Sauvegardes sécurisées : les bons réflexes sans budget

Vous avez mis en place des sauvegardes. Bien. Mais voici ce qui arrive parfois : un ransomware chiffre le serveur et en cherchant à restaurer depuis la sauvegarde, on découvre qu’elle aussi a été chiffrée. Elle était branchée en permanence, accessible depuis la machine compromise et le logiciel malveillant a fait le tour du propriétaire. La question n’est donc pas « avez-vous des sauvegardes ? » mais « vos sauvegardes résisteraient-elles à une attaque sur votre serveur principal ? ». Cet article propose quatre principes simples, sans acheter de nouvel outil, pour améliorer cette résistance de façon significative.

Ce qui rend une sauvegarde vulnérable

La plupart des petites structures ont des sauvegardes. Ce qu’elles ont moins souvent, c’est une sauvegarde réellement isolée du reste du système.

Le problème typique ressemble à ceci : un disque de sauvegarde ou un espace réseau reste connecté en permanence à la machine de production. Le logiciel qui sauvegarde tourne la nuit, copie les données, tout va bien. Jusqu’au jour où un ransomware s’installe sur le serveur. Il chiffre les fichiers de travail, puis remonte vers tout ce qui est accessible depuis cette machine, y compris la sauvegarde. Quelques heures plus tard, la sauvegarde est elle aussi inutilisable.

Ce scénario n’est pas rare mais il n’est pas non plus une fatalité. Il est la conséquence directe d’une architecture de sauvegarde pensée pour la commodité plutôt que pour la résistance.

La bonne nouvelle : les principes qui changent vraiment la donne ne nécessitent pas de budget. Ils demandent simplement de revoir comment les sauvegardes sont organisées, pas ce qu’elles coûtent.

Les quatre principes d’une sauvegarde résistante

Ces principes s’appliquent quelle que soit la taille de la structure et quel que soit l’outil utilisé.

Principe 1 : mettre un thermomètre sur vos sauvegardes

Une sauvegarde incrémentale copie uniquement ce qui a changé depuis la sauvegarde précédente. C’est efficace et c’est aussi un indicateur naturel d’anomalie.

Dans une activité normale, le volume de données modifiées d’un jour sur l’autre est relativement stable : quelques fichiers modifiés, quelques documents créés. Si un matin le volume de données modifiées est dix ou vingt fois supérieur à la normale, c’est un signal à ne pas ignorer. Un chiffrement massif produit exactement ce type d’explosion soudaine : le ransomware réécrit des blocs entiers de données en quelques minutes ou quelques heures.

Mettre un thermomètre sur vos sauvegardes, c’est surveiller ce volume de modifications entre deux sauvegardes successives. Pas avec un outil sophistiqué : une simple comparaison de taille entre deux points de sauvegarde consécutifs suffit pour établir une référence. Ce que vous cherchez, c’est une variation fortement anormale, pas un chiffre absolu.

Principe 2 : prévoir un coupe-circuit sur la rotation

La rotation des sauvegardes (remplacer la sauvegarde la plus ancienne par la plus récente) est ce qui vous permet de remonter dans le temps. C’est précieux, mais c’est aussi ce qui peut vous trahir si vous ne l’arrêtez pas à temps.

Imaginez qu’un ransomware chiffre vos données à 2 h du matin. La sauvegarde nocturne tourne à 3 h et copie fidèlement les données chiffrées. Si personne ne remarque rien avant 24 h, la sauvegarde du lendemain écrase la précédente. Après quelques jours, l’ensemble de l’historique de sauvegardes ne contient plus que des versions corrompues.

Un coupe-circuit sur la rotation, c’est un mécanisme, ou simplement une règle de procédure, qui suspend la mise à jour des sauvegardes dès que le thermomètre signale une anomalie. L’objectif est simple : geler les points de restauration encore sains avant qu’ils soient remplacés par des copies déjà corrompues. Cela peut être automatique (une alerte qui bloque le processus) ou manuel (une vérification quotidienne rapide avec consigne de blocage en cas de doute). Les deux approches fonctionnent.

Principe 3 : distinguer copie de travail et vraie sauvegarde

Un dossier synchronisé en continu vers un espace cloud ou un disque réseau, c’est pratique. Ce n’est pas une sauvegarde au sens de la résistance aux ransomwares.

La différence tient à une chose : si le serveur compromis peut modifier ou supprimer librement les fichiers dans la destination, alors un ransomware peut en faire autant. La cible est aussi exposée que la source.

