Sauvegarde 3-2-1 et rançongiciel : la règle et ses limites3-2-1 backup and ransomware: the rule and its known limits
La règle 3-2-1 reste le repère le plus utile en matière de sauvegarde : trois copies des données, sur deux types de supports différents, dont une conservée hors site. Face aux rançongiciels, elle montre toutefois une limite, car une sauvegarde accessible depuis le réseau compromis peut être chiffrée ou supprimée en même temps que les données de production.The 3-2-1 rule remains the most useful benchmark for backup: three copies of the data, on two different media types, one of them kept off site. Against ransomware it nonetheless shows a limit, because a backup reachable from the compromised network can be encrypted or deleted at the same time as the production data.
De 3-2-1 à 3-2-1-1-0From 3-2-1 to 3-2-1-1-0
L'extension couramment retenue ajoute deux exigences. Le premier 1 supplémentaire désigne une copie immuable ou hors ligne, c'est-à-dire une copie qui ne peut être modifiée ni supprimée pendant une durée définie, y compris par un compte disposant de privilèges élevés. Le 0 désigne zéro erreur lors des tests de restauration : la sauvegarde n'est considérée comme valide que si la restauration a été effectivement vérifiée. C'est cette dernière exigence qui manque le plus souvent.The commonly adopted extension adds two requirements. The extra 1 designates an immutable or offline copy, that is a copy that cannot be modified or deleted for a defined period, including by a highly privileged account. The 0 designates zero errors in restore testing: a backup is only considered valid once the restore has actually been verified. That last requirement is the one most often missing.
- Trois copies, deux types de supports, une hors site
- Une copie immuable ou hors ligne, protégée même d'un compte privilégié
- Zéro erreur de restauration constatée lors des tests
- L'immuabilité doit couvrir une durée cohérente avec le délai de détection
- Three copies, two media types, one off site
- One immutable or offline copy, protected even from a privileged account
- Zero restore errors observed during testing
- Immutability must cover a period consistent with your detection delay
Ce que visent les attaquants avant de chiffrerWhat attackers target before encrypting
Les scénarios observés suivent une logique constante : obtenir des privilèges élevés, identifier l'infrastructure de sauvegarde, supprimer ou altérer les copies accessibles, puis seulement ensuite déclencher le chiffrement. Une sauvegarde intégrée au même annuaire, administrée avec les mêmes comptes et joignable depuis le même réseau constitue donc une cible prioritaire. L'isolation de l'administration de la sauvegarde est aussi importante que la sauvegarde elle-même.Observed scenarios follow a consistent logic: obtain elevated privileges, identify the backup infrastructure, delete or alter the reachable copies, and only then trigger encryption. A backup integrated into the same directory, administered with the same accounts and reachable from the same network is therefore a priority target. Isolating backup administration matters as much as the backup itself.
- Isoler l'administration de la sauvegarde de l'annuaire principal
- Utiliser des comptes dédiés, non réutilisés ailleurs dans le système
- Restreindre la joignabilité réseau de l'infrastructure de sauvegarde
- Surveiller et alerter sur toute suppression de points de restauration
- Isolate backup administration from the main directory
- Use dedicated accounts, not reused elsewhere in the system
- Restrict network reachability of the backup infrastructure
- Monitor and alert on any deletion of restore points
Le délai de détection change la rétention nécessaireDetection delay changes the retention you need
Une intrusion peut précéder le chiffrement de plusieurs semaines. Si votre rétention est plus courte que ce délai, toutes vos copies disponibles peuvent être postérieures à la compromission initiale. La profondeur de rétention doit donc être pensée en fonction du délai plausible de détection, et non seulement du volume à conserver. Les tests d'intrusion menés par S2I Consulting éclairent précisément ce point, en identifiant les chemins qui mènent à l'infrastructure de sauvegarde et en validant leur fermeture par un contre-test.An intrusion may precede encryption by several weeks. If your retention is shorter than that delay, every available copy may postdate the initial compromise. Retention depth must therefore be designed around the plausible detection delay, not only around the volume to keep. The penetration tests run by S2I Consulting shed light on exactly this point, by identifying the paths that lead to the backup infrastructure and validating their closure through a retest.
- Dimensionner la rétention sur le délai plausible de détection
- Conserver des points de restauration suffisamment anciens et vérifiés
- Vérifier l'intégrité des sauvegardes, pas seulement leur existence
- S2I identifie les chemins menant à l'infrastructure de sauvegarde
- Size retention around the plausible detection delay
- Keep restore points that are old enough and verified
- Verify backup integrity, not merely its existence
- S2I identifies the paths leading to the backup infrastructure
Repères de configurationConfiguration guidance
Repères indicatifs : la configuration finale est validée avec vous selon vos contraintes réelles (charge, budget, environnement).Indicative guidance: the final configuration is validated with you against your real constraints (workload, budget, environment).
Questions fréquentesFrequently asked questions
Un besoin précis à chiffrer ?A specific need to quote?
Décrivez votre contexte : nous revenons sous 24 à 72 heures avec une approche et un devis.Tell us your context: we come back within 24-72 hours with an approach and a quote.