Un rançongiciel moderne ne chiffre pas en espérant. Il cherche d'abord les sauvegardes, parce qu'une victime capable de restaurer ne paie pas. Lecteurs mappés, partages réseau montés, identifiants cloud posés dans un fichier de configuration : tout cela est trouvé et détruit avant que quoi que ce soit ne soit chiffré.

3-2-1, et pourquoi chaque chiffre est là

  • 3 copies - les données vivantes et deux sauvegardes, pour qu'en perdre une laisse encore une copie.
  • 2 supports ou prestataires différents - une panne chez un prestataire ou un compte suspendu n'emporte pas tout.
  • 1 hors site et hors de portée - la copie que le serveur compromis ne peut pas supprimer.

Ce que « hors de portée » veut dire en pratique

# the server holds a key that can write and cannot delete
{
  "Effect": "Allow",
  "Action": ["s3:PutObject"],
  "Resource": "arn:aws:s3:::backups/*"
}
# object lock or versioning on the bucket, managed elsewhere

Une sauvegarde que le serveur peut supprimer est une sauvegarde que l'attaquant peut supprimer, parce qu'à cet instant il est le serveur.

Le piège du partage monté

Un partage réseau monté en permanence sur le serveur n'est pas une destination de sauvegarde. C'est un dossier, et tout ce qui atteint vos fichiers l'atteint. Montez-le le temps de la copie, démontez-le ensuite, ou poussez vers quelque chose qui n'accepte que l'écriture.

La rétention doit survivre à la découverte

Le chiffrement est souvent déclenché des semaines après l'intrusion. Sept jours de rétention veut dire que chaque copie que vous détenez a été prise alors qu'ils étaient déjà à l'intérieur. Gardez des copies mensuelles pendant un an.

Et testez la restauration

Le moment où vous en avez besoin est le pire pour découvrir que l'archive est tronquée ou que l'export ne s'importe pas. Restaurez-en une sur une machine de rechange, régulièrement - voyez tester une restauration et quand la sauvegarde est elle aussi corrompue.