Dans mon blogue précédent, « Pourquoi les sauvegardes classiques sont insuffisantes contre les cybermenaces », j’ai partagé la stratégie de modernisation de la technologie de sauvegarde pour la cyberrésilience. Une autre stratégie importante consiste à bâtir un environnement de récupération isolé afin d’exécuter des applications essentielles à l’entreprise pendant que les analyses judiciaires sont encore en cours sur le système de production.

Voici huit éléments qui peuvent aider à bâtir un IRE :

1. Isolement et segmentation :

   Une stratégie de sécurité robuste pour un environnement isolé implique généralement plusieurs éléments clés :

   • Airgap physique ou réplication à sens unique : Pour garantir l’isolement, un airgap physique est recommandé entre les environnements. Cela signifie qu’il n’existe aucune connexion réseau directe, réduisant ainsi le risque de transfert non autorisé de données ou de cybermenaces. Alternativement, vous pouvez synchroniser les données à l’aide d’une réplication à sens unique à l’aide de solutions fournies par le fabricant (OEM), telles que des diodes de données, ou au moyen de règles de pare-feu permettant à l’information de circuler dans un seul sens — souvent de la production vers l’environnement isolé.
   • Services d’infrastructure de base séparés : Les éléments d’infrastructure essentiels hébergeant le réseautage, les pare-feu, les machines virtuelles, les systèmes de stockage, les outils de surveillance, les sauvegardes, Active Directory et les ressources Citrix sont fournis indépendamment pour l’environnement isolé. Cette séparation garantit qu’aucune dépendance opérationnelle ne chevauche d’autres systèmes critiques pour l’entreprise et aide à circonscrire les menaces potentielles à l’intérieur de limites définies.
   • Aucune connexion routable de la production vers l’IRE : Sécurité Zero Trust doit être appliquée en assurant qu’aucun chemin réseau routable n’existe entre les systèmes de production et l’IRE. Cela empêche un déplacement latéral et un accès direct, limitant ainsi l’exposition aux maliciels ou aux attaquants susceptibles de compromettre les actifs de production.
   • Utilisé exclusivement pour les charges de travail de l’IRE : Toutes les ressources de cet environnement sont entièrement dédiées aux tâches de l’IRE. Ces charges de travail sont volontairement isolées des fonctions d’entreprise régulières, assurant un focus sur la reprise et la résilience sans interférence de processus non liés.
2. Identité et accès
   1. Scénario CyberArk/PAM « briser la glace » : Lors d’un incident de cybersécurité, il est possible que vous perdiez vos processus de connexion habituels et l’accès aux mots de passe. Il est conseillé aux clients de mettre en place une procédure « briser la glace » au sein des solutions de gestion des accès privilégiés (PAM) comme CyberArk. Le processus doit être strictement surveillé et consigné.
   2. MFA, Entra ID : Les procédures de rétablissement d’AD (au niveau du domaine ou de la forêt) doivent être maintenues et testées régulièrement. Il existe des solutions qui peuvent automatiser et accélérer la récupération de la Forêt en passant de quelques jours à quelques heures.
   3. Accès juste-à-temps avec TOTP : L’accès JIT (juste-à-temps) et la stratégie MFA doivent également être réfléchis lors de la conception de l’IRE.
   4. Flux d’administration sécurisés : Une tâche complexe consiste à définir les flux de sécurité afin que le trafic réseau puisse être isolé et prévenir l’impact généralisé d’un événement cyber. Certaines des meilleures pratiques recommandées incluent le déploiement VLAN jaune–vert, aucune connexion RDP/SSH directe, accès iLO restreint et accès VDI Citrix restreint.

3. Stockage immuable : L’immutabilité est l’élément le plus important dans la création d’une IRE, avec plusieurs scénarios possibles, dont les suivants :

   • L’immutabilité est atteinte dans le Stockage du coffre et les données du coffre à restaurer dans l’IRE (recommandé). Dans l’architecture ci-dessous, le coffre et l’IRE sont isolés.

