Chapitre 614 minIntermédiaire
Sauvegarde et rançongiciel : copies hors ligne et immuables
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- expliquer pourquoi les sauvegardes sont la première cible d'un rançongiciel ;
- choisir entre une copie hors ligne et une copie immuable ;
- cloisonner une infrastructure de sauvegarde selon les recommandations de l'ANSSI ;
- repérer une attaque contre les sauvegardes ;
- restaurer sans réintroduire l'attaquant.
3 exercices corrigés1 schéma
Face à un rançongiciel, une sauvegarde n'est utile que si l'attaquant n'a pas pu la chiffrer ou l'effacer. Or les groupes criminels cherchent précisément les sauvegardes avant de déclencher le chiffrement, pour priver la victime de toute autre issue que la rançon. Se protéger repose sur trois mesures : au moins une copie hors ligne ou immuable, une infrastructure de sauvegarde cloisonnée du reste du système d'information, et des contrôles qui repèrent une attaque contre les sauvegardes. Ce chapitre suit le guide de l'ANSSI Sauvegarde des systèmes d'information, les fondamentaux (version 1.1 de novembre 2025), dont les recommandations sont citées par leur numéro.
Pourquoi les sauvegardes sont la première cible
L'ANSSI le dit dès l'introduction de son guide : il est fréquent qu'un attaquant tente de chiffrer, d'effacer ou de rendre indisponible l'infrastructure de sauvegarde, pour ralentir la reconstruction et augmenter ses chances d'obtenir la rançon. Une attaque par rançongiciel se prépare souvent pendant des jours, parfois des semaines : l'attaquant entre, obtient des droits d'administrateur, explore le réseau, repère les sauvegardes, copie les données pour les menacer de publication, puis seulement sabote et chiffre.
Ce qui rend les sauvegardes vulnérables, ce sont presque toujours les mêmes faiblesses :
- le serveur ou le NAS de sauvegarde est joint au domaine Active Directory : l'administrateur du domaine, que l'attaquant a usurpé, y a tous les droits ;
- le stockage de sauvegarde est monté en lecteur réseau sur les serveurs, accessible en écriture ;
- la console de sauvegarde accepte un compte du domaine, sans authentification forte ;
- toutes les copies sont en ligne, et la rétention est assez courte pour que les sauvegardes les plus anciennes soient déjà postérieures à l'intrusion.
Le déroulé d'une attaque et la réaction pas à pas sont dans le chapitre Attaque par rançongiciel du cours Réponse à incident. Ici, on se concentre sur ce qui rend les sauvegardes hors d'atteinte.
La copie hors ligne
Une sauvegarde hors ligne est sur un support déconnecté de tout système d'information. Aucun logiciel, aucun compte, aucune commande ne peut l'atteindre tant qu'on ne la rebranche pas. C'est la protection la plus robuste : l'ANSSI juge qu'une solution hors ligne reste plus robuste qu'une solution immuable en ligne.
- Les bandes LTO : la cartouche est éjectée après l'écriture et rangée, idéalement dans un autre bâtiment. C'est le moyen que l'ANSSI juge le plus efficace pour cet usage.
- Les disques en rotation : un disque branché le temps de la copie, puis débranché et emporté.
L'ANSSI juge indispensable de mettre en place une sauvegarde hors ligne, ou au moins une sauvegarde hors site en ligne sous certaines conditions, même si elle est moins fréquente que les sauvegardes locales (R12). Une copie hors ligne mensuelle vaut mieux qu'aucune : elle limite la perte à un mois dans le pire scénario, au lieu de tout perdre.
