Consultant détection & continuité
4 PME ont vu leurs sauvegardes effacées avant le chiffrement — les 7 étapes d’immuabilité que j’impose désormais
TL;DR
- • 4 PME accompagnées en 18 mois : dans les 4 cas, l’attaquant a effacé les sauvegardes avant de chiffrer. Trois appliquaient pourtant le 3-2-1.
- • La distinction qui décide de tout : un verrou appliqué par le stockage (mode conformité), pas par le logiciel de sauvegarde.
- • L’étape la plus sautée est la nº 4 : le compte qui écrit les sauvegardes ne doit pas pouvoir les effacer. Elle aurait suffi dans les 4 cas.
- • L’étape qui prouve : essayer soi-même d’effacer une sauvegarde. Sans elle, vous avez une case cochée, pas une protection.
- • 3 jours de mise en place, 40 à 180 EUR/mois, et le plus souvent sans changer d’outil.
Une sauvegarde qu’un rançongiciel peut effacer n’est pas une sauvegarde. C’est une copie de travail avec un nom rassurant.
Je le formule aussi sèchement parce que j’ai vu quatre PME en dix-huit mois découvrir ce principe au pire moment. Toutes les quatre avaient des sauvegardes. Trois d’entre elles appliquaient même correctement la règle 3-2-1 : trois copies, deux supports, une hors site. Et dans les quatre cas, l’attaquant a effacé les sauvegardes avant de chiffrer les serveurs, parce que le compte qui écrivait les sauvegardes pouvait aussi les supprimer.
Voici la méthode en sept étapes que j’applique désormais systématiquement. Elle demande trois jours de travail et coûte entre 40 et 180 euros par mois pour un périmètre de PME. Elle ne remplace pas votre sauvegarde actuelle : elle la rend résistante.
Immuable, verrouillé, hors ligne : la différence compte
Le vocabulaire est flou dans les brochures commerciales, et cette confusion coûte cher. Trois notions distinctes :
Hors ligne signifie physiquement déconnecté : une bande, un disque externe rangé dans un coffre. Très efficace, très contraignant, et presque toujours abandonné au bout de quelques mois parce que personne ne veut brancher un disque chaque soir.
Verrouillé par le logiciel signifie que votre outil de sauvegarde refuse la suppression. C’est le piège principal : si l’attaquant obtient les droits d’administration de cet outil — ce qui est précisément son objectif — il désactive le verrou avec le reste.
Immuable signifie que le verrou est appliqué par le stockage lui-même, en dessous du logiciel de sauvegarde, et qu’il n’existe aucune commande permettant de le lever avant l’échéance — pas même pour le propriétaire du compte. C’est cette dernière propriété qui fait la différence, et c’est la seule qui compte.
Pourquoi le 3-2-1 seul ne suffit plus
Le test qui tranche en une phrase
Posez cette question à votre prestataire ou à votre équipe : « si un attaquant obtient mon compte administrateur, peut-il supprimer les sauvegardes ? » Si la réponse est oui, ou « il faudrait qu’il désactive d’abord telle option », vous n’avez pas de sauvegarde immuable. Une vraie réponse est : « non, le stockage refusera la suppression jusqu’à l’échéance, quelles que soient les autorisations. »
Étape 1 — Lister ce qui doit survivre, pas ce qu’on sauvegarde
La tentation est de répondre « tout ». C’est ce qui fait exploser le coût et abandonner le projet au bout de trois semaines.
Écrivez la liste des jeux de données sans lesquels l’entreprise ne peut pas redémarrer. En PME, cette liste comporte généralement quatre à huit entrées : la comptabilité et la facturation, le fichier clients, les documents contractuels, la messagerie, la base de production métier, et selon les cas les plans ou les dossiers techniques.
Ce qui ne figure pas dans cette liste continue d’être sauvegardé normalement. Seule la liste courte passe en immuable, parce que c’est elle qui décide si vous redémarrez.
Étape 2 — Fixer une perte tolérable et un délai de reprise par jeu
Deux chiffres par entrée de la liste, et il faut les obtenir de la direction, pas de l’informatique.
La perte tolérable répond à : combien d’heures de travail peut-on refaire ? Elle détermine la fréquence des sauvegardes. Le délai de reprise répond à : combien de temps peut-on rester à l’arrêt ? Il détermine l’architecture, et c’est lui qui coûte de l’argent.
L’exercice a une vertu indépendante de la technique : il fait dire à voix haute qu’une reprise en quatre heures n’est pas au même prix qu’une reprise en trois jours. Chez trois de mes quatre clients, cette conversation a révélé que la direction croyait disposer d’une reprise en une journée alors que la restauration réelle prenait cinq jours.
