Vous êtes responsable de la cybersécurité au sein de votre entreprise. Il est 18 h 30, un vendredi précédant un long week-end. Alors que vous vous apprêtez à monter dans l’avion pour partir en vacances avec votre famille, votre téléphone sonne : c’est votre équipe SecOps. Vos systèmes informatiques à travers le monde commencent à ne plus répondre, et tout porte à croire que vous êtes victime d’une attaque par ransomware.
À ce moment-là, la différence entre le chaos et la maîtrise se résume à ces facteurs clés : la rapidité de votre réaction et la qualité de votre Recovery. Une réaction rapide peut permettre de limiter les dégâts. Mais si votre Recovery réintroduit des données infectées, vous vous retrouvez exactement au point de départ.
Les stratégies traditionnelles de Backup and Recovery ne suffisent plus face aux menaces actuelles. Les entreprises ont besoin d’un plan alliant la détection des menaces en temps réel à une restauration propre et validée. C’est là le fondement d’une véritable cyber-résilience. L’équation est simple mais puissante : Commvault® Cloud Threat Scan + Cleanroom™ Recovery = confiance cybernétique.
Les auteurs de ransomware gagnent en sophistication, tandis que les entreprises peinent à suivre le rythme. Selon une étude réalisée en 2024, le délai le plus court entre la détection et l’impact était de 27 minutes. Cela signifie qu’il est possible que votre entreprise dispose de moins d’une demi-heure entre le premier avertissement et une paralysie potentielle de l’ensemble du système.
Dans ce scénario où les enjeux sont considérables, chaque minute compte. Tout retard augmente les risques de perte de données, d’indisponibilité prolongée, de problèmes réglementaires et d’érosion de la confiance des clients. Dans ce guide pratique, nous vous montrerons comment Commvault vous aide à passer d’une Recovery réactive à une réponse coordonnée et sereine.
Que se passe-t-il après le déclenchement de l’alarme ?
Lorsqu’une cyberattaque se produit, la détection n’est qu’une première étape. Le véritable défi réside dans la suite : la Recovery. En théorie, les sauvegardes devraient constituer votre filet de sécurité. Mais dans la pratique, elles peuvent devenir des vecteurs silencieux d’infection. Étant donné que la plupart des cybercriminels ciblent vos données, la Recovery aveugle à partir des sauvegardes comporte des risques inhérents, tels que la réintroduction de logiciels malveillants dans votre environnement.
C’est pourquoi les points de Recovery modernes créent des points de Recovery. Threat Scan est indispensable.
Threat Scan : votre allié incontournable pour la récupération de données saines
Commvault Cloud Threat Scan vous aide à récupérer et à restaurer rapidement des données saines, en contournant les menaces avec expertise et en vous permettant de mettre automatiquement en quarantaine les données potentiellement malveillantes. Mais qu’entend-on exactement par « données malveillantes » ? Et comment savoir si des données sont saines ?
Au lieu de considérer chaque sauvegarde comme fiable, Threat Scan analyse en permanence les sauvegardes de données afin de mettre au jour les menaces cachées. Il s’appuie sur la détection des anomalies, l’analyse des logiciels malveillants, l’analyse du chiffrement et des signaux provenant de tiers pour classer les points de restauration avec un haut degré de fiabilité.
Voici les principales fonctionnalités de Threat Scan :
- Détection des anomalies : les clients effectuent généralement des sauvegardes de leurs données à intervalles réguliers. Certains le font quotidiennement, d’autres toutes les deux semaines. La fonctionnalité « Threat Scan » surveille les schémas inhabituels dans l’activité de sauvegarde, tels que des pics inattendus du volume de données, des tâches de sauvegarde en dehors des heures de travail ou des changements soudains dans les types de données. Ces anomalies constituent souvent des indicateurs précoces d’une compromission.
- Détection du chiffrement : l’un des piliers fondamentaux de Threat Scan réside dans sa capacité avancée à détecter les données chiffrées par des ransomwares. Le système analyse les métadonnées des fichiers et les modèles aléatoires afin d’identifier les signes d’un chiffrement malveillant.
Contrairement aux méthodes traditionnelles qui s’appuient uniquement sur l’entropie, Threat Scan utilise une analyse plus approfondie de la composition des fichiers pour distinguer le chiffrement légitime de l’activité des ransomwares. Entraîné sur divers ensembles de données et comportements de chiffrement, il assure une détection rapide avec un nombre réduit de faux positifs, même pour les menaces émergentes de type « zero-day ». - Recherche des causes profondes et analyse intégrée des logiciels malveillants : Threat Scan ne se contente pas de détecter les menaces ; il remonte jusqu’à la source des fichiers infectés, aidant ainsi les équipes à identifier le « patient zéro » et à évaluer l’ampleur de l’attaque. Ce fichier infectieux, également appelé « source de chiffrement », est détecté à l’aide de solutions antivirus intégrées de pointe.
