La sauvegarde qui survit à un administrateur compromis
« Nous sommes en actif-actif » n'est pas une réponse à la question du rançongiciel. Voici ce qui en est une.
Le malentendu
Interrogée sur sa protection contre le rançongiciel, une équipe technique répond très souvent : « nous répliquons en temps réel vers un second site ». La phrase décrit une protection contre la perte de site. Elle ne dit rien sur la protection contre la corruption — et elle aggrave même ce scénario, puisque la propagation devient instantanée.
Dans une attaque d'ampleur, l'attaquant cherche les droits d'administration du domaine. Une fois qu'il les détient, il atteint la production, la réplication, la supervision, et — c'est le point décisif — les sauvegardes.
Le critère qui tranche
Une sauvegarde est immuable si elle ne peut être ni modifiée ni supprimée pendant une durée définie, y compris par un administrateur disposant de tous les droits. Cette dernière précision est l'essentiel du sujet.
Le test est simple : demandez à votre administrateur de sauvegarde de supprimer une sauvegarde récente. S'il y parvient, elle n'est pas immuable — et un attaquant qui obtiendra ses droits y parviendra aussi.
Les trois implémentations qui tiennent
Le verrouillage objet sur un stockage compatible, avec une période de rétention en mode conformité, empêche la suppression y compris par le propriétaire du compte.
La bande hors ligne, physiquement déconnectée, reste la protection la plus robuste et la plus lente à restaurer. Elle n'a pas d'équivalent pour les données dont la perte serait existentielle.
Le dépôt distant à authentification distincte, sur une infrastructure dont l'administration ne dépend pas de l'annuaire de production, combine robustesse et délai de restauration acceptable.
L'isolation, point le plus souvent manqué
Une sauvegarde stockée sur un serveur joint au même annuaire que la production, administré avec les mêmes comptes, tombe avec la production. La distance physique n'y change rien.
Trois principes ferment la brèche. Des comptes distincts : l'administrateur de la sauvegarde n'est pas l'administrateur du domaine de production, et sa compromission ne découle pas de celle du domaine. Une authentification indépendante, idéalement un annuaire séparé. Un flux unidirectionnel : la production pousse vers la sauvegarde, la sauvegarde ne se laisse ni interroger ni piloter depuis la production.
Le « zéro » que tout le monde oublie
La règle 3-2-1-1-0 se termine par un zéro : zéro erreur à la vérification de restauration. Un rapport de sauvegarde « réussie » atteste que des données ont été écrites. Il n'atteste pas qu'elles sont restaurables, cohérentes et exploitables.
Trois niveaux de vérification sont attendus : restauration quotidienne d'un échantillon, restauration mensuelle ou trimestrielle d'une base complète en environnement isolé avec contrôle applicatif, et restauration annuelle d'un service entier de bout en bout avec mesure de la durée réelle.
L'article 12 de DORA exige explicitement que les systèmes de restauration soient testés périodiquement et que les sauvegardes soient physiquement et logiquement séparées du système source. Un test de restauration non documenté ne satisfait pas l'exigence.