On a beau se dire « ça n’arrive qu’aux autres », un ransomware ne prévient pas. Un matin, ça chiffre. Tout. Les partages, le NAS, les VM, parfois même les sauvegardes. Et là, on découvre un truc un peu brutal : une sauvegarde classique, c’est bien… jusqu’au jour où l’attaquant a aussi les droits d’admin.
C’est là que la sauvegarde immuable devient une vraie bouée. Pas magique, pas « anti tout », mais concrète, pratique, et surtout, très difficile à détruire même quand le SI est compromis.
C’est quoi une sauvegarde immuable, au juste ?
Une sauvegarde immuable, c’est une sauvegarde qui ne peut pas être modifiée ni supprimée pendant une période donnée. Même par un administrateur. Même avec des identifiants volés. Même si un malware tente de faire le ménage.
Le concept clé, c’est le WORM : « write once, read many ». On écrit, on lit, mais on ne réécrit pas, on n’efface pas. Avant la fin de la rétention.
En pratique, l’immutabilité peut être assurée de plusieurs façons :
- par le stockage objet avec verrouillage (object lock)
- par des snapshots immuables côté appliance ou OS
- par des bandes (oui, encore) avec une gestion rigoureuse
- par des coffres de sauvegarde isolés (vault) avec politiques fortes
Et non, un simple disque externe « débranché de temps en temps » ce n’est pas de l’immutabilité. C’est mieux que rien, mais c’est autre chose.
Pourquoi les ransomwares adorent vos sauvegardes
Parce que c’est le plan B. Donc ils le cassent en premier.
La majorité des attaques modernes cherchent, dès le début, à :
- récupérer des identifiants à privilèges (AD, vCenter, consoles backup)
- désactiver les jobs, supprimer les répertoires de sauvegarde
- chiffrer les volumes qui stockent les backups
- effacer les snapshots accessibles
Et si la sauvegarde est accessible en lecture et écriture depuis le réseau, vous avez déjà une partie de la réponse.
L’idée de l’immutabilité, c’est simple : même si l’attaquant prend la main, il ne peut pas remonter le temps en supprimant vos points de restauration.
Le modèle qui marche vraiment : 3-2-1-1-0 (et pas juste 3-2-1)
On connaît le 3-2-1. Mais en 2026, il manque un étage.
- 3 copies des données
- 2 supports différents
- 1 copie hors site
- 1 copie offline ou immuable
- 0 erreur de restauration (testée)
Le « 0 » est important, parce qu’une sauvegarde non testée… c’est un espoir, pas un plan.
Comment mettre en place une vraie stratégie immuable
Je vais le dire comme je le ferais sur Le Blog Tech Pro de Samyn-Antoy ABASSE : commencez simple, mais commencez correctement. Et surtout, découpez en couches. Une seule techno ne suffit pas toujours.
1) Séparer les rôles et casser les chemins d’attaque
Un ransomware adore les environnements « plats ». Donc :
- compte backup dédié, pas le même que l’admin infra
- MFA sur la console de sauvegarde (obligatoire)
- pas d’accès direct des postes utilisateurs aux dépôts
- réseau de sauvegarde séparé si possible
- journaux d’audit envoyés hors du domaine (syslog externe)
C’est un peu pénible à mettre, oui. Mais c’est là que vous gagnez du temps le jour J.
2) Utiliser l’object storage avec verrouillage (object lock)
Si vous utilisez un stockage objet compatible S3, vous pouvez activer un verrouillage de rétention. L’objet est stocké et devient « gelé » jusqu’à expiration.
Deux modes existent souvent :
- governance : contournable par des comptes très privilégiés (selon config)
- compliance : beaucoup plus strict, conçu pour ne pas être contourné
Le bon réflexe : viser une configuration où même un admin compromis ne peut pas raccourcir la rétention.
3) Ajouter une copie « vault » ou hors site
Le hors site, ce n’est pas forcément « le cloud », c’est surtout « ailleurs » :
- autre site physique
- autre compte cloud
- autre tenant
- autre domaine d’administration
L’idée : si votre AD est à genoux, vos sauvegardes critiques doivent rester récupérables.
4) Définir des rétentions réalistes (et pas au hasard)
Un exemple simple de politique :
- 14 jours en immuable (restauration rapide)
- 2 à 3 mois en immuable (détection tardive, ransom dormant)
- 1 an en archive (selon conformité)
Le ransomware peut rester silencieux. Donc si vous n’avez que 7 jours… vous pouvez restaurer un système déjà contaminé. Et ça, c’est la double peine.