La copie immuable
Une sauvegarde immuable ne peut être ni modifiée ni supprimée pendant une durée fixée à l'écriture, même par un administrateur. On parle aussi de stockage WORM (Write Once, Read Many : écrire une fois, lire autant de fois qu'on veut). L'avantage sur le hors ligne : elle est automatique et quotidienne. La limite : sa robustesse dépend du mécanisme.
| Mécanisme | Principe | Point de vigilance |
|---|---|---|
| Verrouillage des objets S3 (Object Lock) | Chaque objet reçoit une date de fin de rétention avant laquelle il ne peut pas être supprimé | En mode gouvernance, un compte qui a une permission spéciale peut lever le verrou ; en mode conformité, personne ne le peut avant la date, pas même le compte principal |
| Dépôt Linux durci (Veeam Hardened Repository) | Un serveur Linux marque les fichiers de sauvegarde comme non modifiables pendant la rétention | Le serveur ne doit pas être administrable à distance avec des identifiants permanents, sinon l'attaquant lève le marquage |
| Instantanés immuables d'un NAS | Le NAS interdit la suppression des instantanés avant leur échéance | Vérifier qu'un administrateur du NAS ne peut pas raccourcir la durée ou réinitialiser l'appareil depuis l'interface (protéger un NAS contre les rançongiciels) |
| Dépôt en ajout seul (append-only) | Le client peut ajouter des sauvegardes, pas en supprimer (BorgBackup, serveur REST de restic) | La suppression des anciennes sauvegardes se fait depuis une autre machine, avec un autre accès |
| Cartouche WORM | Le support lui-même interdit la réécriture | Coût par cartouche plus élevé ; usage surtout pour l'archivage |
L'ANSSI rappelle deux points dans son tableau sur l'externalisation : la robustesse varie selon que la protection est logicielle (code applicatif) ou matérielle (verrou du support), et il faut des comptes et des droits distincts pour l'écriture (sauvegarder) et la lecture (restaurer). Son compromis acceptable : des sauvegardes régulières sur une solution immuable, et des sauvegardes hors ligne à une fréquence moindre.
Cloisonner l'infrastructure de sauvegarde
Une copie immuable ne suffit pas si l'attaquant peut prendre la main sur le serveur de sauvegarde, modifier les politiques ou voler les clés. L'ANSSI consacre la première partie de ses recommandations à l'architecture.
| Recommandation de l'ANSSI | Ce que cela donne concrètement |
|---|---|
| Serveurs de sauvegarde cloisonnés, dans le SI d'administration ou au moins une zone distincte de la production (R1) | Le serveur de sauvegarde n'est pas dans le VLAN des serveurs qu'il sauvegarde |
| Flux de sauvegarde dans le réseau d'administration et un VLAN dédié (R2, R3) | Un VLAN « sauvegarde » qui ne transporte que ces flux |
| Serveurs hors du domaine Active Directory de production, avec une authentification indépendante (R5) | Comptes locaux ou annuaire d'administration dédié : un administrateur du domaine compromis n'y a aucun droit |
| Flux filtrés strictement par un pare-feu interne ; magasins de données accessibles seulement depuis les serveurs de sauvegarde (R6, R7) | Aucun serveur de production ne peut écrire directement sur le stockage de sauvegarde |
| Flux à l'initiative du serveur de sauvegarde vers les clients (R8) | Le serveur « tire » les données : un serveur compromis ne peut pas ouvrir de session vers la sauvegarde. Proxmox Backup Server fait l'inverse : ce sont les nœuds Proxmox VE qui se connectent à PBS (port TCP 8007). On compense par une règle de pare-feu qui n'autorise que les nœuds vers ce port, un jeton d'API limité à la sauvegarde (sans droit de suppression), et une copie hors site tirée par le PBS distant |
| Actions journalisées et centralisées sur un collecteur (R10) | Une suppression de sauvegarde ou une modification de politique laisse une trace hors de portée de l'attaquant |
| Comptes d'administration nominatifs, dédiés, avec des rôles séparés (R14 à R16) | Un rôle d'exploitation pour le quotidien, un rôle d'administration avancée pour la stratégie |
| Comptes techniques réduits au strict nécessaire, secrets renouvelés (R17) | Le compte qui lit les données sur les serveurs ne sert qu'à cela |
| Mises à jour proactives de tous les composants, suivi des vulnérabilités de l'éditeur (R20) | Les logiciels de sauvegarde sont des cibles connues : leurs failles sont exploitées vite |
Le cloisonnement du réseau, les VLAN, le pare-feu interne et l'administration par bastion sont détaillés dans les chapitres DMZ, VLAN et segmentation et Administration sécurisée du cours Cybersécurité des infrastructures.
