Protection des sauvegardes contre les ransomwares : comment garantir la Readiness pour la récupération de vos données
Les auteurs de ransomware ciblent désormais les infrastructures de sauvegarde avant de chiffrer les données de production. Découvrez comment les sauvegardes cloud « air-gapped » et immuables contribuent à protéger votre processus de Recovery, et ce que le principe « 3-2-1-1-0 » implique pour votre entreprise.
Attaques par sauvegarde
Les auteurs de ransomware ont une stratégie bien définie : neutraliser les options de Recovery avant de chiffrer les données de production. Si vos sauvegardes sont intactes, vous pouvez refuser de payer la rançon et rétablir le fonctionnement de vos systèmes. Les attaquants le savent, c’est pourquoi l’infrastructure de sauvegarde est devenue une cible privilégiée.
Les nouvelles variantes de ransomware recourent à plusieurs tactiques pour compromettre les systèmes de sauvegarde :
- La suppression des clichés instantanés figure parmi les actions les plus courantes : dès qu’un logiciel malveillant parvient à s’implanter, il exécute des commandes visant à supprimer les clichés instantanés de volume.
- Le chiffrement des référentiels de sauvegarde va plus loin, en ciblant directement les serveurs de sauvegarde et les pools de stockage.
- La double extorsion ajoute une dimension supplémentaire : les pirates exfiltrent des données sensibles avant de les chiffrer, menaçant de les publier même si vous parvenez à les restaurer à partir de vos sauvegardes.
Selon le rapportAvis de la CISA concernant le ransomware Medusa(mise à jour en août 2026) : en avril 2026, l’opération de ransomware-as-a-service « Medusa » avait touché plus de 500 victimes dans des secteurs d’infrastructures critiques, notamment la santé, l’éducation, le droit, l’assurance, les technologies et l’industrie manufacturière. Les auteurs de Medusa ont recours à un modèle de double extorsion, associant le chiffrement au vol de données afin de faire pression sur les victimes pour qu’elles paient.
« Les développeurs de Medusa et leurs complices ont recours à un modèle de double chantage : ils chiffrent les données des victimes et menacent de divulguer publiquement les données exfiltrées si la rançon n’est pas versée. »
– FBI, CISA et HHS, Avis de sécurité concernant le ransomware Medusa (AA25-071A), 2026
Avis de la CISA concernant Medusa (mis à jour en août 2026) : plus de 500 victimes touchées au sein d’infrastructures critiques en avril 2026
Types d’entrefer
Une sauvegarde « air-gapped » établit une séparation entre votre environnement de production et vos données de sauvegarde, ce qui complique la tâche des ransomwares qui tenteraient d’accéder aux copies de Recovery. Il existe trois approches principales, chacune présentant des avantages et des inconvénients spécifiques.
Barrières physiques
consistent à stocker les sauvegardes sur des supports déconnectés : bandes, disques amovibles ou baies de stockage hors ligne. Les supports de sauvegarde sont physiquement isolés du réseau lorsqu’ils ne sont pas utilisés. Cette approche offre une isolation efficace, mais entraîne une certaine complexité opérationnelle : manipulation manuelle, logistique de transport et délais de Recovery plus longs.
Barrières logiques
Recourir à la segmentation du réseau, aux pare-feu et à des contrôles d’accès stricts pour isoler les référentiels de sauvegarde au sein d’une même infrastructure. Les données de sauvegarde restent en ligne, mais ne sont accessibles que par des voies strictement contrôlées. Cette méthode est plus rapide que l’« air gap » physique, mais repose sur l’intégrité des contrôles réseau : une mauvaise configuration ou la compromission d’identifiants peut permettre de contourner cette isolation.
Vides d’air dans le nuage
stocker les données de sauvegarde dans un environnement isolé, géré par le fournisseur, distinct du compte cloud principal du client. Le service de sauvegarde contrôle la couche de stockage, ce qui contribue à garantir l’immuabilité et à appliquer des restrictions d’accès au niveau de la plateforme.
Guide « StopRansomware » de la CISArecommande de conserver des sauvegardes hors ligne, distinctes des réseaux de production, afin de limiter l’exposition aux mouvements latéraux en cas d’attaque. Les approches traditionnelles de protection contre les ransomwares dans le cadre des sauvegardes dans le cloud obligent souvent les entreprises à créer et à gérer leurs propres comptes isolés, ce qui alourdit les coûts d’infrastructure et la charge opérationnelle. Les solutions modernes natives du cloud intègrent cette isolation de manière native, ce qui permet de réduire la complexité tout en garantissant une séparation rigoureuse.