- Intégration à l’écosystème de sécurité tiers : les intégrations avec des partenaires tels que CrowdStrike, Darktrace, Cisco et Netskope permettent à Commvault de détecter les incidents provenant de plateformes de sécurité externes et de signaler les appareils ou les données associés comme étant vulnérables. Ces événements détectés sont ensuite affichés sur la plateforme Commvault en correspondance avec les actifs ou les ressources à l’origine de l’incident. Cela renforce la boucle de rétroaction entre la détection et la Recovery.
- Restauration de la classification lors de la sauvegarde : au fur et à mesure de la création des sauvegardes, les données sont automatiquement classées comme « saines » ou « compromises », ce qui permet de constituer une chronologie de Recovery en temps réel. Cela permet aux équipes de choisir en toute confiance le point de Recovery approprié.
Intégration avec les solutions SIEM et SOAR pour une automatisation complète
Dans un véritable scénario d’intervention rapide, la rapidité et la précision sont indispensables à la sécurité des données inestimables d’une organisation. De même, chaque étape du processus de Recovery, de la détection d’une anomalie à l’identification d’une infection, est essentielle du point de vue de la sécurité.
Ainsi, Commvault permet de partager ces événements de sécurité critiques avec les équipes chargées des opérations de sécurité (SecOps) grâce à des intégrations SIEM (gestion des informations et des événements de sécurité) et de mettre en œuvre des actions grâce à des intégrations SOAR (orchestration, automatisation et réponse en matière de sécurité).
Tout d’abord, dès que Threat Scan détecte des anomalies – logiciels malveillants, événements de chiffrement ou comportements suspects liés aux sauvegardes –, il envoie immédiatement des événements de sécurité à ces plateformes via des connecteurs dédiés (SIEM et webhooks).
Par ailleurs, grâce à des intégrations avec de puissantes plateformes SOAR telles que Splunk, Microsoft Sentinel et Palo Alto Networks XSOAR, Commvault permet aux équipes SecOps d’obtenir des informations exploitables et d’automatiser les workflows de réponse à l’aide de guides d’intervention préconfigurés (développés en collaboration avec Commvault) afin de prendre les mesures nécessaires : mise en quarantaine des données infectées, préservation des versions de sauvegarde ou déclenchement de workflows de Recovery.
Salle blanche
Cleanroom Recovery est un environnement sécurisé et isolé, disponible à la demande, qui permet aux entreprises de préparer, de valider et de mettre en œuvre leur plan de reprise après incident informatique, garantissant ainsi la continuité des activités. Grâce à Cleanroom Recovery, les entreprises peuvent tester en toute confiance leurs plans de reprise après incident informatique, mener des analyses médico-légales sécurisées et assurer la reprise des systèmes de production afin de garantir la continuité des activités après une attaque.
En matière de restauration des données, notamment dans les environnements de production, même le statut « sain » n’est pas suffisant. Même si les données sont déjà classées comme saines ou compromises, les clients souhaiteront tout de même que leurs propres équipes de sécurité les analysent et procèdent aux analyses judiciaires nécessaires.
Grâce à cette dernière intégration, la fonctionnalité « Threat Scan » de Cleanroom Recovery permet désormais la détection et l’analyse des menaces après la restauration, ainsi qu’une restauration sans faille. Cela contribuera à renforcer la confiance des équipes de sécurité et informatiques quant à leur capacité à se remettre d’un cyberincident.
Considérez cela comme une authentification à deux facteurs dans le domaine de la récupération de données. Cleanroom Recovery permet à votre équipe de revalider les données après la récupération. Ce n’est que lorsque l’équipe est convaincue de la qualité de ses données que celles-ci sont transférées vers l’environnement de production, ce qui garantit non seulement une récupération rapide, mais aussi une récupération irréprochable.
Mettre en œuvre une Recovery rapide et sereine
Lorsque chaque seconde compte et que l’avenir de votre entreprise est en jeu, la confiance est primordiale. La solution d’orchestration de la restauration de Commvault ne se contente pas de restaurer les données ; elle le fait de manière intelligente et sécurisée. Grâce à des analyses basées sur l’IA des métadonnées et de l’entropie des fichiers, la plateforme met automatiquement en quarantaine les fichiers suspects et identifie la dernière copie valide connue. Ainsi, les équipes ne perdent pas un temps précieux à tâtonner : elles restaurent rapidement les données saines.
De plus, l’impact sur l’activité est indéniable. La solution sophistiquée de Commvault contribue à réduire les temps d’arrêt, à renforcer la confiance dans les procédures de Recovery et à prévenir la réinfection de leurs environnements.
Voici à quoi ressemble la cyber-résilience moderne : une détection rapide des menaces, des environnements isolés pour tester et mettre en place les procédures de Recovery, ainsi que des automatisations permettant à vos équipes de se remettre rapidement d’une attaque.
