Sauvegarde immuable : une copie que personne ne peut supprimer
Le rançongiciel s’attaque d’abord à la sauvegarde. Si l’on atteint votre sauvegarde avec les mêmes identifiants que les systèmes qu’elle protège, ce n’est pas une sauvegarde : c’est une deuxième cible.
Une sauvegarde immuable est une copie qui ne peut être ni modifiée ni supprimée pendant une durée de rétention fixée, pas même par un administrateur. Veeam le permet via des dépôts durcis et du stockage objet avec verrouillage, et c’est la défense la plus efficace contre une sauvegarde chiffrée en même temps que le reste.
La règle pratique est 3-2-1-1-0 : trois copies, sur deux types de support, une hors site, une immuable ou déconnectée, et zéro erreur au dernier test de restauration vérifié.
Le chiffre qui compte n’est pas la fréquence des sauvegardes mais le temps nécessaire pour repartir. Fixez par écrit le délai de reprise, puis prouvez-le une fois par an par une restauration réelle.
Pourquoi l’immuabilité a changé le calcul
Pendant des années, le conseil standard a été trois copies, deux supports, une hors site. C’est toujours juste, mais cela suppose que ce dont vous vous remettez est un incendie ou un disque en panne. Le rançongiciel moderne est patient : il entre, attend, observe quel compte exécute le travail de sauvegarde, puis supprime ou chiffre le dépôt avant de toucher quoi que ce soit de visible.
L’immuabilité supprime cette possibilité. Une fois un point de restauration écrit, il ne peut être ni modifié ni supprimé avant l’expiration de sa rétention, quelle que soit la personne qui le demande. Un attaquant disposant des droits complets d’administrateur de domaine ne peut toujours pas effacer la journée d’hier.
La règle 3-2-1-1-0 en pratique
| Chiffre | Signifie | En pratique |
|---|---|---|
| 3 | Trois copies des données | La copie en production plus deux sauvegardes |
| 2 | Sur deux types de support différents | Un équipement local plus du stockage objet, par exemple |
| 1 | Une copie hors site | Un second site ou une cible cloud, pas la même salle serveurs |
| 1 | Une copie immuable ou déconnectée | Dépôt durci, verrouillage objet ou support réellement débranché |
| 0 | Zéro erreur au dernier test de restauration | Une restauration vérifiée, pas un journal de travail au vert |
Le dernier chiffre est celui où la plupart des organisations échouent en silence. Un travail de sauvegarde au vert signifie que la copie a été écrite. Il ne signifie pas que cette copie peut redevenir un système qui fonctionne.
RTO et RPO, sans le jargon
Deux chiffres guident chaque décision de conception, et tous deux relèvent du métier avant de relever de la technique.
- Objectif de point de reprise. La quantité de travail que vous acceptez de perdre. Avec une sauvegarde nocturne, la réponse est jusqu’à une journée. Pour un système de caisse ou un système de gestion d’entrepôt, une journée est généralement inacceptable et la réponse doit se compter en minutes.
- Objectif de temps de reprise. La durée d’arrêt que vous pouvez supporter. C’est le chiffre que l’on sous-estime, car restaurer deux téraoctets via une connexion dimensionnée pour du bureautique prend nettement plus longtemps que de les copier en local.
Nous mettons les deux par écrit avant de concevoir quoi que ce soit, et nous concevons pour les tenir plutôt que pour remplir un disque. C’est ce que couvre sauvegarde et continuité.
Avec quoi nous le construisons
- Veeam pour la sauvegarde et la réplication des charges virtuelles, physiques et cloud, avec des dépôts durcis pour la copie immuable. C’est notre choix par défaut parce qu’il couvre VMware, Hyper-V, Microsoft 365 et les serveurs physiques depuis une seule console.
- Synology pour le stockage réseau par site et comme cible de restauration locale, ce qui rend possible une reprise rapide sans tout rapatrier par internet.