Étape 3 — Choisir un mécanisme de verrou côté stockage
C’est le choix technique central, et il se résume à une exigence : le verrou doit être appliqué par le stockage.
Concrètement, cela signifie un stockage objet disposant d’un verrouillage d’objets, configuré en mode conformité plutôt qu’en mode gouvernance. La distinction est essentielle : le mode gouvernance autorise un compte suffisamment privilégié à lever le verrou, ce qui reproduit exactement le problème qu’on cherche à éviter. Le mode conformité ne le permet à personne, y compris à vous, jusqu’à l’échéance.
Cette dernière phrase est une contrainte réelle qu’il faut accepter en connaissance de cause : si vous verrouillez par erreur un volume énorme pour cinq ans, vous paierez ce stockage pendant cinq ans. D’où l’étape 5.
Vos sauvegardes survivraient-elles à votre propre compte administrateur ?
Nous testons vos sauvegardes en conditions réelles : tentative de suppression, mesure de la rétention effective, restauration chronométrée. Trois jours, sans changement d’outil imposé. Téléphone : +33 6 32 64 24 80.
Lance-toi →Étape 4 — Séparer les identités : le compte qui écrit ne doit pas pouvoir effacer
Voici l’étape la plus sautée de la liste, et celle qui détermine si les six autres servent à quelque chose.
Dans une configuration ordinaire, un compte unique fait tout : il écrit les sauvegardes, gère la rétention, purge les anciennes. Ce compte est stocké sur un serveur du réseau. Quand l’attaquant prend ce serveur, il prend le compte, et avec lui la capacité de tout effacer.
Il faut donc trois identités distinctes, et cette séparation ne coûte rien d’autre que de la rigueur :
- Le compte d’écriture — utilisé par l’outil de sauvegarde. Il peut créer, il ne peut ni modifier ni supprimer. C’est celui qui sera compromis, et ce n’est pas grave.
- Le compte de restauration — en lecture seule, utilisé uniquement lors des restaurations et des tests. Il ne vit pas sur le réseau de production.
- Le compte d’administration du stockage — qui gère les règles de rétention. Second facteur résistant à l’hameçonnage obligatoire, deux détenteurs, jamais utilisé pour l’exploitation courante.
Sur les quatre incidents que j’ai suivis, les quatre auraient été sans conséquence majeure avec cette seule séparation en place. Pas avec un meilleur outil : avec trois comptes au lieu d’un.
Les 7 étapes, et les deux que presque personne ne fait
Étape 5 — Régler la durée de verrouillage au-dessus du délai de détection
La durée de verrouillage doit dépasser le temps qu’il vous faudrait réellement pour détecter une compromission. Pas le temps que vous espérez : celui que vos journaux permettent.
Un attaquant ne chiffre pas le jour de son entrée. Il reste, observe, repère les sauvegardes. Si votre verrou dure sept jours et que l’intrusion date de trois semaines, les sauvegardes saines sont déjà sorties de la fenêtre de protection.
En PME, un réglage raisonnable se situe entre 30 et 45 jours pour les sauvegardes quotidiennes, avec quelques points mensuels conservés plus longtemps. Si vous ne savez pas estimer votre délai de détection, c’est le signe qu’il faut d’abord traiter la journalisation — sujet que couvre notre méthode sur la journalisation en sept étapes avant tout SIEM.
Étape 6 — Tenter d’effacer vous-même une sauvegarde
C’est le seul test qui prouve quoi que ce soit, et il prend dix minutes.
Avec le compte le plus privilégié dont vous disposez, essayez réellement de supprimer une sauvegarde verrouillée. Puis essayez de raccourcir la durée de rétention. Puis essayez d’écraser un objet existant.
Les trois doivent échouer. Consignez les messages d’erreur avec la date dans un document : c’est votre preuve, et c’est aussi ce que demandera un auditeur ou un assureur.
L’erreur que je vois le plus souvent
Une case a été cochée dans une console, personne n’a jamais vérifié qu’elle produisait un effet, et l’entreprise vit dix-huit mois avec la conviction d’être protégée. Sur deux des quatre incidents que j’ai suivis, l’option d’immuabilité était activée — mais en mode gouvernance, donc contournable par le compte administrateur que l’attaquant avait obtenu. Sans l’étape 6, vous avez une option cochée, pas une sauvegarde immuable.
Étape 7 — Restaurer pour de vrai, et chronométrer
Une sauvegarde jamais restaurée n’est pas une sauvegarde. Vous le savez, et vous ne l’avez probablement pas fait ce trimestre.
Une fois par trimestre, restaurez un jeu complet depuis la copie immuable, sur un environnement séparé, et notez trois choses : la durée réelle de bout en bout, ce qui a manqué — il manque toujours quelque chose, souvent un mot de passe de service ou un certificat — et la personne capable de le refaire seule.
