Sauvegardes et rançongiciels : appliquer la règle 3-2-1-1-0

Face à un rançongiciel, la question n'est plus seulement « comment l'éviter ? », mais « en combien de temps pouvons-nous redémarrer ? ». Les attaquants le savent : avant de chiffrer les postes et les serveurs, ils cherchent les sauvegardes pour les supprimer ou les chiffrer elles aussi. Une sauvegarde qui n'a pas été pensée pour résister à une attaque risque de disparaître avec le reste du système d'information. La règle 3-2-1-1-0 répond précisément à ce scénario.

La règle 3-2-1 : le socle

La règle historique tient en trois chiffres :

• 3 copies des données : la donnée de production et deux sauvegardes ;

• 2 supports différents : par exemple un stockage disque et une bande, ou un NAS et un stockage objet ;

• 1 copie hors site : dans un autre bâtiment, un autre datacenter ou un cloud.

Elle protège bien contre une panne matérielle, un incendie ou une erreur de manipulation. Elle ne suffit plus contre un attaquant qui dispose d'un compte administrateur et qui peut atteindre toutes les copies connectées au réseau.

Les deux chiffres ajoutés : 1 et 0

• 1 copie hors ligne ou immuable. Au moins une copie doit être inaccessible à un attaquant, même avec des droits élevés. Deux approches : une copie physiquement déconnectée (bande sortie du robot, disque débranché) ou un stockage immuable, sur lequel les données ne peuvent être ni modifiées ni supprimées pendant une durée de rétention définie, y compris par un administrateur (vérifiez que le mode d'immuabilité retenu ne permet pas à un compte privilégié de lever le verrou).

• 0 erreur à la restauration. Une sauvegarde n'a de valeur que si elle se restaure. Les tests de restauration doivent être réguliers, documentés et sans erreur.

Les erreurs les plus fréquentes

• Le serveur de sauvegarde est membre du domaine Active Directory. Un attaquant qui compromet le domaine compromet aussi la sauvegarde. Isolez-le, avec des comptes dédiés qui n'existent pas dans l'annuaire de production.

• Le NAS de sauvegarde est monté en partage réseau sur les serveurs. Un rançongiciel qui chiffre les lecteurs réseau le chiffrera avec le reste.

• La console d'administration est accessible depuis tout le réseau, sans authentification multifacteur.

• La rétention est trop courte. Si l'attaquant est présent depuis plusieurs semaines, toutes les sauvegardes récentes peuvent contenir sa porte dérobée. Prévoyez des points de restauration plus anciens.

• Personne n'a jamais restauré un serveur complet. Restaurer un fichier ne prouve pas que l'on sait reconstruire un contrôleur de domaine ou une base de données métier dans un délai acceptable.

Définir ses objectifs avant de choisir sa solution

Deux indicateurs structurent toute stratégie de sauvegarde :

• Le RPO (Recovery Point Objective) : la quantité de données que l'entreprise accepte de perdre, exprimée en temps. Un RPO de 24 heures signifie qu'une journée de travail peut être perdue.

• Le RTO (Recovery Time Objective) : la durée maximale acceptable d'interruption avant le retour à un fonctionnement normal.

Ces objectifs ne sont pas les mêmes pour la messagerie, l'ERP ou un serveur de fichiers. Ils se décident avec les métiers, puis déterminent la fréquence des sauvegardes, les technologies et le budget.

Un plan de test réaliste

1. Chaque mois : restauration de fichiers et de boîtes aux lettres tirés au hasard.

2. Chaque trimestre : restauration complète d'au moins un serveur critique dans un environnement isolé, avec mesure du temps réel.

3. Chaque année : exercice de reprise sur un scénario de rançongiciel, impliquant la DSI et les métiers, avec un ordre de redémarrage des applications défini à l'avance.

Chaque test donne lieu à un compte rendu : ce qui a fonctionné, le temps constaté, les écarts par rapport au RTO, les actions correctives.

Et les données dans le cloud ?

Microsoft 365, Google Workspace ou les applications SaaS ne vous dispensent pas de sauvegarde. Les éditeurs garantissent la disponibilité de leur service, mais la conservation de vos données à long terme et leur restauration après une suppression malveillante relèvent, selon les contrats, en grande partie de votre responsabilité. Une solution de sauvegarde dédiée, avec une copie hors de l'environnement de l'éditeur, reste recommandée.

Comment Gazeltech peut vous accompagner

Nos consultants réalisent l'audit de votre dispositif de sauvegarde au regard de la règle 3-2-1-1-0, vérifient le cloisonnement de l'infrastructure de sauvegarde et vous accompagnent dans l'organisation de vos tests de restauration. L'objectif est simple : pouvoir répondre avec certitude à la question « combien de temps pour redémarrer ? ».

Vous souhaitez faire le point sur la résilience de vos sauvegardes ? Contactez nos équipes à Paris ou à Casablanca.