Le plan de survie le jour où ça chiffre
Ok, imaginons. Ça vient d’arriver. Respirez. Puis, dans cet ordre :
- isoler : couper les flux, segmenter, débrancher ce qui propage
- ne pas réinstaller dans le noir : collecter les indices (journaux, horodatage, patient zero)
- vérifier l’état des sauvegardes immuables : rétention, intégrité, accès
- restaurer d’abord l’identité et les services pivots : AD, DNS, hyperviseur, outils de gestion
- restaurer les données par priorité : ce qui fait tourner le business
- changer les secrets : mots de passe, clés API, tokens, certificats
- corriger la faille initiale : sinon rechute, parfois en 48 heures
Et surtout : faites une restauration test sur une zone isolée. Oui, même en crise. Parce que restaurer un backup chiffré ou infecté… ça arrive.
Les erreurs que je vois tout le temps (et qui coûtent cher)
- croire que « snapshot = sauvegarde »
- mettre les backups sur un partage SMB simple
- console backup jointe au domaine, sans MFA
- mêmes identifiants pour tout
- pas de tests de restauration
- pas de copie hors site
- rétention trop courte
Ça paraît basique. Mais c’est exactement ce que les attaquants exploitent.
Conclusion : l’immutabilité, c’est votre dernier mot
La sauvegarde immuable ne remplace pas la sécurité, ni la segmentation, ni le patching. Mais quand le ransomware passe, elle change tout : vous reprenez la main. Vous restaurez. Vous redémarrez sans négocier.
Si vous voulez, je peux publier une checklist plus opérationnelle sur monblog-sa-abasse.blogspot.com avec un modèle 3-2-1-1-0, une matrice de rétention, et une liste de tests de restauration à faire chaque mois. Le genre de doc qu’on est content d’avoir imprimée le jour où plus rien ne marche.
Questions fréquemment posées
Qu'est-ce qu'une sauvegarde immuable et pourquoi est-elle essentielle contre les ransomwares ?
Une sauvegarde immuable est une sauvegarde qui ne peut être ni modifiée ni supprimée pendant une période définie, même par un administrateur ou en cas de compromission du système. Elle repose sur le principe WORM (Write Once, Read Many) et constitue une protection concrète contre les ransomwares qui cherchent à effacer ou chiffrer les sauvegardes classiques.
Comment les ransomwares ciblent-ils généralement les sauvegardes ?
Les ransomwares cherchent dès le début d'une attaque à récupérer des identifiants à privilèges, désactiver les jobs de sauvegarde, supprimer les répertoires de sauvegarde, chiffrer les volumes contenant les backups et effacer les snapshots accessibles. Ils visent donc directement la disponibilité des sauvegardes pour maximiser leur impact.
Quelle est la différence entre une sauvegarde immuable et un simple disque externe débranché ?
Un disque externe débranché offre une certaine protection physique mais n'assure pas l'immutabilité : il peut être modifié ou effacé lorsqu'il est connecté. La sauvegarde immuable garantit que les données ne peuvent être modifiées ni supprimées pendant la période de rétention, même avec des accès administrateurs compromis ou des malwares actifs.
Que signifie la règle 3-2-1-1-0 pour une stratégie de sauvegarde efficace ?
La règle 3-2-1-1-0 signifie : 3 copies des données, sur 2 supports différents, avec 1 copie hors site, 1 copie offline ou immuable, et 0 erreur lors des tests de restauration. Cette extension du classique 3-2-1 intègre l'immutabilité et l'importance cruciale de tester régulièrement ses sauvegardes pour garantir leur fiabilité.
Quelles sont les bonnes pratiques pour mettre en place une stratégie de sauvegarde immuable ?
Il faut commencer par séparer les rôles avec des comptes dédiés à la sauvegarde, activer le MFA sur la console de backup, éviter l'accès direct aux dépôts depuis les postes utilisateurs, isoler le réseau de sauvegarde si possible, envoyer les journaux d'audit hors domaine et utiliser un stockage objet compatible S3 avec verrouillage (object lock) configuré en mode compliance pour empêcher toute suppression prématurée.
Comment fonctionne le verrouillage d'objets (object lock) dans le stockage objet pour assurer l'immutabilité ?
Le verrouillage d'objets permet de « geler » un objet stocké jusqu'à l'expiration d'une période définie. Il existe deux modes : governance (contournable par certains comptes privilégiés selon configuration) et compliance (strictement non contournable). Le mode compliance est recommandé pour garantir que même un administrateur compromis ne puisse pas modifier ou supprimer les données avant la fin de la rétention.
0 Commentaires