Ce troisième point est celui qu’on oublie. Une procédure que seule une personne sait exécuter est une procédure qui échouera le jour où cette personne sera en congés — et les attaques se déclenchent préférentiellement pendant les week-ends et les vacances.
Chez mes quatre clients, la durée réelle de restauration complète s’est établie entre 6 heures et 3 jours. Aucun n’avait estimé correctement avant de mesurer, et tous avaient sous-estimé.
Ce que cela coûte réellement
| Poste | Coût PME | Remarque |
|---|---|---|
| Stockage objet immuable | 40 à 180 EUR/mois | Selon volume et rétention |
| Mise en place | 3 jours | Dont 1 jour pour l’étape 4 |
| Test trimestriel | Une demi-journée | Non négociable |
| Changement d’outil | 0 EUR | La plupart des outils gèrent déjà le verrou objet |
Le dernier point mérite d’être souligné parce qu’il est souvent le frein principal : dans la majorité des cas, vous n’avez pas à changer de logiciel de sauvegarde. Les solutions courantes savent déjà écrire vers un stockage objet verrouillé. Ce qui manque n’est presque jamais l’outil : c’est la séparation des comptes de l’étape 4 et le test de l’étape 6.
La question n’est pas de savoir si vos sauvegardes existent. Elle est de savoir si elles existeraient encore une heure après qu’un attaquant a obtenu vos droits d’administration. Dans la plupart des PME que j’audite, la réponse honnête est non. — Julien Beaumont, WebGuard Agency
Pour situer cette mesure dans un cadre de conformité plus large — obligations de continuité, encadrement des prestataires, documentation attendue — notre audit de périmètre NIS2 précise ce qui est exigible selon votre situation. Et sur la gouvernance des accès applicatifs qui précèdent toujours ce type d’incident, les analyses de Plug-Tech et les retours techniques de d-open.org complètent utilement cette méthode.
Faites l’étape 6 cette semaine
Prenez votre compte le plus privilégié et essayez de supprimer une sauvegarde. Dix minutes. Si la suppression réussit, vous savez désormais où vous en êtes. Téléphone : +33 6 32 64 24 80.
Lance-toi →Questions fréquentes
Quelle différence entre une sauvegarde immuable et une sauvegarde hors ligne ?
Une sauvegarde hors ligne est physiquement déconnectée : bande, disque externe rangé dans un coffre. Elle est très efficace et très contraignante, ce qui explique qu’elle soit presque toujours abandonnée au bout de quelques mois. Une sauvegarde immuable reste connectée mais le stockage lui-même refuse toute suppression ou modification jusqu’à l’échéance, y compris de la part du propriétaire du compte. En pratique l’immuabilité offre une protection comparable contre un rançongiciel avec une exploitation beaucoup plus simple, ce qui la rend nettement plus durable dans une PME.
Faut-il changer de logiciel de sauvegarde pour passer en immuable ?
Le plus souvent non, et c’est la bonne nouvelle du sujet. La majorité des solutions de sauvegarde courantes savent déjà écrire vers un stockage objet doté d’un verrouillage d’objets. Ce qui manque dans les configurations que j’audite n’est presque jamais l’outil : c’est la séparation des comptes, pour que celui qui écrit les sauvegardes ne puisse pas les effacer, et le test réel de suppression qui prouve que le verrou fonctionne. Commencez par vérifier ces deux points avant d’envisager le moindre changement d’outil.
Quelle durée de verrouillage choisir pour une PME ?
Entre 30 et 45 jours pour les sauvegardes quotidiennes, avec quelques points mensuels conservés plus longtemps. Le principe qui gouverne ce choix est que la durée de verrouillage doit dépasser votre délai réel de détection d’une compromission, car un attaquant ne chiffre pas le jour de son entrée : il observe d’abord, parfois plusieurs semaines. Si votre verrou dure sept jours et que l’intrusion date de trois semaines, les sauvegardes saines sont déjà sorties de la fenêtre de protection. Si vous ne savez pas estimer ce délai, traitez d’abord la journalisation.
Le mode conformité empêche-t-il vraiment toute suppression, même par nous ?
Oui, et c’est précisément ce qui en fait une protection réelle. Contrairement au mode gouvernance, qui autorise un compte suffisamment privilégié à lever le verrou et reproduit donc le problème qu’on cherche à éviter, le mode conformité ne permet à personne de supprimer avant l’échéance. Cette contrainte a un revers qu’il faut accepter en connaissance de cause : si vous verrouillez par erreur un volume important pour une durée longue, vous paierez ce stockage jusqu’au bout. D’où l’importance de définir la liste courte des données concernées et la durée avant d’activer quoi que ce soit.