Une vraie sauvegarde résistante repose sur deux propriétés. D’abord, un historique de versions suffisamment long : si des fichiers chiffrés ont été copiés vers la destination, vous devez pouvoir remonter à une version antérieure saine. La plupart des services cloud disposent de cette fonctionnalité, mais elle est souvent désactivée par défaut ou réglée sur une rétention très courte (7 jours). C’est ce paramètre précis qu’il faut vérifier. Ensuite, idéalement, une protection en écriture côté destination : certains fournisseurs proposent des fonctions qui empêchent la suppression ou la modification de fichiers avant un délai donné. Ce type de protection (parfois appelé « rétention verrouillée ») transforme votre espace de sauvegarde en coffre-fort plutôt qu’en simple disque distant.

Principe 4 : séparer les droits de lecture et d’écriture

C’est le principe le moins intuitif, et pourtant l’un des plus efficaces.

L’idée est simple : la machine qui héberge vos données de production ne devrait pas avoir le mot de passe de votre espace de sauvegarde distant. Ce sont deux rôles différents et les mélanger crée un risque direct.

Dans un schéma sécurisé, la machine de production expose ses données à sauvegarder (en lecture), et c’est un processus ou un service séparé qui détient les droits d’écriture vers la destination. Si un attaquant compromet uniquement la production, il ne trouve pas les identifiants qui permettraient de supprimer ou d’altérer l’historique distant.

Concrètement, pour une petite structure, cela peut se traduire par quelque chose d’aussi simple que : un compte dédié à la sauvegarde, avec des droits limités au strict nécessaire, dont les identifiants ne sont pas stockés sur le serveur principal. C’est une décision d’organisation, pas un investissement technique.

Faire le diagnostic de vos sauvegardes actuelles

Avant de modifier quoi que ce soit, il est utile de poser quatre questions sur l’organisation actuelle :

• Mes sauvegardes sont-elles accessibles depuis la machine principale ? Si oui, un ransomware qui compromet cette machine peut y accéder aussi.
• Mon historique de versions est-il suffisamment long ? Une rétention de 7 jours ne protège pas si l’infection passe inaperçue pendant 10 jours.
• Ai-je un moyen de détecter une variation anormale entre deux sauvegardes ? Pas forcément automatique, mais au moins une vérification régulière.
• Qui détient les identifiants d’accès à la destination de sauvegarde, et depuis quelle machine ?

Ces quatre questions permettent de repérer rapidement les points faibles sans avoir besoin d’un audit complet. Pour la plupart des petites structures, deux ou trois de ces points méritent une action immédiate.

Un cas type : quand la sauvegarde existante devient le point de départ

Une structure d’une dizaine de personnes dispose d’un serveur interne avec sauvegardes nocturnes vers un disque réseau partagé. Tout fonctionne depuis des années. Un incident de chiffrement se produit un vendredi soir. Le problème est découvert le lundi matin quand le premier arrivant constate qu’aucun serveur ne fonctionne. En tentant de restaurer, l’équipe découvre que les trois dernières sauvegardes nocturnes contiennent elles aussi des fichiers chiffrés. Le disque réseau était monté en permanence, accessible avec les mêmes droits que le serveur.

En réexaminant l’architecture, trois ajustements sont identifiés :

• Déconnecter le disque réseau après chaque sauvegarde nocturne (ou restreindre son accès en dehors des plages horaires définies).
• Ajouter une copie hors site vers un espace cloud configuré avec un historique de versions de 30 jours minimum.
• Créer un compte dédié à cette copie hors site, dont les identifiants ne sont stockés que sur le poste de sauvegarde, pas sur le serveur de production.

Aucune dépense matérielle, aucun changement de logiciel. L’architecture existante a simplement été reconfigurée différemment.

Quatre réflexes, pas un budget

Ce que ces principes ont en commun : ils ne coûtent rien. Ils demandent du temps et une décision d’organisation.

Mettre un thermomètre sur ses sauvegardes, prévoir un coupe-circuit sur la rotation, vérifier la durée de rétention de l’historique de versions et séparer les droits d’accès : ces quatre points améliorent de façon tangible la résistance aux ransomwares sur une infrastructure existante.

Ils ne remplacent pas une sauvegarde froide réellement déconnectée, qui reste l’idéal. Mais pour une petite structure qui n’a pas de budget dédié à la cybersécurité, ils représentent un gain de résilience immédiat, sans attendre.