Protéger ses sauvegardes contre les ransomwares

Aujourd’hui, et de plus en plus, les ransomwares doivent être considérés comme l’ennemi numéro un des données. Il est essentiel de s’assurer que les acteurs malveillants ne parviennent pas à crypter vos données de sauvegarde en même temps que vos données primaires quand ils mènent des attaques de ransomwares. S'ils y parviennent, vous n'aurez pas d'autre choix que de payer la rançon, ce qui les encouragera à recommencer. Pour ne pas avoir à céder à leur chantage, la meilleure solution est de prévoir des sauvegardes pour restaurer les systèmes et les données qui auraient été cryptés par le logiciel de rançon. Et la clé pour protéger ces sauvegardes contre les ransomware est de mettre autant de barrières que possible entre les systèmes de production et les systèmes de sauvegarde. Quoi que vous fassiez, assurez-vous de ne pas laisser l’unique copie de vos sauvegardes dans un répertoire, sur un serveur Windows, et dans le même datacenter que vous essayez de protéger. Voyons précisément ce qu’impliquent ces termes « serveur Windows », « même datacenter » et « répertoire ».

Protégez Windows

La majorité des attaques par ransomware visent des hôtes Windows et se propagent à d'autres hôtes Windows dans l’environnement IT dès qu'un seul hôte est infecté. Une fois que le ransomware s'est propagé à un nombre suffisant d'hôtes, l'attaquant active le programme de cryptage et bloque brusquement l’accès à la totalité des données. La mesure la plus évidente à prendre serait de ne pas utiliser Windows comme serveur d’enregistrement. Malheureusement, beaucoup de produits de sauvegarde populaires fonctionnent principalement sous Windows. La bonne nouvelle, c’est que beaucoup d'entre eux offrent également une alternative Linux. Même si le logiciel de sauvegarde principal doit fonctionner sous Windows, il n’est pas rare que l’éditeur propose aussi un serveur de média Linux en option. Les serveurs de média représentent une excellente alternative car ils peuvent héberger les données que vous voulez protéger. Si vos sauvegardes ne sont accessibles que via des serveurs de média basés sur Linux, les attaques de ransomware contre les serveurs basés sur Windows ne pourront pas les atteindre.

Les sauvegardes régulières sur un serveur de média basé sur Linux sont une bonne chose. Mais, assurez-vous aussi d’y héberger les sauvegardes de votre serveur de sauvegarde principal. Il ne sert à rien de protéger vos sauvegardes contre le cryptage malveillant si la base de données nécessaire pour accéder à ces sauvegardes est elle-même cryptée par le malware. Une autre mesure importante consiste à durcir autant que possible les serveurs de sauvegarde sous Windows. Identifiez les services utilisés par les ransomwares pour attaquer les serveurs (comme le RDP) et désactivez le plus grand nombre d'entre eux. N'oubliez pas que ce serveur est votre dernière ligne de défense et qu’il faut faire passer la sécurité avant la commodité.

Mémoriser hors du datacenter

Quelle que soit la solution de sauvegarde que vous choisissez, les copies de sauvegarde doivent être stockées ailleurs que dans le datacenter principal. Et il ne s’agit pas de déplacer simplement votre serveur de sauvegarde dans une machine virtuelle hébergée dans le cloud. Car si la VM est aussi accessible d'un point de vue électronique qu'elle le serait si elle se trouvait dans le datacenter, elle sera tout aussi facile à attaquer. Il faut configurer les systèmes de sorte que les attaques contre votre datacenter ne puissent pas se propager à vos systèmes de sauvegarde dans le cloud. Pour cela, vous pouvez par exemple utiliser des règles de pare-feu, effectuer des changements de systèmes d'exploitation et de protocoles de stockage. Ainsi, nombre de fournisseurs de cloud offrent du stockage objets et la plupart des produits et services de sauvegarde sont capables d'y écrire des données. Les pirates ont des tactiques d’action sophistiquées, mais pour l’instant, ils n'ont pas encore trouvé de technique pour attaquer les sauvegardes stockées sur un stockage objet. De plus, ces fournisseurs proposent souvent une option d'écriture unique et de lecture multiple (write once/read many), ce qui signifie qu’il est possible de spécifier une période pendant laquelle les sauvegardes ne peuvent pas être modifiées ou supprimées, même par les personnes autorisées.

Certains services de sauvegarde permettent également d’écrire des données sur un stockage accessible uniquement via leur interface utilisateur. Si vous ne pouvez pas voir directement vos sauvegardes, alors le ransomware ne peut pas le voir non plus. L'idée est d’effectuer ses sauvegardes – ou au moins une copie des sauvegardes – aussi loin que possible d'un système Windows potentiellement infecté. Mettez vos sauvegardes dans le cloud d'un fournisseur protégé par des règles de pare-feu, utilisez un système d'exploitation différent pour vos serveurs de sauvegarde, Linux en l’occurrence, et écrivez vos sauvegardes sur un autre type de stockage.

Supprimez l'accès du système de fichiers aux sauvegardes

Si votre système de sauvegarde écrit des sauvegardes sur le disque, faites en sorte que ces sauvegardes ne soient pas accessibles via un répertoire de système de fichiers standard. Par exemple, le répertoire « E:\backups » est sans aucun doute le pire endroit possible pour enregistrer ses données de sauvegarde. Les ransomwares ciblent spécifiquement les répertoires portant des noms de ce type et ne se priveront pas de crypter vos sauvegardes. Cela signifie que vous devez trouver un moyen de stocker ces sauvegardes sur le disque de manière à ce que le système d'exploitation ne les voit pas comme des fichiers. Par exemple, l'une des configurations de sauvegarde les plus courantes consiste à mettre en place un serveur de sauvegarde qui écrit ses données de sauvegarde dans une baie de déduplication cible montée sur le serveur de sauvegarde via le protocole Server Message Block (SMB) ou le système de fichiers en réseau Network File System (NFS). Or, si un ransomware parvient à infecter ce serveur, il pourra chiffrer ces sauvegardes sur ce système de déduplication cible car elles sont accessibles via un répertoire. Vous devez trouver une solution pour permettre à votre produit de sauvegarde d'écrire dans votre baie de déduplication cible sans utiliser SMB ou NFS. Tous les produits de sauvegarde courants offrent de telles options.

Quid des systèmes sur bande ?

Eh oui, il y a toujours ces bons vieux systèmes sur bande ! La bande est vraiment la solution idéale quand on veut copier la sauvegarde de la nuit dernière ou de la semaine dernière sur un autre support que l’on pourra envoyer ensuite hors site pour le protéger contre les attaques de ransomware. Même le meilleur des ransomwares sera totalement incapable d'infecter vos sauvegardes si vous les retirez de la bibliothèque de bandes et si vous les confiez à un service sur bande sécurisé comme Iron Mountain. Parfois, les anciennes méthodes sont les meilleures.

Multipliez les barrières

Ne facilitez pas la tâche aux ransomwares. Ne leur permettez pas de voir vos fichiers et de crypter vos sauvegardes. Ne les stockez pas sur un serveur Windows si possible et stockez au moins une copie de votre sauvegarde dans un endroit électroniquement inaccessible depuis votre datacenter. Enfin, configurez votre système de sauvegarde de sorte que les sauvegardes ne puissent pas être vues comme des fichiers sur votre serveur de sauvegarde. En un mot, donnez-vous au moins une chance de résister en cas d'attaque par un ransomware.