Tout le monde a des sauvegardes. La question qui compte, c’est ce qui est revenu quand vous en avez eu besoin, et on n’apprend la réponse qu’en restaurant. Après une attaque par ransomware sur un groupe industriel de plus de vingt usines, nous avons passé en revue, site par site, les sauvegardes de son système le plus critique, un système qualité réglementé que chaque usine exploitait. Voici ce que nous avons trouvé.
Ce qui est revenu
La plupart des sites ont tout restauré. Cela mérite d’être dit, parce que l’histoire se raconte généralement comme un désastre et qu’elle ne l’a surtout pas été. Le meilleur site faisait des sauvegardes complètes quotidiennes sur disque, gardait une copie dédupliquée sur un stockage séparé, et envoyait des bandes dans un autre bâtiment : trois copies, deux supports, dont un hors d’atteinte du ransomware. Il avait une procédure écrite pour tout cela, et la procédure était auditée à intervalles réguliers. Quand l’attaque est venue, ce site a passé une semaine ennuyeuse.
Ce qui n’est pas revenu
Un site a perdu ses archives. L’application était sauvegardée. Le serveur d’archives qui contenait des années d’historique ne l’était pas, parce qu’il avait été installé à part, par quelqu’un parti depuis, et que personne n’avait demandé s’il figurait dans le calendrier de sauvegarde. L’application est revenue ; son histoire, non. Dans un environnement réglementé, un enregistrement que vous ne pouvez pas produire est un écart en soi, et celui-là ne pouvait pas être corrigé.
Deux sites n’avaient pas de documentation de sauvegarde à jour. Leurs sauvegardes existaient et se restauraient, mais la documentation décrivait une infrastructure reconstruite dans l’urgence pendant la crise, et personne ne pouvait dire avec certitude que ce que les documents promettaient était ce que le système faisait désormais.
Un site n’a pas été touché, pour une raison que personne n’avait prévue : ses systèmes étaient sur un domaine séparé, sans relation d’approbation avec celui que l’attaquant avait pris. Une isolation née d’un accident de l’histoire s’est révélée le meilleur contrôle du groupe.
Ce que l’on fait de travers
On sauvegarde l’application et pas ses archives. L’archive est la partie que vous ne pouvez pas recréer. L’application, vous pouvez la réinstaller.
On fait confiance à la documentation après une crise. Une infrastructure de sauvegarde reconstruite sous pression dans les semaines qui suivent une attaque est une autre infrastructure que celle que les documents décrivent. Tant que personne n’a réconcilié les deux, les documents sont de la fiction.
On garde toutes les copies sur le même domaine. Si le serveur de sauvegarde fait confiance au domaine que l’attaquant contrôle, l’attaquant contrôle les sauvegardes. Une copie hors ligne, ou sur un domaine sans relation d’approbation, est ce qui survit.
On ne restaure jamais. Une sauvegarde jamais restaurée est une hypothèse.
Une sauvegarde jamais restaurée est une hypothèse.