Une sauvegarde immuable, ou immutable backup, conserve un point de restauration en empêchant sa modification ou sa suppression pendant une durée de conservation définie. Elle aide à limiter les effets d’un rançongiciel, d’une suppression accidentelle ou d’un compte de sauvegarde compromis.
Définition simple
L’immuabilité verrouille les données sauvegardées jusqu’à une échéance. Elle complète les copies séparées, la protection des comptes et les tests de restauration. Une sauvegarde immuable ne garantit pas, à elle seule, que le système pourra être remis en service.
Définition technique
Selon la solution, le verrouillage repose sur un stockage WORM, un mécanisme Object Lock ou un dépôt de sauvegarde durci. Il faut identifier la couche qui applique la protection, les objets ou fichiers concernés et les droits permettant d’agir sur la rétention.
Les modes ne sont pas équivalents. Avec Amazon S3 Object Lock, le mode Governance autorise certains comptes disposant des permissions nécessaires à contourner la rétention. Le mode Compliance empêche les utilisateurs, y compris le compte root, de supprimer une version protégée ou de raccourcir sa rétention avant l’échéance. Ces garanties dépendent du service et de son périmètre de protection.
À quoi cela sert ?
L’objectif est de conserver des points exploitables lorsqu’un incident touche les données de production ou les opérations ordinaires de sauvegarde. L’architecture doit aussi limiter les dépendances communes : comptes administratifs, serveur de sauvegarde, stockage, clés et accès au catalogue.
Exemple concret
Un dépôt conserve des points verrouillés pendant 14 jours. Une tentative de suppression par les opérations normales est refusée pendant cette période. Une politique de 30 jours protège plus longtemps les points concernés, mais augmente aussi la capacité nécessaire. La durée doit correspondre au délai de détection d’un incident et aux objectifs de reprise.
Comment diagnostiquer une sauvegarde immuable ?
- Identifier le stockage et le mécanisme qui imposent réellement l’immuabilité.
- Contrôler la rétention effective des points, les permissions privilégiées et les changements de politique.
- Vérifier l’espace disponible, la croissance et la capacité à poursuivre les sauvegardes tant que les anciens points sont verrouillés.
- Vérifier que les clés, catalogues et accès nécessaires à la restauration restent disponibles en cas de perte du serveur principal.
Problèmes fréquents
Une rétention trop courte peut expirer avant la découverte d’une attaque. Une rétention mal dimensionnée peut saturer un dépôt sans possibilité de purger les points protégés. Des droits permettant de contourner un mode de gouvernance doivent être explicitement identifiés et maîtrisés.
Comment valider la restauration ?
Restaurez régulièrement des fichiers et un système représentatif depuis un point encore protégé, dans un environnement de test. Mesurez le délai de reprise et vérifiez l’intégrité des données et le fonctionnement applicatif. Testez également le scénario où le serveur de sauvegarde d’origine est indisponible, et surveillez les échecs, les tentatives de suppression et l’approche de la saturation.
FAQ — Sauvegarde immuable
Une sauvegarde immuable est-elle impossible à supprimer pour toujours ?
Non. La protection dépend de la technologie, du mode choisi et de la période de rétention. Il faut vérifier les permissions et les conditions documentées par le fournisseur.
Est-ce la même chose qu’un air gap ?
Non. Un air gap vise l’isolement des copies. L’immuabilité contrôle leur modification et leur suppression. Une copie immuable peut rester connectée ; une copie hors ligne peut offrir une protection complémentaire.
Quel test est indispensable ?
Une restauration réelle depuis un point protégé, avec les accès, clés et dépendances nécessaires, y compris lorsque l’infrastructure de sauvegarde habituelle est indisponible.