Comment sécuriser le stockage à connexion directe (DAS) : 5 étapes

La sécurité du stockage à connexion directe (DAS) est essentielle pour toutes les entreprises qui utilisent des disques SSD, des disques durs (HDD) ou des baies en association avec leurs systèmes informatiques. 

Le DAS est directement connecté à un ordinateur ou à un serveur, par câble ou parce qu’il est installé à l’intérieur de l’ordinateur. Il n’est pas accessible via un réseau et ne peut pas être consulté à distance, par exemple depuis des centres de données géographiquement éloignés. Les systèmes DAS doivent être protégés au niveau du serveur et sur le plan physique, lors du partage des données et par la mise en place de sauvegardes. Le guide suivant consacré à la sécurisation des systèmes DAS présente des recommandations pour les entreprises qui doivent protéger leurs périphériques et baies de stockage : 

Comment sécuriser le DAS

• Protéger les ordinateurs et les serveurs
• Sécuriser les locaux
• Partager les données stockées en toute sécurité
• Mettre en place des pratiques de sauvegarde robustes
• Surveiller les périphériques et systèmes de stockage

1. Protéger tous les ordinateurs et serveurs 

Les entreprises doivent mettre en place des mots de passe robustes pour tous les appareils, définir des contrôles d’accès clairs et effectuer immédiatement les mises à jour et correctifs système afin de sécuriser leurs systèmes informatiques.

Créer des mots de passe robustes

Les équipes doivent exiger des mots de passe individuels robustes pour permettre à tous les utilisateurs d’accéder à l’ordinateur ou au serveur auquel est connecté un périphérique de stockage. Une fois qu’un utilisateur a accès au système informatique, il dispose d’un chemin plus direct vers le disque dur, le SSD ou la baie qui y est connecté. 

Pour mettre en place des mots de passe robustes pour tous les systèmes de stockage : 

1. Collaborez étroitement avec l’équipe informatique de l’entreprise afin de déterminer ses exigences minimales en matière de mots de passe.
2. Modifiez tous les mots de passe par défaut et codés en dur. Certains périphériques de stockage et serveurs sont fabriqués avec des mots de passe administrateur par défaut, que les attaquants devinent très facilement.
3. Créez des mots de passe d’au moins huit caractères, comprenant au moins un chiffre et un caractère spécial (comme &, # ou $). Certaines applications, notamment les solutions de sécurité commeNorton, génèrent également des mots de passe difficiles à deviner.
4. Créez des mots de passe différents pour chaque solution de stockage. Les employés ne doivent pas utiliser les mêmes identifiants pour des serveurs distincts : si un attaquant devine un mot de passe, il aura accès à plusieurs systèmes. 
5. Utilisez un système de gestion des mots de passe afin que les employés n’aient pas à mémoriser leurs mots de passe difficiles à deviner. Les gestionnaires de mots de passe utilisent la cryptographie pour protéger les identifiants contre toute découverte non autorisée.  

Mettre en place des contrôles d’accès robustes

Les équipes peuvent définir manuellement les contrôles d’accès ou utiliser une solution de gestion des identités et des accès (IAM). Les petites équipes informatiques ou les petites organisations peuvent simplement configurer les accès manuellement, en particulier si elles disposent d’un ou deux techniciens expérimentés capables de gérer étroitement les accès aux systèmes. Les grandes entreprises, notamment celles qui comptent de nombreux collaborateurs ayant besoin d’un niveau d’accès au moins minimal, tireront profit d’un logiciel IAM, qui réduira le travail de configuration manuelle de l’équipe informatique.

• Configuration manuelle : Pour configurer manuellement les contrôles d’accès, accédez à l’éditeur de stratégies de l’ordinateur ou du serveur à sécuriser. Répertoriez chaque utilisateur autorisé à accéder au système. Cette opération peut également être effectuée pour des applications professionnelles individuelles, selon le logiciel utilisé.
• Solution IAM : Avec un logiciel IAM, les administrateurs peuvent configurer les contrôles d’accès pour chaque application professionnelle depuis la console de gestion de la solution. Ces stratégies sont automatiquement appliquées chaque fois qu’un utilisateur tente de se connecter à une application.  