« Conservez des sauvegardes hors ligne et cryptées de vos données, et testez régulièrement vos sauvegardes. »
– CISA, Guide « StopRansomware », 2025
Guide « StopRansomware » de la CISA (2025) : les organisations doivent conserver des sauvegardes hors ligne, séparées des réseaux de production.
Règle de sauvegarde immuable
Une sauvegarde immuable est une sauvegarde qui ne peut être ni modifiée, ni écrasée, ni supprimée pendant une période de conservation définie. Elle est généralement mise en œuvre à l’aide de politiques de stockage de type « Write Once, Read Many » (WORM). Elle est conçue de telle sorte qu’une fois les données de sauvegarde écrites, aucun utilisateur, administrateur ou processus automatisé ne puisse les modifier jusqu’à l’expiration du verrou de conservation.
L’immuabilité et l’« air gap » ont des fonctions complémentaires. L’« air gap » permet de contrôler l’emplacement des données de sauvegarde et les personnes autorisées à y accéder. L’immuabilité permet de contrôler les opérations pouvant être effectuées sur ces données une fois qu’elles y sont stockées. Les stratégies les plus efficaces de protection des sauvegardes contre les ransomwares combinent ces deux approches : les données sont stockées dans un environnement isolé et protégées contre toute modification.
La règle de sauvegarde « 3-2-1 » est depuis des décennies la norme en matière de protection des données : conserver trois copies des données, sur deux types de supports différents, dont une copie hors site. Le cadre moderne « 3-2-1-1-0 » étend ce principe pour renforcer la résilience face aux ransomwares : 3 copies de vos données, 2 supports ou plateformes de stockage différents, 1 copie hors site, 1 copie isolée physiquement ou immuable (ou les deux), 0 erreur après vérification automatisée de la sauvegarde. La règle 3-2-1-1-0 n’est pas seulement une ligne directrice : c’est un cadre pratique permettant de mettre en place des capacités de Recovery en cas d’attaque par ransomware, capables de résister à des conditions réelles d’attaque.
Meilleures pratiques en matière de protection
Une protection efficace des sauvegardes contre les ransomwares ne se limite pas à une architecture de stockage adaptée. Elle exige des pratiques opérationnelles rigoureuses en matière de chiffrement, de contrôle d’accès, de tests et de conformité.
- Chiffrez les sauvegardes en transit et au repos. Les données de sauvegarde doivent être chiffrées pendant leur transmission et lorsqu’elles sont stockées. La prise en charge du chiffrement « Bring Your Own Key » (BYOK) vous permet de contrôler la gestion des clés sans dépendre exclusivement du fournisseur de services de sauvegarde.
- Mettez en place l’authentification multifactorielle (MFA) et le contrôle d’accès basé sur les rôles (RBAC). Limitez l’accès aux consoles de gestion des sauvegardes et aux opérations de Recovery. L’authentification multifactorielle (MFA) permet d’ajouter un niveau de protection supplémentaire contre les attaques visant les identifiants, tandis que le contrôle d’accès basé sur les rôles (RBAC) limite chaque utilisateur aux autorisations minimales dont il a besoin.
- Testez régulièrement vos restaurations. Les sauvegardes qui n’ont jamais été testées ne sont pas fiables. Effectuez régulièrement des exercices de restauration – notamment des restaurations granulaires, des restaurations inter-comptes et des retours à un instant donné – afin de vous assurer que vos objectifs de temps de restauration sont réalistes.
- Veillez à ce que les certifications de conformité soient à jour. Dans les secteurs soumis à une réglementation, votre solution de sauvegarde doit disposer de certifications à jour, telles que les normes ISO 27001, SOC 2 Type II et HIPAA.
Le chiffrement contribue à protéger la confidentialité des données ; les contrôles d’accès permettent de limiter l’ampleur des conséquences en cas de compromission des identifiants ; les tests permettent de vérifier la Readiness des procédures de Recovery ; et les cadres de conformité offrent une approche structurée pour garantir le respect de tous ces éléments.
