Architectures de sauvegarde sans confiance zéro

Dans le blog #2 de cette série, nous avons approfondi les principes centraux du modèle ZTDR (Zero Trust Data Resilience) : segmentation, zones multiples de résilience des données et stockage de sauvegarde immuable. Ce modèle et cette architecture, fruit d'une collaboration entre Veeam et Numberline Security, étendent les principes et le modèle de maturité de la confiance zéro de la CISA au cas d'utilisation de la sauvegarde et de la récupération des données d'entreprise (voir Figure 1): 

Figure 1 : Principes fondamentaux de la ZTDR 

Maintenant que nous avons couvert les principes de la ZTDR et la façon dont elle vous aide à sécuriser l'infrastructure de sauvegarde, examinons les architectures de confiance non nulle et mettons en évidence certains pièges qu'elles créent en matière de sécurité.

Appareil monolithique (intégré) - Pas de confiance zéro 

Il est crucial de considérer l'architecture de sauvegarde que vous choisissez pour les besoins de résilience des données de votre organisation. Un exemple à prendre en compte est l'appliance monolithique ou intégrée. Cette architecture ne répond pas aux exigences de la résilience des données de confiance zéro car il n'y a pas de séparation entre le logiciel de sauvegarde et le stockage de sauvegarde (voir Figure 2). Tout attaquant aurait un accès complet au logiciel de sauvegarde et au stockage en cas de violation. Par conséquent, il est impossible d'obtenir une véritable immutabilité et le pirate peut modifier, supprimer ou rendre inaccessibles les données de sauvegarde. Le système de sauvegarde et de restauration serait entièrement compromis, ce qui créerait un rayon d'action important pour l'attaque.

 Figure 2 : Les appliances monolithiques manquent de segmentation 

Cette approche accorde trop de confiance à l'immutabilité du système de fichiers propriétaire du fournisseur et à la sécurité avec des privilèges d'administration. En raison de leur nature naturellement non segmentée et de leur construction autour du concept "tout-en-un", des sacrifices doivent être faits pour que les parties fonctionnent comme un tout. Un pool de stockage peut être qualifié d'immuable, mais l'administrateur de la boîte peut toujours effectuer des réinitialisations d'usine ou des suppressions administratives (ou gouvernées). Supposons qu'une partie du système tombe en panne à la suite d'une attaque, d'une corruption ou d'une mise à jour logicielle défectueuse. Dans ce cas, le reste du système peut devenir inopérant. Même si les données restent immuables en cas de panne, si elles sont inaccessibles, il ne s'agit pas de données résilientes. En outre, il est essentiel de reconnaître que le déploiement d'une appliance virtuelle monolithique dans une instance en nuage ne garantit pas une véritable immutabilité dans un scénario de nuage hybride. En cas de violation, lorsque les informations d'identification du système d'exploitation, de l'instance ou du compte sont compromises, l'ensemble de l'appliance virtuelle devient vulnérable, ce qui élargit le rayon d'action. La vulnérabilité de la sécurité découle de la sauvegarde des données dans le stockage propriétaire hébergé dans l'appliance virtuelle basée dans le nuage. Cette faiblesse - causée par un désalignement architectural avec ZTDR - pourrait être résolue en sauvegardant les données directement dans un stockage d'objets immuables dans le nuage externe à l'instance. 

Direct Attached Storage, Old School and Out of Date 

Direct-Attached Storage (DAS) est une architecture de stockage couramment utilisée dans de nombreuses organisations. Cependant, elle présente un risque de sécurité important car elle n'offre pas d'immuabilité. Il est directement relié au serveur de sauvegarde, sans séparation entre le logiciel de sauvegarde et le stockage de sauvegarde. Cela signifie que si un pirate accède à l'hôte en exploitant une vulnérabilité du système d'exploitation ou de l'application, il peut facilement accéder à toutes les données de ce système (voir la figure 3).

Avec le DAS, il n'y a pas de mécanisme pour empêcher l'accès non autorisé ou la falsification des données stockées sur le serveur de sauvegarde. Cela le rend vulnérable aux menaces internes et externes, notamment aux initiés malveillants, aux cybercriminels et aux pirates informatiques.

Figure 3 : Le DAS n'est pas immuable et peut être facilement compromis. 

Bien que le stockage en attachement direct puisse sembler être une solution pratique et économique pour la sauvegarde et la restauration, il présente des risques de sécurité importants qu'il ne faut pas ignorer. En mettant en œuvre une architecture de stockage de sauvegarde qui assure l'immuabilité et la séparation du logiciel de sauvegarde et du stockage de sauvegarde, les entreprises peuvent réduire considérablement le risque de violation des données et garantir l'intégrité de leurs données de sauvegarde.

Autres options de stockage 

Les mêmes considérations s'appliquent à d'autres types de stockage, tels que les appliances de déduplication, les NAS, ou même un référentiel Veeam Hardened Linux construit par l'entreprise elle-même. Bien que chacun d'entre eux ait ses avantages en tant que cible de stockage, comme une plus grande capacité, une gestion indépendante ou une commodité simple, ils n'ont pas la sécurité requise pour être considérés comme résilients aux données de confiance zéro. Lorsque vous envisagez d'utiliser ces dispositifs pour le stockage de sauvegarde, posez les questions suivantes :

• Le stockage est-il renforcé par défaut (prêt à l'emploi) ? 
• La configuration et la gestion nécessitent-elles une expertise ou une formation supplémentaire en matière de sécurité ? 
• Les privilèges administratifs permettent-ils d'accéder aux suppressions ou aux réinitialisations ? 
• Cette solution réduira-t-elle ma surface d'attaque et pourra-t-elle fonctionner sans mon logiciel de sauvegarde?  
• Quel type d'immutabilité est utilisé, gouvernance (les administrateurs peuvent supprimer) ou conformité (personne ne peut supprimer) ? 

Pensées finales 

Les failles de sécurité ne sont plus une question de si mais de quand. Les entreprises doivent protéger de manière proactive leurs systèmes et leurs données contre les menaces potentielles.

Dans cette série de blogs, nous avons abordé les principes de résilience des données Zero Trust proposés par Veeam et Numberline Security, en étendant Zero Trust aux systèmes de sauvegarde d'entreprise. En adoptant les principes de la résilience des données à confiance zéro, les entreprises peuvent disposer d'une voie claire et concrète pour renforcer la posture de sécurité de leurs systèmes de sauvegarde et de restauration. Cette approche améliore le modèle de maturité traditionnel de la confiance zéro. Elle garantit que l'infrastructure de sauvegarde est segmentée de manière sécurisée en plusieurs zones de résilience des données, que la surface d'attaque est minimisée, que l'accès au moindre privilège est appliqué pour chaque zone et qu'elle exploite l'immuabilité pour protéger les données de sauvegarde contre la modification et la suppression, quel que soit le privilège administratif.  

En outre, la ZTDR favorise des opérations plus efficaces et l'alignement entre les administrateurs de sauvegarde, l'informatique et les équipes de sécurité, ce qui conduit finalement à une récupération plus rapide et plus sûre en cas d'infraction. En mettant en œuvre ces meilleures pratiques, les entreprises peuvent démontrer leur engagement en matière de sécurité et renforcer la confiance de leurs clients et parties prenantes. Pour en savoir plus, veuillez lire notre whitepaper et le document de recherche original rédigé par Jason Garbis et Veeam.