Enhancing Ransomware Resilience in VMware Environments ThroughImmutable Backup Architectures A Comparative Study of Veeam Backup & Replication and Cohesity Data Protect

Dans le monde numérique moderne, les entreprises s'appuient sur de vastes réseaux de machines virtuelles pour faire fonctionner leurs opérations les plus critiques, des transactions bancaires aux dossiers hospitaliers. Ces systèmes virtuels résident sur des serveurs puissants, souvent gérés par un système de contrôle centralisé. Bien que cette configuration offre une grande efficacité, elle crée aussi un point de défaillance unique : si un attaquant prend le contrôle du système de gestion, il peut verrouiller ou détruire l'ensemble du réseau. C'est la réalité des rançongiciels (ransomware), un type de logiciel malveillant qui chiffre les données et exige un paiement pour leur libération. Au cours des dernières années, les attaquants ont évolué au-delà du simple verrouillage de fichiers ; ils chercheent désormais activement à traquer et à détruire les copies de sauvegarde, sachant que sans moyen de restaurer les données, les organisations sont contraintes de payer. Pour contrer cela, les experts en sécurité se sont tournés vers un concept appelé l'immuabilité. En termes simples, une sauvegarde immuable est une copie de données qui est verrouillée dans le temps. Une fois créée, elle ne peut être ni altérée, ni supprimée, ni chiffrée pendant une période définie, peu importe qui tente d'y accéder. Cela crée un havre de paix de données saines qui reste intact même si le reste du système subit une attaque.

Une étude récente menée par les chercheurs indépendants Nawa Abduljalil Abdulaziz Abdulnoor, Ahmed Razzaz Ahmed Qaid et Rani Abduljalil Abdulaziz Abdulnoor examine comment deux grandes plateformes de protection de données, Veeam Backup & Replication et Cohesity DataProtect, utilisent ces principes d'immuabilité pour défendre les environnements virtuels. Les chercheurs n'ont pas effectué de tests en laboratoire ni simulé d'attaques ; ils ont plutôt réalisé une comparaison détaillée des documentations officielles et des conceptions architecturales des deux systèmes. Leur objectif était de comprendre comment chaque plateforme gère le défi spécifique de la protection des sauvegardes dans un environnement VMware, où de nombreuses machines virtuelles partagent le même matériel sous-jacent et les mêmes outils de gestion. L'étude conclut que, bien que les deux entreprises proposent des solutions robustes pour empêcher les rançongiciels d'effacer les données de récupération, elles empruntent des voies fondamentalement différentes pour y parvenir.

La première plateforme, Veeam, repose sur une stratégie de flexibilité et de construction spécialisée. Pour rendre une sauvegarde immuable, Veeam utilise généralement un « dépôt Linux durci » (hardened Linux repository). Imaginez un coffre-fort sécurisé construit à partir d'un type de pierre spécifique qui est difficile à briser ; dans ce cas, la « pierre » est un système d'exploitation Linux spécialement configuré. Lorsqu'une sauvegarde est écrite dans ce dépôt, le système applique un verrou qui empêche tout fichier d'être déplacé, modifié ou supprimé pendant une durée déterminée. Cette protection se produit au niveau du stockage, ce qui signifie que les fichiers eux-mêmes sont gardés par le système qui les détient. Veeam utilise également une astuce ingénieuse avec les mots de passe : il génère des identifiants à usage unique pour déplacer les données dans ce coffre-fort. Une fois les données à l'intérieur, le mot de passe est jeté, de sorte que même si un attaquant vole l'identifiant de l'administrateur principal, il ne peut pas l'utiliser pour ouvrir le coffre et supprimer les sauvegardes. De plus, Veeam propose une fonctionnalité appelée « Secure Restore », qui agit comme une dernière vérification de sécurité. Avant qu'une machine restaurée ne soit autorisée à revenir sur le réseau actif, le système l'analyse pour détecter d'éventuels logiciels malveillants cachés, garantissant que le processus de récupération ne ramène pas accidentellement le virus à la vie.

