Après le vol de données et le Déni de service, les entreprises doivent faire face à un nouveau type de cyberattaques : le ransomware. « Cette attaque redoutable a cette fois-ci pour objectif de détruire les données et à ne les restituer que contre le paiement d’une rançon. En général, l’entreprise pense pouvoir s’en sortir en restaurant les sauvegardes qu’elle avait précédemment effectuées. Sauf que nous sommes ici rentrés dans le domaine du cyber-activisme (dit aussi « hacktivisme »), de la vengeance, et qu’il ne faut pas écarter la probabilité que la malveillance vienne de l’intérieur, typiquement d’un individu qui a aussi accès aux sauvegardes », lance François-Christophe Jean, consultant technologique chez Dell EMC. Il donne la mesure de la menace : selon lui, il suffit de détruire 5 à 10% des données d’une entreprise pour la faire disparaître du marché. Et il suffit de 6 minutes pour détruire toutes ces données.

Une protection de classe Secret Défense

Pour contrer ce type d’attaque, Dell EMC vient justement de mettre au point un programme nommé Isolated Recovery Solutions (IRS). Celui-ci comprend à la fois un accompagnement de la part de Dell EMC pour mettre au point la méthodologie de sécurité la plus adaptée à l’entreprise, ainsi qu’un serveur Data Domain qui hébergera in fine des données qui seront toujours restaurables. « La solution radicale pour l’entreprise serait de dupliquer son IT sur un troisième site, en plus de celui de production et de celui de sauvegarde. Mais cela est difficilement envisageable car, dès lors, les coûts s’envoleraient. Nous avons donc imaginé une alternative qui consiste à répliquer les 15 à 20% de données vitales sur une version spéciale de Data Domain, avec un OS et des accès particuliers », annonce François-Christophe Jean.

François-Christophe Jean révèle que cette solution est secrètement mise en œuvre depuis plusieurs années au profit des banques. Elle ne constitue une offre officielle au catalogue que depuis cet été. « Cette solution est d’un niveau de sécurité Secret-Défense. Mais les attaques contre lesquelles elle lutte ont à présent largement dépassé le cadre des banques. IRS s’adresse aujourd’hui principalement aux établissements hospitaliers et aux entreprises des médias, deux secteurs particulièrement fragiles face aux attaques de ransomwares », précise le consultant technologique.

DPS_Seminar

Faire survivre les données vitales

Pourquoi ne mettre à l’abri que les données vitales ? Tout simplement parce que Dell EMC a constaté que les entreprises contraintes de restaurer leur IT le faisaient par étapes, avec une restauration de 80% des données qui n’arrive qu’au bout de quelques jours et un seuil de 90% de restauration qui est atteint au bout de plusieurs mois. Et, ce, sans que cela ne pénalise l’activité de l’entreprise. De fait, les données essentielles n’auront pas besoin d’être hébergées dans une réplique du datacenter ; les quelques dizaines ou centaines de To d’un Data Domain correctement dédupliqué suffiront (la machine peut grimper jusqu’à 1,7 Po, néanmoins). « Il faut par ailleurs considérer que la déduplication, technologie aussi extraordinaire soit-elle, a souvent donné de mauvaises habitudes aux entreprises : elles se servent de la place économisée pour conserver des sauvegardes sur des durées beaucoup plus longues, comme s’il s’agissait d’archives. En ce qui nous concerne, nous taillons la solution pour héberger les réplicas des données produites lors des dix derniers jours,  pas celles qui datent d’il y a six mois. Nous sommes dans la survie, pas dans le disaster recovery », lance François-Christophe Jean.

Deux responsables pour appuyer sur un bouton

Dans le même ordre d’idées, la bonne pratique voudrait que l’équipe en charge de la sauvegarde sur le Data Domain IRS ne soit pas la même que celle chargée d’effectuer la sauvegarde primaire. « Mais, encore une fois, c’est une pratique difficile et coûteuse à mettre en place. En guise d’alternative, nous avons doté notre Data Domain d’un verrou de rétention des informations qui ne peut laisser effacer le contenu sauvegardé qu’en présence de deux personnes : celle en charge de la sauvegarde ainsi qu’un Security Officer indépendant de l’équipe IT interne. Nous conseillons que ce Security Officer soit quelqu’un de haut placé, comme le DG, voire le PDG en personne », propose François-Christophe Jean.

Une machine en mode furtif

Vient ensuite la sécurité de la connectique. « Le problème est que si nous voulons placer physiquement la machine Data Domain IRS sur le même site que les systèmes à protéger, Il est probable qu’elle finisse par être atteinte à son tour par une cyberattaque qui contamine les serveurs de proche en proche. Nous avons donc inventé un dispositif Air Gap qui ne connecte le Data Domain IRS au réseau que par intermittence », se réjouit François-Christophe Jean. En l’occurrence, l’Air Gap est un dispositif de réplication entre deux machines Data Domain qui n’est activé  qu’à des instants précis. Grâce à la déduplication, la fenêtre de transmission des données vitales, bien entendu automatiquement cryptées, est réduite au minimum. Les deux systèmes en communication sont des systèmes durcis qui n’offrent même pas les services d’administration de base (Telnet, Bash…), les cartes réseau sont par défaut désactivées et les ports utilisés ne sont pas standards.

Une fois le transfert effectué, il est nécessaire de valider que les données enregistrées sont bien restaurables. Cette tâche peut être facilitée par l’exécution d’images de machines virtuelles sauvegardées au sein du Data Domain IRS.

Tout le reste de l’offre IRS est du consulting. Les équipes de Dell EMC font des études d’impact de pertes de données pour évaluer celles qui sont vitales et la fréquence à laquelle il est nécessaire de les dupliquer. Cela permet de dimensionner le système. Elles créent aussi les VMs qui sauront valider les données répliquées.

Le schéma ci-dessous présente la cinématique de la réplication Air Gap et de la validation qui s’en suit.

IRS