Protection par sauvegarde Clumio
Clumio permet de bénéficier d’une protection contre les ransomwares intégrée au cloud, spécialement conçue pour les charges de travail AWS, notammentAmazon S3,DynamoDBetEC2/EBS. Voici comment Clumio permet de relever les principaux défis abordés dans cet article :
- Sauvegardes dans le cloud isolées physiquement, en dehors de votre compte AWS.Clumio stocke toutes les données de sauvegarde dans un environnement isolé, géré par le fournisseur, conçu pour être totalement distinct de votre compte cloud principal. Les pirates qui parviennent à compromettre votre environnement de production se heurtent à des obstacles majeurs pour accéder à vos données de sauvegarde.
- Immuable par conception. Les données de sauvegarde enregistrées dans Clumio sont immuables et indélébiles ; elles sont conçues de manière à ne pouvoir être ni modifiées ni écrasées, que ce soit via une interface utilisateur ou une API. L’immuabilité est appliquée au niveau de la plateforme et ne relève pas d’une configuration optionnelle.
- Récupération granulaire à tous les niveaux. Clumio facilite la récupération au niveau des objets, des préfixes, des compartiments, des tables et des instances. Il est conçu pour vous aider à restaurer exactement ce dont vous avez besoin – un seul objet S3, une table DynamoDB ou une instance EC2 entière – sans avoir à reconstruire des environnements complets.
- Solution SaaS sans serveur, ne nécessitant aucune infrastructure à déployer. Clumio fonctionne comme un service entièrement géré. Il n’y a ni serveurs de sauvegarde, ni pools de stockage, ni agents à gérer. La protection est conçue pour s’adapter automatiquement à la croissance de vos données.
- Chiffrement en transit et au repos, avec prise en charge du modèle BYOK. Toutes les données sont chiffrées pendant leur transfert et au repos, avec prise en charge des clés de chiffrement gérées par le client.
Clumio combine l’isolation par « air gap », l’immuabilité, la restauration granulaire et un modèle d’exploitation sans serveur, permettant ainsi aux équipes cloud natives de bénéficier de la protection des sauvegardes contre les ransomwares dont elles ont besoin, sans la complexité des infrastructures traditionnelles.
Foire aux questions :
En quoi les sauvegardes contribuent-elles à la protection contre les ransomwares ?
Les sauvegardes sont utilesprotéger contre ransomwareen fournissant des copies intactes des données pouvant être restaurées après une attaque. Lorsque les sauvegardes sont isolées physiquement et immuables, les données sont elles-mêmes immuables et indélébiles, ce qui vous offre une solution de Recovery fiable sans avoir à payer de rançon.
Qu’est-ce que la règle du 3-2-1-1-0 ?
LeRègle du 3-2-1-1-0exige trois copies des données sur deux types de supports différents, dont l’un hors site et l’autre isolé physiquement ou immuable, ainsi qu’aucune erreur après vérification. Il s’agit de la norme moderne en matière de protection des données résistante aux ransomwares.
Qu’est-ce qu’une sauvegarde « air-gapped » ?
UnSauvegarde à air compriméIl s’agit d’une copie des données stockées dans un environnement isolé, physiquement ou logiquement, de votre réseau de production. Cette séparation permet d’empêcher les ransomwares d’accéder aux données de sauvegarde en cas d’attaque.
Qu’est-ce qu’une sauvegarde immuable ?
Unsauvegarde immuableIl s’agit d’une copie de données qui ne peut être ni modifiée ni supprimée une fois créée. Cela permet de préserver l’intégrité des informations et de les protéger à la fois contre les acteurs malveillants et contre les modifications administratives involontaires. Si les sauvegardes immuables contribuent à protéger les données contre les catastrophes naturelles et les erreurs humaines, leur principal atout réside dans le fait qu’elles garantissent que, même en cas de compromission des systèmes, les données critiques restent sécurisées, fiables et récupérables.
Les ransomwares peuvent-ils chiffrer les sauvegardes dans le cloud ?
Oui, les ransomwares peuvent chiffrer les sauvegardes dans le cloud si celles-ci se trouvent dans le même compte ou le même environnement que les données de production. Pour protéger les sauvegardes dans le cloud contre les ransomwares, il est nécessaire de les stocker dans un environnement isolé, « air-gapped », doté de contrôles garantissant leur immuabilité.
Combien de temps dure la Recovery après une attaque par ransomware ?
La vitesse de Recovery dépend de l’ampleur de l’attaque et de votre architecture de sauvegarde. Les solutions proposant une Recovery granulaire et parallélisée permettent de restaurer des objets ou des tables individuels en quelques minutes, tandis que la Recovery complète d’un environnement à partir de systèmes traditionnels peut prendre plusieurs jours.
AUTRES RESSOURCES