Comment Cybee protège-t-il les sauvegardes contre les ransomwares ?

Les ransomwares modernes ne se contentent plus de chiffrer les données de production : ils ciblent d’abord les sauvegardes, pour priver la victime de toute alternative au paiement. Détruire les sauvegardes est devenu une étape standard du mode opératoire des attaquants. La protection des sauvegardes elles-mêmes est donc le cœur de la conception de Cybee, selon plusieurs lignes de défense complémentaires.

1. Des sauvegardes hors de portée du système d’information

Les sauvegardes Cybee sont stockées dans le Cloud européen, hors du système d’information de production. Un ransomware qui se propage sur le réseau interne — serveurs, NAS, baies de stockage, y compris les serveurs de sauvegarde locaux — n’atteint pas des données stockées sur une infrastructure distincte, opérée indépendamment, avec ses propres mécanismes d’authentification.

C’est l’application directe du principe de la copie externalisée de la règle 3-2-1 : une copie hors site, sur un support déconnecté logiquement de l’environnement attaqué.

2. Un stockage immuable : des sauvegardes impossibles à effacer

Cybee propose une option d’immuabilité du stockage : pendant leur période de rétention, les sauvegardes ne peuvent être ni modifiées, ni supprimées — par personne. Ni par un attaquant ayant volé des identifiants d’administration, ni par un collaborateur malveillant, ni par erreur humaine, ni par Cybee.

Cette garantie repose sur les mécanismes de verrouillage objet du stockage S3 : la protection est appliquée par l’infrastructure de stockage elle-même, au niveau de chaque objet écrit. Elle ne dépend d’aucun logiciel intermédiaire qu’un attaquant pourrait compromettre. Même le scénario le plus défavorable — un attaquant disposant des accès complets à la console de sauvegarde — ne permet pas de détruire les sauvegardes verrouillées.

3. Des clés de chiffrement inaccessibles depuis les machines protégées

Les clés de chiffrement ne sont pas stockées en permanence sur les serveurs sauvegardés : elles sont conservées dans un coffre-fort technique et injectées dans l’Agent uniquement le temps de l’exécution des sauvegardes et restaurations. Un attaquant qui compromet un serveur n’y trouve pas de quoi accéder à l’historique des sauvegardes ni le corrompre silencieusement.

4. L’intégrité vérifiable : détecter avant de devoir restaurer

Chaque fragment de données sauvegardé est chiffré avec vérification d’intégrité : toute altération est détectable. Le moteur Restic permet en outre de contrôler la cohérence complète des dépôts. Face à un ransomware, cette propriété est décisive : elle permet de s’assurer que les sauvegardes sur lesquelles reposera la reprise sont saines, et d’identifier un cliché antérieur à la compromission.

L’historique de clichés conservé selon la politique de rétention — quotidiens, hebdomadaires, mensuels — offre la profondeur nécessaire pour restaurer un état antérieur à l’intrusion, y compris lorsque l’attaquant est resté dormant plusieurs semaines avant de déclencher le chiffrement.

5. La restauration : reconstruire après l’attaque

Après une attaque, les données restent restaurables à la demande — fichiers, volumes ou serveurs complets — vers des environnements sains, depuis la console Cybee. Et pour les organisations qui ont besoin d’un engagement de délai de reprise complet de leur système d’information, Cybee s’intègre au PRA Cloud managé de Nuabee.

Une précision honnête pour finir : aucune solution ne « bloque » un ransomware — c’est le rôle des outils de détection et de protection des postes. Le rôle d’une sauvegarde cyber-résiliente est différent et complémentaire : garantir que, quoi qu’il arrive au système d’information, il existe une copie saine, intègre et intouchable des données, à partir de laquelle tout reconstruire sans payer de rançon.

Pour aller plus loin :

• Les données sont-elles chiffrées ? (fiche FAQ)
• Quelles sont les possibilités de rétention des sauvegardes ? (fiche FAQ)
• Cybee est-elle une solution de PRA ? (fiche FAQ)