Chiffrer les sauvegardes et protéger les clés
Une sauvegarde contient toutes les données de l'entreprise : volée, c'est une fuite massive. L'ANSSI recommande de chiffrer les flux avec une authentification mutuelle entre client et serveur, par exemple en TLS (R28), d'aligner la protection des sauvegardes sur celle des données en production (R29), et de chiffrer systématiquement les supports quand la sécurité physique du lieu de stockage n'est pas satisfaisante (R31).
Le chiffrement crée un nouveau risque : perdre la clé, c'est perdre toutes les sauvegardes. La gestion des clés doit être étudiée (R30) : qui les détient, où elles sont stockées (un coffre-fort de mots de passe, un coffre physique), et comment elles sont elles-mêmes sauvegardées, hors ligne.
Repérer une attaque contre les sauvegardes
L'ANSSI demande un contrôle systématique des sauvegardes par les opérateurs, avec une liste de vérifications qui repère les comportements inhabituels (R21). Les signaux à surveiller :
- un volume de sauvegarde anormal : beaucoup plus gros (des fichiers chiffrés ne se dédupliquent plus et changent tous), ou beaucoup plus petit (des données effacées) ;
- des tâches désactivées, des sauvegardes supprimées, une rétention raccourcie ;
- des connexions à la console depuis un poste inhabituel ou en pleine nuit ;
- la suppression des clichés instantanés de Windows sur les serveurs, souvent faite juste avant le chiffrement.
Ces alertes doivent arriver hors du système compromis : sur le collecteur de journaux, par courriel ou par SMS vers l'astreinte (Journaux, SIEM et détection).
Le bouton rouge et la restauration après une attaque
Isoler d'abord. En cas d'incident de sécurité, la mesure prioritaire doit être d'isoler l'infrastructure de sauvegarde du reste du système d'information (R24). L'ANSSI recommande de prévoir un mode « bouton rouge » : un script qui coupe les flux, ou simplement le commutateur à débrancher, connu de l'astreinte et décrit dans la procédure.
Restaurer sain ensuite. Une sauvegarde peut contenir les outils de l'attaquant : un programme caché, une porte dérobée, un compte créé pendant l'intrusion. L'ANSSI recommande de reconstruire de façon granulaire (R27) :
- réinstaller les systèmes d'exploitation à partir d'images officielles de confiance ;
- réinstaller les applications métier à partir de binaires signés par les éditeurs ;
- contrôler la conformité des configurations avant de redémarrer les applications ;
- analyser les données métier avec un antivirus avant de les réimporter ;
- disposer d'un historique de sauvegardes cohérent avec les besoins métier : en pratique, assez long pour remonter avant l'intrusion, pas seulement avant le chiffrement.
On ne restaure rien tant que la porte d'entrée de l'attaquant n'est pas identifiée et fermée : restaurer sur un réseau où il garde un compte administrateur, c'est lui offrir des données neuves à chiffrer.
Exercices
Exercice 1 sur 3 Auditer la sauvegarde d'Alvéa Réussi À revoir
Au début du cours, Alvéa sauvegarde chaque nuit ses VM sur un NAS de la même baie que le cluster. Le NAS est joint au domaine, son partage est monté sur les hyperviseurs, et l'administrateur du domaine en est administrateur. La rétention est de 14 jours. Relève au moins cinq faiblesses face à un rançongiciel et propose une mesure pour chacune, en citant la recommandation de l'ANSSI quand c'est possible.
Voir la réponseMasquer la réponse de l'exercice 1
- NAS joint au domaine, administré par l'administrateur du domaine : un attaquant qui prend le domaine prend les sauvegardes. Mesure : sortir le NAS (ou mieux, un serveur de sauvegarde dédié) du domaine, avec des comptes locaux ou un annuaire d'administration dédié (R5), nominatifs et à rôles séparés (R14 à R16), avec authentification multifacteur.
