Cas pratique corrigé : sauvegarde et PRA type E5 et E7

La dernière sauvegarde réussie est la différentielle du mercredi à 20 h. Il faut restaurer la complète du vendredi précédent, puis la différentielle du mercredi : 2 jeux, dans cet ordre.

Perte : de mercredi 20 h à jeudi 11 h, soit 15 heures (dont la matinée de travail du jeudi).

Avec des incrémentales, il aurait fallu la complète du vendredi puis les incrémentales du lundi, du mardi et du mercredi : 4 jeux. Le samedi, l'entreprise travaille le matin, mais aucune sauvegarde n'a lieu entre le vendredi 20 h et le lundi 20 h : les modifications du samedi matin ne sont pas protégées avant le lundi soir.

La complète du vendredi à 20 h contient les modifications du vendredi. Les différentielles reprennent ensuite les modifications depuis cette complète : lundi 30 Go, mardi 60 Go, mercredi 90 Go, jeudi 120 Go, soit 300 Go. Total : 1 500 + 300 = 1 800 Go, soit 1,8 To.

En incrémental : 1 500 + 4 × 30 = 1 620 Go.

(Les modifications du samedi matin, non comptées dans l'annexe 4, s'ajouteraient à la différentielle du lundi et aux suivantes.)

L'objectif est une perte d'une heure au plus. Avec une sauvegarde par jour, la perte peut atteindre près de 24 heures en semaine, et bien plus autour du week-end : aucune sauvegarde n'a lieu entre le vendredi 20 h et le lundi 20 h. Une panne le lundi à 19 h 50 fait revenir au vendredi 20 h, soit près de 72 heures de perte, dont toute l'activité du samedi matin. Le RPO n'est pas respecté.

Solution : sauvegarder la base du TMS avec les outils du SGBD, une sauvegarde complète chaque nuit et une sauvegarde des journaux de transactions toutes les 30 minutes, envoyée immédiatement hors de la VM vers le serveur de sauvegarde. La perte maximale tombe à environ 30 minutes plus la durée d'une sauvegarde des journaux, sous l'objectif d'une heure. Une réplication de la VM vers un second hyperviseur, à l'entrepôt, améliorerait aussi le RTO (question 4). Les sauvegardes des VM doivent aussi avoir lieu le samedi.

1. Restauration : 400 000 Mo ÷ 100 Mo/s = 4 000 s = 1 h 6 min 40 s. Total : 15 + 15 + 30 + 66 min 40 s + 10 + 30 = 166 min 40 s = 2 h 46 min 40 s. L'objectif de 4 heures est tenu, avec plus d'une heure de marge, à condition que le NAS soit intact et que la procédure ait été testée (elle ne l'a jamais été).
2. Le NAS est dans la salle serveur, et le disque USB dans le bureau du DAF, au siège : un incendie du bâtiment emporte toutes les copies. Aucune restauration n'est possible : le RPO et le RTO deviennent infinis, l'entreprise perd ses données. Il manque une copie hors site.

Faiblesses :

1. Le NAS est joint au domaine et administré avec le compte administrateur du domaine : l'attaquant qui prend le domaine prend les sauvegardes.
2. Le NAS est dans la salle serveur, sur le même réseau : aucun cloisonnement.
3. Aucune copie hors ligne régulière : le disque USB n'est copié qu'une fois par mois, et rien ne garantit qu'il est débranché entre-temps.
4. Aucune copie hors site : le disque reste au siège.
5. Aucune immuabilité : tout peut être effacé depuis le réseau.
6. Aucun test de restauration : rien ne prouve que les sauvegardes sont exploitables.

Architecture cible :

• un serveur de sauvegarde dédié au siège (par exemple Proxmox Backup Server), dans une zone réseau distincte, avec un VLAN de sauvegarde, hors du domaine, avec des comptes nominatifs dédiés et une authentification multifacteur (R1, R3, R5, R14, R15) ; les flux sont filtrés par un pare-feu interne (R6). Avec PBS, ce sont les hyperviseurs qui se connectent au serveur (TCP 8007) : on n'autorise que ce flux, avec un jeton limité à la sauvegarde, sans droit de suppression. La copie de l'entrepôt est tirée par le serveur distant, ce qui respecte R8 ;
• une copie hors site à l'entrepôt : un second serveur de sauvegarde, synchronisé chaque nuit à travers le VPN, avec des droits qui interdisent la suppression depuis le siège (ajout seul ou verrouillage) ;
• une copie hors ligne : une bande ou un disque chiffré chaque semaine, rangé dans un autre bâtiment que celui où il a été écrit (R11, R12) ;
• des sauvegardes chiffrées, avec des clés gardées dans un coffre et hors ligne (R28 à R30) ;
• la journalisation centralisée et une surveillance des volumes et des échecs (R10, R21) ;
• des tests de restauration planifiés et documentés (R22).

• « N'importe quel jour des deux dernières semaines » : 14 sauvegardes quotidiennes (ce qui suppose une sauvegarde chaque jour, samedi compris).
• « L'état de chaque fin de mois sur un an » : 12 sauvegardes mensuelles, celle du dernier jour du mois.

Soit au plus 14 + 12 = 26 points de restauration. On peut ajouter quelques hebdomadaires (par exemple 4) pour mieux couvrir le mois en cours, soit 30 points.

Factures dix ans : 10 sauvegardes annuelles (une par clôture), soit au plus 14 + 12 + 10 = 36 points (40 avec 4 hebdomadaires). Tu ajoutes au DAF que l'obligation (Code de commerce, article L123-22) serait mieux tenue par un archivage des factures, qui garantit leur intégrité et ne conserve pas toutes les autres données.

1. Le socle à l'entrepôt : réseau, pare-feu, accès VPN des utilisateurs, hyperviseur de secours. Sans lui, rien ne peut tourner.
2. Le serveur de sauvegarde de l'entrepôt, déjà en place : hors du domaine, il contient les sauvegardes de tout le reste, y compris du contrôleur de domaine.
3. Le contrôleur de domaine et le DNS : l'authentification et la résolution des noms sont nécessaires à toutes les autres applications.
4. La base puis la VM du TMS, l'application la plus critique selon le BIA (RTO de 4 heures).
5. Le serveur de fichiers (RTO d'une journée).
6. GLPI, puis les autres services.

Pendant ce temps, l'exploitation travaille en mode dégradé : liste des tournées imprimée la veille, contact des chauffeurs par téléphone. La messagerie Microsoft 365 reste disponible, puisqu'elle ne dépend pas de la salle serveur.

Documents utiles :

• le plan de sauvegarde : objectifs RPO et RTO validés, tableau des sauvegardes, rétention, rôles ;
• le schéma de l'architecture de sauvegarde, avec les zones, les flux et les copies hors site et hors ligne ;
• des captures de la configuration (tâches planifiées, rétention, vérification) ;
• au moins un compte rendu de test de restauration, avec la date, la sauvegarde utilisée, les vérifications, la durée mesurée comparée au RTO ;
• la procédure de restauration rédigée pour l'équipe.

La question presque certaine : « Avez-vous testé la restauration, et combien de temps a-t-elle pris ? ». La réponse doit s'appuyer sur ton compte rendu de test. Le chapitre Choisir ses réalisations professionnelles du cours sur l'E5 aide à présenter ce type de réalisation.