Sauvegardes face aux rançongiciels
Comprendre pourquoi les rançongiciels s'attaquent d'abord aux sauvegardes, puis concevoir et tester des sauvegardes qui leur résistent, avec Proxmox Backup Server.
L'essentiel
- Un rançongiciel suit cinq étapes : entrée, propagation, destruction des sauvegardes, exfiltration, chiffrement.
- La double extorsion combine chiffrement et menace de publication : la sauvegarde ne répond qu'au chiffrement.
- Règle 3-2-1-1-0 : 3 copies, 2 supports, 1 hors site, 1 hors ligne ou immuable, 0 erreur.
- Hors site ≠ hors ligne ≠ immuable ≠ chiffrée : chacune contre une menace différente.
- La réplication, le RAID et les clichés ne sont pas des sauvegardes : pas d'historique protégé.
- Le serveur de sauvegarde est hors du domaine, avec des comptes dédiés et une double authentification.
- Les machines sauvegardées n'ont que le rôle
DatastoreBackup: créer, pas supprimer. - PBS : chiffrement côté client, vérification, élagage puis garbage collection, copie distante en pull, datastore amovible ou bande.
- La clé de chiffrement est conservée hors du système sauvegardé (papier, coffre-fort).
- Une restauration se teste, se chronomètre et se fait à une date antérieure à l'intrusion.
À retenir
3-2-1-1-0 : 3 copies, sur 2 supports différents, dont 1 hors site, 1 hors ligne ou immuable, et 0 erreur constatée lors des vérifications et des tests de restauration. Une sauvegarde que l'attaquant peut atteindre avec les identifiants qu'il a volés ne compte pas comme « hors ligne ».
Piège classique
La réplication (miroir, synchronisation, RAID, réplication de VM) n'est pas une sauvegarde : elle recopie aussitôt les fichiers chiffrés par le rançongiciel. Une sauvegarde garde un historique de versions qui permet de revenir à l'état d'avant l'attaque.
À retenir
Restaurer après un rançongiciel, c'est restaurer avant la date d'entrée de l'attaquant, sinon on réinstalle sa porte dérobée. D'où l'intérêt d'une rétention longue (plusieurs semaines) et d'une restauration dans un réseau isolé, analysée avant la remise en service.
Commandes clés
| Pour… | Commandes |
|---|---|
| Donner le droit de sauvegarder sans supprimer | proxmox-backup-manager acl update /datastore/store1 DatastoreBackup --auth-id sauvegarde@pbs |
| Désigner le dépôt | export PBS_REPOSITORY='sauvegarde@pbs@172.16.50.40:store1' |
| Créer et imprimer la clé | proxmox-backup-client key create /root/pbs.key · key paperkey |
| Sauvegarder chiffré | proxmox-backup-client backup partage.pxar:/srv/partage --keyfile /root/pbs.key |
| Lister, restaurer | proxmox-backup-client snapshot list · proxmox-backup-client restore SNAPSHOT partage.pxar /tmp/r --keyfile … |
| Repérer une attaque en cours (Windows) | vssadmin delete shadows, wbadmin delete catalog dans les journaux = alerte |