   

4. Détection des anomalies et des menaces

   • Mettre en œuvre l’analyse de logiciels malveillants, la détection d’anomalies et de menaces

     Cela résout deux problèmes importants pour les organisations :

     1. Rétablissement plus rapide

        La sauvegarde est analysée et marquée comme « bonne sauvegarde », ce qui aide l’organisation à choisir la bonne capture instantanée (snapshot) pour la restauration. Autrement, restaurer à partir de plusieurs points dans le temps et analyser la présence de maliciels pourrait allonger le calendrier de restauration.

     2. Prévention contre la réinfection

        Puisque je ne restaure qu’à partir de la « bonne sauvegarde », cela réduit les risques de réinfection dus à la restauration d’une copie infectée.

   • Chasse aux menaces basée sur les règles YARA

     Elle permet de rechercher de façon proactive des indicateurs de compromission (IOC) à travers les systèmes et les sauvegardes, au lieu d’attendre des alertes provenant d’outils traditionnels. Elle permet notamment :

     1. La détection précoce de menaces avancées
     2. L’analyse forensique et la réponse aux incidents
     3. Personnalisable et évolutive : Les organisations peuvent concevoir des règles adaptées à des menaces ou besoins de conformité spécifiques et aussi intégrer aux solutions SIEM, EDR et aux pipelines d’automatisation pour une surveillance continue.

5. Dimensionnement optimal

   Le dimensionnement approprié de l’IRE est un aspect crucial de sa conception ; autrement, on ne pourrait justifier ses coûts comparativement à un arrêt prolongé de l’application. Voici quelques principes pour dimensionner l’IRE :

   • Identifier les exigences MVB et de performance
   • Déterminer la durée d’utilisation de l’IRE
   • Analyser « cloud vs sur site », « mutualisé vs dédié »
   • Être prêt à accepter que tout n’a pas besoin d’être exécuté dans l’IRE
6. Modèles de reprise et exercices réguliers

   • Utiliser IaC et autres outils d’automatisation pour la reprise automatisée et orchestrée.

     Tout fonctionne bien manuellement avec seulement une ou deux restaurations à réaliser. En cas d’incident cyber, un scénario de reprise pourrait impliquer le redémarrage et la mise en ligne de 200 à 400 serveurs. Les tâches comme les pré-vérifications, le séquencement de démarrage des serveurs, le démarrage d’applications et les post-vérifications peuvent être totalement automatisées.

   • Exercices réguliers de simulation sur table et exercices de reprise à grande échelle

     Tous les processus, guides d’exploitation et procédures doivent être conservés de manière sécuritaire et inclus dans le coffre pour un accès sécurisé.

7. Rebasculement

   • Définir les scénarios de rebasculement de l’IRE vers Production

     C’est l’étape la plus complexe lors d’une reprise à la suite d’un incident cyber. Une fois que l’infrastructure de production est validée comme sécuritaire, la connexion de l’IRE à la production doit être établie pour la procédure de rebasculement. Cela peut se faire par migration hôte à hôte ou migration stockage à stockage.

Conclusion – En fin de compte, la création d'un environnement de récupération isolé consiste à être prêt pour le jour où les systèmes de production ne pourront tout simplement pas être fiables. Il ne s'agit plus seulement d'une question de sauvegarde—il s'agit d'avoir un lieu sûr et contrôlé où les services essentiels peuvent continuer de fonctionner pendant que l'effort de récupération principal est toujours en cours. Le véritable défi est de trouver le bon équilibre : une forte isolation, un accès de confiance, des points de récupération propres et une capacité suffisante pour répondre aux vrais besoins de l'entreprise. Et comme tout ce qui touche à la cyberrésilience, cela ne fonctionne que si c'est testé, pratiqué et gardé réaliste. Lorsqu'il est bien fait, un IRE peut transformer une très mauvaise journée en une situation beaucoup plus gérable.