La seconde plateforme, Cohesity, aborde le problème sous l'angle d'un système unifié et tout-en-un. Plutôt que de s'appuyer sur un dépôt de stockage distinct et spécialement construit, Cohesity intègre l'immuabilité directement au cœur de sa plateforme logicielle. Elle utilise un système de fichiers natif qui traite chaque instantané (snapshot) de sauvegarde comme un objet verrouillé dès sa création. Cela signifie que la protection est tissée dans la trame de l'ensemble du système, et non ajoutée comme une couche supplémentaire. Cohesity met également l'accent sur un modèle de sécurité « Zero Trust » (confiance zéro), qui part du principe qu'aucun utilisateur, même un administrateur, ne doit être implicitement considéré comme fiable. Pour appliquer cela, le système peut exiger plusieurs approbations, ou un « quorum », avant qu'une action destructrice ne puisse être entreprise. Si un compte d'administrateur est compromis, l'attaquant ne peut pas supprimer les sauvegardes seul ; il devrait tromper plusieurs comptes simultanément. De plus, Cohesity intègre l'intelligence artificielle et l'apprentissage automatique via un outil appelé DataHawk. Ce système surveille constamment les comportements étranges, tels qu'un utilisateur supprimant soudainement des milliers de fichiers ou des données changeant de manière inhabituelle, et signale ces anomalies comme des attaques de rançongiciels potentielles avant que les dégâts ne soient faits.

Les chercheurs ont conclu qu'aucun des deux systèmes n'est une solution miracle capable de résoudre le problème des rançongiciels à lui seul. Bien que Veeam et Cohesity offrent tous deux de solides défenses techniques, leur efficacité dépend entièrement de la manière dont ils sont configurés et gérés. Veeam offre un contrôle plus granulaire, permettant aux organisations de concevoir des architectures de stockage complexes et multicouches, mais cela nécessite une équipe dotée de connaissances techniques approfondies pour une configuration correcte. Si la configuration est défaillante, la protection peut échouer. Cohesity, en revanche, offre une expérience plus simplifiée où les fonctionnalités de sécurité telles que l'immuabilité et la détection des menaces sont intégrées par défaut à la plateforme, ce qui facilite la gestion mais nécessite de faire confiance à la conception intégrée du fournisseur. L'étude suggère que le meilleur choix dépend des besoins spécifiques d'une organisation : celles possédant des environnements de stockage vastes et diversifiés ainsi qu'un personnel informatique qualifié pourraient préférer la flexibilité de Veeam, tandis que celles recherchant une approche centralisée et simplifiée pourraient trouver Cohesity plus adaptée.

En fin de compte, l'article souligne que la technologie seule ne peut garantir la sécurité. Les chercheurs soulignent que même le système de sauvegarde le plus avancé échouera si les personnes qui le gèrent ne suivent pas des règles de sécurité strictes. Cela inclut la séparation des comptes utilisés pour le travail quotidien de ceux utilisés pour les sauvegardes, l'utilisation de l'authentification multi-facteurs pour empêcher les connexions non autorisées, et le maintien de l'ensemble du réseau divisé en zones sécurisées afin qu'une infection dans une zone ne puisse pas se propager aux sauvegardes. Peut-être plus important encore, l'étude souligne qu'une sauvegarde n'est précieuse que si elle a été testée. Les organisations doivent régulièrement tenter de restaurer leurs données pour s'assurer qu'elles fonctionnent réellement et que les fichiers sont sains. Les chercheurs ont constaté que la défense la plus solide contre les rançongiciels n'est pas un produit unique, mais une combinaison de technologie immuable, d'habitudes opérationnelles disciplinées et d'une culture de vérification constante. En fin de compte, l'objectif est de garantir que lorsqu'une attaque survient, l'organisation dispose d'une copie de ses données fiable et immuable prête à être utilisée, lui permettant de se rétablir sans payer de rançon.