En plus d’exiger des mots de passe robustes pour accéder initialement au système informatique, les administrateurs doivent également mettre en place des contrôles d’accès pour toutes les applications de l’ordinateur ou du serveur qui autorisent l’accès au stockage DAS. Seuls les utilisateurs approuvés doivent pouvoir consulter ou gérer les fichiers sur les disques ou baies connectés. Il s’agit également d’une forme de segmentation, une technologie informatique qui limite les déplacements latéraux dans le système. Un attaquant obligé de présenter des identifiants à chaque point d’entrée d’une application aura davantage de difficultés à compromettre les programmes. 

Les équipes informatiques doivent créer des stratégies de liste blanche et de liste noire pour chaque ordinateur ou serveur. Cette opération peut être effectuée depuis l’éditeur de stratégies de sécurité de la machine. Seuls les utilisateurs approuvés pourront accéder à l’ordinateur auquel le périphérique ou la baie de stockage est connecté. Dans un ensemble de stratégies très détaillé, les identifiants de chaque utilisateur autorisé sont ajoutés à la liste blanche, c’est-à-dire à une liste d’utilisateurs approuvés, tandis que chaque utilisateur non autorisé est ajouté à la liste noire afin de lui interdire l’accès à l’ordinateur. 

Les droits d’accès de tous les employés qui quittent l’entreprise doivent être révoqués. Cette opération peut également être effectuée manuellement ou via une plateforme IAM, mais elle doit l’être de manière exhaustive afin qu’aucun ancien membre du personnel chargé du stockage ne puisse accéder aux systèmes avec d’anciens identifiants ou par des portes dérobées.

Mettre régulièrement à jour les systèmes et les appareils 

Les systèmes informatiques et les serveurs sont vulnérables aux attaques lorsqu’ils utilisent des logiciels obsolètes et présentent des vulnérabilités non corrigées. Souvent, les attaquants anticipent les vulnérabilités et compromettent immédiatement un système lorsqu’un correctif est rendu public. Les entreprises doivent garder une longueur d’avance et appliquer immédiatement les correctifs logiciels ou effectuer la mise à jour vers la dernière version afin de se protéger contre les attaques rapides.

Pour maintenir les logiciels système à jour : 

1. Surveillez les flux d’information des fournisseurs de matériel et de logiciels, notamment ceux des fabricants de tous les périphériques de stockage ainsi que des systèmes d’exploitation des ordinateurs de l’entreprise. Ces fournisseurs annoncent la découverte d’une vulnérabilité afin que leurs clients puissent immédiatement la corriger. 
2. Déterminez la chaîne de responsabilité des équipes informatiques. Savoir qui est responsable des différentes mises à jour aidera le personnel informatique à réagir rapidement lorsqu’une modification est nécessaire. 
3. Analysez les logiciels système des ordinateurs et les périphériques de stockage à la recherche d’activités anormales. L’utilisation d’un logiciel de surveillance de la sécurité peut aider les équipes à détecter l’accès d’un utilisateur non autorisé à un système.   

En savoir plus sur la protection contre les vulnérabilités courantes de la sécurité informatique. 

2. Sécuriser tous les locaux

Comme le DAS est connecté à un ordinateur ou à un serveur dans un bureau ou un centre de données, le ou les périphériques de stockage peuvent être physiquement volés. Les entreprises doivent exiger de tous les employés et prestataires qu’ils présentent un justificatif d’identité, comme un porte-clés électronique ou un badge, dans leurs locaux lorsqu’ils y stockent leurs données. 

Les centres de données doivent bénéficier du même niveau de sécurité physique, voire d’un niveau supérieur. Pour sécuriser les centres de données : 

1. Exigez des justificatifs d’accès pour l’ensemble du site. Les salles serveurs équipées de DAS doivent également nécessiter une clé distincte pour y accéder. 
2. Ne remettez les clés qu’aux membres de l’équipe qui doivent absolument entrer dans la salle serveurs pour effectuer leur travail.
3. Mettez en place des règles exigeant la présence simultanée de deux personnes dans les salles serveurs afin de réduire le risque de vol interne et de renforcer la responsabilité de chacun.

