Une mauvaise stratégie de sauvegarde pourrait vous exposer à un risque d'extorsion
Dans un précédent article de blog consacré à la complaisance vis-à-vis du cloud et aux risques liés à Microsoft 365, nous avons évoqué l’hypothèse dangereuse selon laquelle, si les données se trouvent « dans le cloud », elles sont forcément sauvegardées et protégées.
Mais cela va à l'encontre du modèle de responsabilité partagée des fournisseurs de services cloud. Ceux-ci indiquent clairement que les clients doivent organiser eux-mêmes leurs sauvegardes.
Vous avez donc fait le nécessaire. Vous comprenez le fonctionnement du système, vous avez mis en place des sauvegardes et vous vous sentez en sécurité. Vous êtes désormais à l'abri, n'est-ce pas ?
Peut-être pas.
Les cybercriminels en ont après ces sauvegardes, et compte tenu de l'évolution des menaces, la manière dont vous effectuez vos sauvegardes est tout aussi importante.
Le cloud est devenu le centre de données des PME
Depuis des années, les entreprises ont adopté les services cloud pour leur flexibilité, leur évolutivité et leur facilité de gestion. En conséquence, elles ne se sont pas contentées d’ajouter des services cloud : elles y ont de fait transféré l’intégralité de leur centre de données. Selon Cloudtech, plus des deux tiers des charges de travail et des données se trouvent désormais dans le cloud.
Le problème, c'est que les personnes mal intentionnées le savent, et qu'elles s'y sont adaptées.
Selon le rapport mondial sur les menaces 2024 de CrowdStrike, on constate une augmentation de 75 % des intrusions dans le cloud, 62 % d'entre elles résultant de l'utilisation frauduleuse de comptes valides.
La tendance est claire. Plutôt que de se contenter d'utiliser des logiciels malveillants, les pirates ciblent de plus en plus les identités et exploitent des accès légitimes. Et grâce à l'IA, ils accélèrent et multiplient ces attaques à un rythme sans précédent.
L'objectif n'est plus simplement de crypter des données. Il s'agit désormais de prendre le contrôle de systèmes critiques de l'entreprise et de se créer un moyen de pression à des fins d'extorsion.
Les pirates suivent la trace des données
À mesure que les données ont migré vers les plateformes cloud et les applications SaaS, la surface d'attaque a évolué en conséquence. Aujourd'hui, les cybercriminels adaptent de plus en plus leurs tactiques pour cibler les identités, puis compromettre les sauvegardes, ce qui signifie que la stratégie de restauration devient tout aussi cruciale que la prévention.
Si un pirate parvient à prendre le contrôle d'un compte privilégié, il peut souvent contourner les contrôles de sécurité traditionnels et accéder aux systèmes de production, aux outils d'administration et aux sauvegardes. À partir de là, il peut désactiver, modifier ou supprimer des points de restauration, ce qui aggrave considérablement l'impact d'un incident.
Les résultats donnent à réfléchir : 94 % des victimes voient leurs sauvegardes prises pour cible par les cybercriminels. Ces derniers savent bien que, pour de nombreuses entreprises, ces sauvegardes constituent leur « police d’assurance » et que, si elles leur sont retirées, elles n’ont plus aucun filet de sécurité. Elles se retrouvent alors vulnérables au chantage.
Si des pirates prennent le contrôle de votre tenant, ils contrôlent vos sauvegardes
Comme le dit le vieil adage : il ne faut pas mettre tous ses œufs dans le même panier.
Une faille de conception courante dans les environnements cloud consiste à stocker les sauvegardes au sein du même tenant et de la même zone de sécurité que les charges de travail de production. Dans ce cas, les sauvegardes héritent souvent des mêmes identités, autorisations et contrôles administratifs que les systèmes qu’elles sont censées protéger. Si un compte est compromis, les sauvegardes le sont également.
Vous ne pouvez pas compter sur des fournisseurs comme Microsoft pour empêcher ce genre d'intrusions. Ils peuvent certes vous aider à mettre en place des mesures visant à limiter les conséquences des violations de sécurité, mais en fin de compte, leur responsabilité se limite à garantir la disponibilité de la plateforme. Les données, les identités, les configurations et l'utilisation de ces services relèvent en dernier ressort de la responsabilité du client.
Mais surtout, les plateformes cloud ne sont pas en mesure de déterminer l'intention. Si une requête est effectuée à l'aide d'identifiants valides et de droits d'accès suffisants, la plateforme ne dispose d'aucun moyen fiable de savoir si l'action est effectuée par un employé autorisé ou par un pirate utilisant des identifiants volés.
Construire pour renforcer la résilience
C'est là qu'intervient la cyber-résilience. Il ne s'agit pas seulement de prévenir les incidents. Il s'agit de concevoir des environnements de manière à ce que, lorsqu'un incident survient, vous puissiez le maîtriser, vous remettre rapidement sur pied et assurer la continuité de l'activité.
Quand on parle de cyber-résilience dans le cloud, tout se résume en réalité à quelques principes fondamentaux.
Des contrôles rigoureux en matière d'identité et d'accès réduisent le risque de compromission, mais la résilience passe également par la protection des sauvegardes elles-mêmes, grâce à leur immuabilité et à leur isolation.
Une fois de plus, la formation 3-2-1-1-0 est la défense la plus solide :
- 3 copies des données (pour se prémunir contre toute perte de données)
- 2 formats différents (enregistrés sur au moins deux types de supports)
- 1 copie hors site (pour se prémunir contre les sinistres physiques)
- 1 copie immuable (garantissant des sauvegardes à l'épreuve des ransomwares)
- Il ne fait aucun doute que vous pourrez récupérer vos données (des tests réguliers garantissent la fiabilité)
Le recours à des technologies telles que le stockage WORM (Write Once Read Many) ou les instantanés immuables garantit que, même si un pirate parvient à obtenir des privilèges d'administrateur, il ne pourra pas modifier ou supprimer facilement vos points de restauration.
Il est essentiel de vérifier que votre système de récupération fonctionne correctement
C'est le « 0 » de l'approche 3-2-1-1-0. Il ne s'agit pas simplement d'avoir des sauvegardes. Il s'agit de savoir si vous êtes capable de vous remettre en état de marche lorsqu'un problème survient. Si vous n'avez pas testé, validé et démontré votre capacité à restaurer rapidement vos données, vous ne pouvez qu'espérer que cela fonctionne au moment où vous en aurez le plus besoin.
Et c'est là que le défi commence. De nombreuses organisations partent du principe qu'elles seront en mesure de se remettre d'une attaque, mais sans plan de reprise après sinistre éprouvé, cette hypothèse relève du pari. Les entreprises qui n'en disposent pas mettent souvent plusieurs semaines à se remettre d'une attaque.
Les trois questions auxquelles vous devez pouvoir répondre sont les suivantes :
- Mes sauvegardes sont-elles réellement exploitables ?
- Où puis-je restaurer mes charges de travail si l'environnement principal est compromis ?
- Dans quelle mesure le processus de reprise peut-il être automatisé plutôt que d'être reconstitué manuellement dans l'urgence ?
Si vous ne pouvez pas répondre à ces questions avec certitude, vous exposez vos données à un risque de rançon.
Lisez le guide complet de Datto sur la BCDR : « Pourquoi la sauvegarde et la reprise après sinistre sont-elles essentielles? »