- Datto lorsqu’une restauration locale très rapide compte plus que la profondeur d’archive, typiquement sur les petits sites qui ne tolèrent pas un arrêt long.
- Schneider Electric pour les onduleurs et l’alimentation des baies. Un arrêt maîtrisé évite la corruption qui transforme une coupure de courant en restauration.
- Azure ou AWS, stockage objet avec verrouillage activé pour la copie immuable hors site.
Microsoft 365 n’est pas sauvegardé pour vous
Celle-ci surprend encore. Microsoft garantit la disponibilité du service, pas la récupérabilité de votre contenu une fois la fenêtre de rétention passée. Boîtes aux lettres supprimées, sites SharePoint purgés et canal Teams que quelqu’un a nettoyé sont récupérables pendant une période limitée, puis ils ont disparu.
Si votre organisation fonctionne sur Microsoft 365, sauvegardez-le séparément. C’est peu coûteux au regard de l’exposition, et c’est la lacune que nous rencontrons le plus souvent en reprenant un environnement.
Le test de restauration est tout l’enjeu
Une sauvegarde que vous n’avez jamais restaurée est une hypothèse. Une fois par an, nous restaurons un système réel depuis un point de restauration réel, dans un environnement isolé, et nous notons le temps que cela a pris. Ce chiffre entre dans le rapport, et s’il ne correspond pas au délai de reprise convenu, nous changeons la conception et non la promesse.
Le test met aussi au jour les pannes ennuyeuses : l’application qui réclame une licence que personne n’a conservée, le serveur qui ne démarre pas sans un contrôleur de domaine restauré en second, la base de données qui revient mais sans ses tâches planifiées. Rien de tout cela n’apparaît dans un journal de sauvegarde.
Ce que vous devriez voir chaque mois
Le taux de réussite des sauvegardes par système, l’âge du point de restauration le plus ancien et le plus récent, la capacité utilisée par rapport à la capacité disponible, et tout travail ayant échoué deux fois de suite. En dessous de cela, on vous demande de faire confiance à une coche verte.
Ce rapport fait partie de la gouvernance de service, il arrive donc à un rythme fixe et non lorsque quelqu’un le réclame.
Ce qu’on nous demande à ce sujet
Ce qui revient dans chaque conversation sur la continuité.
Qu’est-ce qu’une sauvegarde immuable ?
Une copie qui ne peut être ni modifiée ni supprimée avant l’expiration de sa période de rétention, pas même par quelqu’un disposant des droits d’administrateur. Elle est créée à l’aide d’un dépôt durci ou d’un stockage objet avec verrouillage, et c’est ce qui empêche un rançongiciel de chiffrer votre option de reprise en même temps que vos systèmes de production.
Microsoft sauvegarde-t-il Microsoft 365 ?
Pas comme la plupart des gens le supposent. Microsoft protège la disponibilité de la plateforme et propose une rétention limitée des éléments supprimés, mais une fois cette fenêtre passée, le contenu a disparu. Une sauvegarde distincte de Microsoft 365 fait partie de tout schéma de continuité que nous construisons.
À quelle fréquence tester une restauration ?
Au moins une fois par an pour la restauration complète d’un système, et en continu par vérification automatique là où l’outillage le permet. Le test annuel est ce qui transforme une supposition en un chiffre présentable à une direction ou à un auditeur.
De quoi dépend un schéma de sauvegarde ?
Du volume de données et de la rapidité avec laquelle vous devez repartir. La variable coûteuse est le délai de reprise, pas le stockage : repartir en une heure demande nettement plus que repartir en une journée. Nous présentons les deux pour que vous décidiez quels systèmes justifient quoi.
Où cela s’inscrit dans notre travail
Où la continuité se raccorde.
Envie qu’on regarde vos propres sites ?
Une demi-heure au téléphone suffit généralement à savoir si nous sommes le bon interlocuteur, et nous le dirons si ce n’est pas le cas.