- Partage monté sur les hyperviseurs : le stockage est accessible en écriture depuis la production. Mesure : magasin de données accessible uniquement depuis le serveur de sauvegarde (R7), flux initiés par le serveur de sauvegarde (R8), filtrés par un pare-feu interne (R6).
- Même baie, même réseau : pas de cloisonnement. Mesure : serveur de sauvegarde dans une zone distincte, idéalement le SI d'administration (R1), avec un VLAN de sauvegarde dédié (R3).
- Aucune copie hors ligne ni immuable : tout est atteignable. Mesure : copie hors ligne régulière, par exemple une cartouche LTO mensuelle rangée hors site (R11, R12), et une copie quotidienne immuable (stockage objet verrouillé).
- Aucune copie hors site : l'incendie de la salle emporte tout. Mesure : la copie immuable ou les cartouches dans un autre lieu.
- Rétention de 14 jours : une intrusion découverte après trois semaines ne laisse aucune sauvegarde antérieure. Mesure : garder des points hebdomadaires et mensuels sur plusieurs mois (chapitre 7).
- Aucune supervision mentionnée : une suppression passerait inaperçue. Mesure : journalisation centralisée (R10) et contrôle des volumes et des échecs (R21).
Tu avais trouvé ?
Exercice 2 sur 3 Gouvernance ou conformité ? Réussi À revoir
Alvéa active le verrouillage des objets sur son stockage hors site. Le prestataire propose les modes gouvernance et conformité.
- Quelle est la différence entre les deux ?
- Lequel protège le mieux face à un attaquant qui aurait volé les identifiants du compte principal chez l'hébergeur ?
- Quel inconvénient faut-il accepter avec ce mode ?
Voir la réponseMasquer la réponse de l'exercice 2
- En mode gouvernance, les objets sont protégés, mais un compte disposant d'une permission spéciale peut lever le verrou ou raccourcir la rétention. En mode conformité, personne ne peut supprimer l'objet ni raccourcir sa rétention avant la date fixée, pas même le compte principal.
- Le mode conformité : même avec les identifiants les plus puissants, l'attaquant ne peut pas effacer les sauvegardes verrouillées.
- On ne peut pas non plus corriger une erreur : une rétention trop longue ou un volume envoyé par erreur reste facturé jusqu'à l'échéance. Il faut donc choisir la durée avec soin, souvent en testant d'abord en mode gouvernance.
Tu avais trouvé ?
Exercice 3 sur 3 Le lundi matin Réussi À revoir
Un lundi à 7 h 30, la supervision signale que la sauvegarde de la nuit a pesé trois fois plus que d'habitude, et un utilisateur appelle : ses fichiers ont une extension inconnue. Classe dans l'ordre les actions suivantes et dis laquelle ne doit pas être faite tout de suite : (a) restaurer les fichiers de l'utilisateur depuis la sauvegarde de la nuit ; (b) isoler l'infrastructure de sauvegarde du réseau ; (c) prévenir le responsable et déclencher la procédure d'incident ; (d) identifier la dernière sauvegarde antérieure à l'intrusion ; (e) isoler du réseau le poste et les serveurs touchés.
Voir la réponseMasquer la réponse de l'exercice 3
Un ordre raisonnable : (c) prévenir et déclencher la procédure (la décision n'appartient pas au seul technicien) ; (b) isoler l'infrastructure de sauvegarde, la mesure prioritaire selon l'ANSSI ; (e) isoler les machines touchées ; (d) chercher la dernière sauvegarde saine, antérieure à l'intrusion, pendant l'investigation. (b) et (e) peuvent être lancées en parallèle si deux personnes sont là.
(a) ne doit pas être faite tout de suite : la sauvegarde de la nuit, trois fois plus grosse, contient sans doute des fichiers déjà chiffrés, et restaurer sur un réseau où l'attaquant est encore présent ne sert à rien. On restaure seulement une fois la porte d'entrée fermée, depuis une sauvegarde vérifiée (Attaque par rançongiciel).
Tu avais trouvé ?