vĂ©rifiĂ©es, ça finit en procĂšs.
đĄïž Conseils concrets : protĂ©gez vos sauvegardes comme votre vie
𧱠Segmentez, isolez, verrouillez
- Votre rĂ©seau de backup ne doit pas ĂȘtre joignable depuis Internet.
- Pas de RDP, pas de SMB ouvert sur le WAN. Oui, on vous voit.
- Mettez du MFA sur TOUT. Pas juste lâinterface web du cloud.
đ Moins de droits, plus de contrĂŽle
- Lâutilisateur qui administre la sauvegarde ne doit pas avoir accĂšs Ă la prod.
- Segmentation des identitĂ©s, pas de rĂ©utilisation de comptes (encore moins le compte âadminâ).
đ”ïž Activez les alertes intelligentes
- Suppression de snapshot ?
- Modification de politique de rétention ?
- DĂ©connexion dâun agent de backup ?
â Alerte immĂ©diate. Parce quâune sauvegarde effacĂ©e silencieusement, câest un cybercarnage en prĂ©paration.
âïž Et le cloud dans tout ça ?
Ah le cloud. Tellement pratique⊠et souvent mal configuré.
Si vous sauvegardez dans le cloud, ne faites pas confiance au confort :
- Séparez les comptes (un compte dédié uniquement aux sauvegardes).
- Ăvitez que vos VM de prod puissent accĂ©der Ă lâenvironnement de backup.
- Ăvitez aussi de stocker vos credentials dans un script en clair sur une VM. Oui, câest dĂ©jĂ arrivĂ©. Plusieurs fois.
Utilisez un cloud avec des fonctions dâimmuabilitĂ© native (AWS Object Lock, Azure Immutable Blobs, etc.) et verrouillez lâaccĂšs au niveau stockage.
đĄ Bonus : lâerreur Ă ne pas commettre
Ne tombez pas dans le piĂšge de la fausse redondance : avoir deux copies sur le mĂȘme NAS nâest pas une stratĂ©gie. Câest un cauchemar qui coĂ»te 500K en rançon quand le NAS tombe avec le reste.
𧚠En conclusion : les sauvegardes ne sont plus un plan B
Les cybercriminels ont compris que vos sauvegardes sont votre dernier espoir. Câest pour ça quâils les ciblent en prioritĂ©.
Cessez de croire quâun backup suffit. Ce quâil vous faut, câest :
- une stratégie robuste,
- une architecture pensée sécurité dÚs le départ,
- des tests fréquents de restauration,
- et une Ă©quipe formĂ©e, consciente que la sauvegarde est aujourdâhui une arme offensive dans la guerre cyber.
Alors, la prochaine fois quâon vous demande : âEt on est protĂ©gĂ© ?â, assurez-vous de pouvoir rĂ©pondre autre chose que âNormalement ouiâ.