3. Partager les données stockées en toute sécurité

Comme le DAS ne peut pas transiter par un réseau, contrairement à un SAN, les entreprises doivent trouver des moyens sécurisés de transférer les données stockées sur les baies et les disques. Tous les transferts de données doivent être chiffrés de bout en bout et tous les fichiers partagés doivent être soumis à des contrôles d’autorisation précis afin de déterminer non seulement qui peut les modifier, mais aussi qui peut les consulter. 

Le partage de données DAS peut s’avérer compliqué, car le stockage n’est disponible que sur le périphérique auquel il est connecté, par exemple un serveur spécifique. Pour partager des fichiers stockés sur une clé USB ou un SSD, les utilisateurs devront peut-être commencer par les télécharger. 

Les outils de partage de fichiers sont utiles aux équipes chargées du stockage qui doivent partager fréquemment des données stockées sur un DAS. Ces solutions incluent souvent des fonctionnalités telles que des liens de partage protégés par mot de passe et l’expiration des liens après une période déterminée. Si les équipes de stockage choisissent d’envoyer des fichiers par e-mail, les données doivent toujours être chiffrées.

4. Mettre en place des pratiques de sauvegarde robustes 

Tous les disques durs, SSD et baies doivent être sauvegardés. Dressez l’inventaire de chaque périphérique et baie de stockage, en créant une copie de chaque fichier présent sur chaque périphérique. 

Déterminez à quelle fréquence les données de l’entreprise doivent être sauvegardées et définissez les calendriers de sauvegarde en fonction de cette périodicité. Déterminez également l’objectif de délai de rétablissement (RTO) de l’entreprise afin de pouvoir restaurer les sauvegardes dans un délai acceptable et d’éviter de perdre de l’argent et des données. 

Stockez au moins une copie de toutes les données de chaque périphérique dans un autre emplacement ou dans le cloud. Veillez également à ce que toutes les données critiques pour l’activité restent disponibles en cas de vol ou de panne. Cela implique de stocker les sauvegardes des fichiers critiques dans un emplacement protégé et rapidement accessible, par exemple une solution de stockage cloud privé.

Le DAS est difficile à sauvegarder et à rendre disponible, mais le stockage des sauvegardes des données DAS reste essentiel. Il garantit l’existence d’autres copies des données en cas de compromission ou de défaillance du système. 

5. Surveiller en permanence les périphériques et systèmes de stockage 

Veillez à analyser fréquemment tous les périphériques de stockage à la recherche delogiciels malveillants. Les équipes peuvent utiliser pour cela unlogiciel d’analyse des vulnérabilités. Chaque fois qu’un employé retire un périphérique d’un système informatique, analysez-le à la recherche de virus avant de le transférer vers un nouveau système. Si le périphérique est infecté par un logiciel malveillant, son installation sur un nouvel ordinateur ou serveur propagera davantage le code malveillant. Si le périphérique est analysé avant son déplacement, l’entreprise pourra plus facilement mettre en quarantaine le système infecté et y traiter le logiciel malveillant, plutôt que d’avoir à le faire sur deux systèmes. 

Les équipes informatiques doivent également analyser et surveiller fréquemment les systèmes informatiques sur lesquels le DAS est installé. Le téléchargement d’unlogiciel antivirus sur tous les ordinateurs équipés de DAS aidera à identifier les infections potentielles afin de pouvoir les traiter. Si un utilisateur a consulté une application ou un site web sur cet ordinateur et y a accidentellement téléchargé un logiciel malveillant, tout stockage connecté peut également être infecté. 

En savoir plus sur la sécurité des centres de données.

En résumé

La protection des informations propriétaires et des données clients stockées sur des périphériques DAS exige des entreprises qu’elles sécurisent non seulement les périphériques eux-mêmes, mais aussi les accès aux ordinateurs et aux serveurs. Tout DAS est connecté à une machine qui nécessite des contrôles d’accès stricts ainsi que des protocoles de sécurité physique, comme la limitation de l’accès aux locaux. Toutes les entreprises utilisant le DAS doivent élaborer un plan détaillé intégrant ces cinq étapes afin de préserver la sécurité de leurs données.