La sécurité des sauvegardes n'a jamais vraiment été une priorité jusqu'à ce que les cybercriminels commencent à augmenter leurs demandes de rançon.
Ils ont constaté que leurs victimes pouvaient parfois ignorer leurs demandes, car elles disposaient de bonnes sauvegardes sur lesquelles compter. Cela a conduit à une nouvelle stratégie d'extorsion par rançongiciel, intégrant les sauvegardes. Soudain, la sécurité des sauvegardes s'est retrouvée au premier plan.
Voici quelques-unes des principales tendances du marché de la sécurité des sauvegardes :
1. Sauvegardes infectées
Doron Pinhas, directeur technique de Continuity Software et coauteur de la publication spéciale du NIST « Security Guidelines for Storage Infrastructure », a déclaré que les attaques modernes ciblant les données s'en prennent explicitement aux systèmes de stockage et de sauvegarde.
« En détruisant les copies de sauvegarde en plus de chiffrer et de verrouiller les données, les cybercriminels exercent une pression bien plus efficace sur les victimes pour les inciter à payer la rançon », a déclaré Pinhas.
De nombreuses victimes de rançongiciels ont constaté qu'en se tournant vers leurs sauvegardes pour récupérer leurs données, elles récupéraient en réalité des fichiers infectés au sein des copies de sauvegarde. Résultat : elles restaient sous l'emprise de l'attaque par rançongiciel et ne pouvaient toujours pas accéder à leurs données.
« En infectant les supports de sauvegarde, les cybercriminels peuvent s'assurer que les environnements attaqués resteront compromis, même après que l'organisation les aura restaurés dans leur dernière configuration connue comme saine », a déclaré Pinhas.
2. Vol de données dans les sauvegardes
Les cybercriminels deviennent exigeants. En plus d'infecter les fichiers en général, ils cherchent les données les plus sensibles, confidentielles et précieuses.
La propriété intellectuelle ou les bases de données des principaux clients en sont deux exemples. Ces référentiels sont souvent les mieux protégés.
Les pirates peuvent tenter pendant des mois de s'infiltrer dans ces sources de données sans succès. Mais un autre vecteur d'attaque porte souvent ses fruits : les sauvegardes.
« Conscients que la sécurité des systèmes de stockage et de sauvegarde accuse souvent un retard, les cybercriminels dérobent directement les données sur les supports de sauvegarde, notamment dans le cadre de sauvegardes cloud et hors site », a déclaré Pinhas, de Continuity Software.
« C'est souvent beaucoup plus rapide, cela échappe aux solutions de prévention des pertes de données et tire parti des mécanismes de sauvegarde, qui bénéficient souvent d'un niveau de confiance élevé de la part des autres composants du centre de données. Les systèmes de sauvegarde peuvent ainsi être manipulés pour exfiltrer des données autrement difficiles à atteindre. »
3. Mesures de protection des sauvegardes
Par conséquent, on prend progressivement conscience qu'il faut mettre fin au laxisme en matière de sécurité des systèmes de stockage et de sauvegarde.
Pinhas, de Continuity Software, recommande de :
- Veiller à traiter les vulnérabilités du stockage et des sauvegardes, notamment en appliquant les correctifs nécessaires et en corrigeant les vulnérabilités et expositions courantes (CVE).
- Renforcer les services de stockage et de sauvegarde en supprimant les services inutiles, en désactivant les protocoles non sécurisés, en utilisant une gestion centralisée des droits d'accès, en désactivant ou en sécurisant les fonctions de gestion des appareils locaux, en recourant à l'authentification multifacteur (MFA) et en configurant correctement le chiffrement.
- Isoler l'environnement de sauvegarde des autres environnements à plusieurs niveaux : réseau, utilisateurs et rôles, ainsi que fonction métier (niveau applicatif, développement/tests, etc.).
« Testez vos solutions de sauvegarde et analysez en continu tous les systèmes de stockage et de sauvegarde afin de détecter les erreurs de configuration et les vulnérabilités de sécurité », a déclaré Pinhas.
4. Vue unifiée pour les environnements multicloud
Les environnements multicloud deviennent la norme.
Par conséquent, leur gestion peut se révéler complexe, puisqu'il faut consulter un grand nombre de consoles. Cela peut entraîner du laisser-aller et des erreurs de configuration.
« Investissez dans des solutions de sauvegarde qui répondent aux exigences de protection des données dans le centre de données, le cloud public et les environnements edge, et privilégiez les solutions offrant une vue unifiée pour gérer ces environnements distribués », a déclaré Michael Hoeck, analyste chez Gartner.
« Choisissez des produits offrant une expérience sécurisée et granulaire de test de restauration. »
Hoeck recommande également de choisir des « outils de sauvegarde qui fournissent une solution complète de détection des anomalies et des logiciels malveillants liés aux rançongiciels, ainsi que des capacités de récupération accélérée après une attaque par rançongiciel ».
Oui, les copies immuables sont importantes, car elles créent des copies secondaires des sauvegardes grâce à des logiciels WORM (écriture unique, lectures multiples) et à des instantanés immuables. Mais cela ne suffit pas.
Selon Hoeck, des systèmes capables de repérer les attaques par rançongiciel en surveillant les anomalies comportementales des données protégées apparaissent également. Ils intègrent la détection des logiciels malveillants, soit grâce à des partenariats avec des fournisseurs de solutions de sécurité, soit en développant ces capacités en interne.
5. Microfragmentation
Jesper Tohmo, directeur technique et cofondateur de ShardSecure, a souligné que la pratique traditionnelle consistant à stocker les sauvegardes sur bandes offrait une couche de protection supplémentaire, puisque l'accès physique aux bandes était nécessaire pour accéder aux données.
C'est ce que l'on appelle une isolation physique (« air gap »). Il s'agit d'une stratégie intelligente encore largement utilisée. Cependant, nombreux sont ceux qui sont passés à des capacités de stockage cloud bon marché proposées par AWS et d'autres fournisseurs, et qui ne bénéficient plus de ce type de protection.
« Même avec le chiffrement des sauvegardes dans le cloud, un jeu de données complet sera disponible et vulnérable aux attaquants sur le site de sauvegarde », a déclaré Tohmo.
« Une solution consiste à utiliser une technologie de microfragmentation qui répartit les données sur plusieurs emplacements appartenant au client. Ce type de solution permet aux clients de protéger leurs données dans le cloud et de bénéficier d'une récupération rapide si nécessaire. »