Relu par Fitia, Rédactrice en chef
Les ransomwares ne se contentent plus de chiffrer vos serveurs de production. Leur nouvelle cible prioritaire : vos sauvegardes. Sans backup fiable, pas de restauration possible, et la rançon devient la seule issue. Comment s’en prémunir ?
Quand les sauvegardes deviennent la cible
Les cybercriminels ont compris que le dernier rempart d’une entreprise, c’est sa capacité à restaurer ses données. Résultat : plus de 90 % des attaques ransomware ciblent désormais explicitement les systèmes de sauvegarde avant de chiffrer la production. Un NAS connecté au réseau, même protégé par mot de passe ? Accessible. Un serveur de backup sur le même domaine Active Directory ? Compromis en même temps que le reste.
La leçon est claire : une sauvegarde joignable depuis le réseau de production n’est plus une sauvegarde. C’est une vulnérabilité.
Le concept « Air-Gapped » : l’isolation comme protection ultime
Le terme « air-gapped » (littéralement « à espace d’air ») désigne une sauvegarde physiquement déconnectée du réseau. Aucun câble, aucune connexion Wi-Fi, aucun accès distant. L’attaquant qui a compromis votre infrastructure ne peut tout simplement pas atteindre ces données.
Concrètement, plusieurs approches permettent d’implémenter ce principe. Les bandes magnétiques LTO, stockées dans un coffre-fort hors site, offrent un air-gap naturel. Les systèmes de disques rotatifs, où une copie est toujours déconnectée, constituent une alternative. Enfin, certaines architectures utilisent des réseaux physiquement isolés avec connexion temporaire contrôlée uniquement pendant les fenêtres de sauvegarde.
La règle 3-2-1-1-0 : le nouveau standard
L’ancienne règle 3-2-1 (3 copies, 2 supports, 1 hors site) ne suffit plus. Les experts en cybersécurité recommandent désormais la règle 3-2-1-1-0 : les mêmes principes, auxquels s’ajoutent une copie air-gapped ou immuable, et zéro erreur après vérification via des tests de restauration réguliers.
Cette évolution est d’ailleurs reprise dans les recommandations de Cybermalveillance.gouv.fr qui insistent sur la nécessité de conserver des sauvegardes déconnectées et de les tester périodiquement.
Proxmox et l’état de l’art
Pour les entreprises utilisant Proxmox VE comme hyperviseur, Proxmox Backup Server (PBS) s’impose comme la solution native de référence. Elle offre la déduplication au niveau bloc, le chiffrement côté client avant transmission, et la possibilité de synchroniser les sauvegardes vers un site distant.
Combiné à une stratégie air-gapped — par exemple via un prestataire spécialisé qui stocke vos backups sur bandes LTO en coffre-fort — PBS permet d’atteindre un niveau de résilience conforme aux exigences réglementaires actuelles (RGPD, NIS2, ISO 27001).
Pour approfondir ces concepts et découvrir les différentes architectures possibles, consultez ce guide complet sur les Stratégies de sauvegardes.
Conclusion
Face à des attaquants qui ciblent méthodiquement les sauvegardes, l’isolation physique n’est plus une option de luxe. C’est devenu un prérequis pour toute stratégie de cybersécurité sérieuse. Les technologies existent, les méthodologies sont documentées. Reste à les mettre en œuvre avant qu’il ne soit trop tard.
