Qu'est-ce qu'un air gap logique ?

Un air gap logique est une copie de sauvegarde maintenue logiquement inaccessible depuis l'environnement de production et d'identité qui l'a créée : isolée par le réseau, les identifiants et le plan de contrôle plutôt que par des médias physiquement déconnectés. La copie reste en ligne et rapidement récupérable, mais une compromission des systèmes de production ne peut pas l'atteindre.

La distinction essentielle est la suivante : un air gap porte sur l'accessibilité, non sur la mutabilité. Il répond à une autre question que l'immuabilité, et ce sont deux contrôles distincts qui résolvent des problèmes distincts. Ce qui suit explique où se situe la ligne, et pourquoi les architectures de sauvegarde sérieuses utilisent les deux.

Air gap logique et air gap physique

Les deux approches partagent un objectif — une copie de sauvegarde qu'un environnement de production compromis ne peut pas toucher — mais elles l'atteignent très différemment.

• Air gap physique. La copie réside sur des médias physiquement déconnectés de tout réseau : la bande hors ligne classique, ou un disque amovible retiré du lecteur. Rien ne peut l'atteindre car il n'y a aucune connexion à franchir.
• Air gap logique. La copie reste en ligne, mais l'accessibilité réseau, l'identité et le plan de contrôle sont séparés : l'atteindre suppose de franchir des frontières qu'un attaquant présent en production ne maîtrise pas. L'isolement est imposé par l'architecture, non par un câble débranché.

Le compromis oppose la vitesse de récupération à la déconnexion absolue. La bande offre l'isolement le plus fort possible, mais des restaurations lentes et manuelles ; un air gap logique conserve des restaurations rapides et automatisables tout en admettant que l'isolement est imposé par des contrôles et non par la physique. Pour la plupart des organisations confrontées aux rançongiciels plutôt qu'à des acteurs étatiques, un air gap logique bien conçu est l'équilibre pratique.

Ce qui rend un air gap « logique »

« En ligne mais isolé » ne compte comme air gap que si l'isolement tient sur chaque dimension qu'un attaquant utiliserait. Une copie sur le même segment réseau, derrière les mêmes identifiants, n'est pas isolée : c'est une cible de plus. Les séparations qui comptent vraiment sont :

• Accessibilité réseau. Le stockage de sauvegarde se trouve sur un réseau segmenté, à routage restreint et accès strictement délimité, et non sur le LAN plat de production.
• Identifiants et identité. Aucun annuaire partagé ni authentification unique entre la production et le système de sauvegarde. Un administrateur de domaine compromis ne devrait pas être aussi administrateur du stockage.
• Plan de contrôle et gestion. Les interfaces qui gèrent le stockage ne sont pas accessibles depuis la production ; la rétention et la suppression ne peuvent donc pas être modifiées depuis un hôte compromis.
• Domaine de panne. Une panne — ou une attaque — en production ne se propage pas en cascade vers l'environnement de sauvegarde.
• Responsabilité opérationnelle. Des rôles et processus d'administration séparés, afin qu'un seul compte compromis ne défasse pas l'ensemble de l'architecture.

Prises isolément, ces mesures réduisent le risque. Combinées, elles créent un air gap concret : un attaquant qui maîtrise la production ne peut toujours pas atteindre, altérer ni supprimer la copie protégée.

Air gap et immuabilité — pourquoi les deux sont nécessaires

C'est la distinction qui induit en erreur, car les deux sont vendus comme une « protection contre les rançongiciels » et semblent interchangeables. Ils ne le sont pas.

• L'immuabilité répond à : ces données peuvent-elles être modifiées ? Elle empêche un objet stocké d'être modifié ou supprimé pendant une période définie.
• Un air gap répond à : ces données peuvent-elles seulement être atteintes ? Il empêche un système compromis d'accéder au stockage en premier lieu.

Pourquoi les deux ? Un attaquant qui atteint votre plateforme de sauvegarde avec des identifiants d'administration valides peut l'attaquer même lorsque les objets sont verrouillés : en modifiant la politique de rétention avant l'effet du verrou, en supprimant des buckets, ou en visant la plateforme elle-même. L'immuabilité réduit la mutabilité ; l'isolement réduit l'accessibilité. Chacun comble une faille que l'autre laisse ouverte.

En pratique, ils se superposent. L'immuabilité au niveau de l'objet, telle que S3 Object Lock — le mécanisme qui impose la rétention WORM — garantit que des données atteintes restent inaltérables, tandis qu'un air gap logique garantit qu'un domaine d'administration compromis ne peut pas les atteindre facilement pour contourner ces contrôles. Un référentiel immuable mais non isolé, ou isolé mais non immuable, présente un maillon plus faible qu'il n'y paraît.

Où se situe l'air gap logique : la règle 3-2-1-1-0

La règle de sauvegarde 3-2-1 bien connue — trois copies, sur deux types de médias, dont une hors site — est antérieure aux rançongiciels modernes. La formulation actualisée 3-2-1-1-0 ajoute les deux contrôles que les rançongiciels ont rendus incontournables :

• 3 — conserver au moins trois copies des données (l'original plus deux sauvegardes).
• 2 — les stocker sur deux types de médias ou de stockage différents.
• 1 — conserver au moins une copie hors site.
• 1 — conserver au moins une copie hors ligne, avec air gap ou immuable.
• 0 — vérifier les restaurations pour atteindre zéro erreur : tester que les copies se restaurent réellement.

Le « 1 » supplémentaire est l'endroit où vit l'air gap logique, et les meilleures architectures rendent cette copie à la fois isolée et immuable au lieu de les opposer. Le « 0 » rappelle qu'une copie isolée et immuable que vous n'avez jamais restaurée à titre de test est une hypothèse, pas une sauvegarde.

L'air gap logique et ARTESCA

Scality ARTESCA est un stockage objet que vous déployez sur vos propres serveurs standard, et sa conception de cyber-résilience CORE5 assemble un air gap logique à partir de plusieurs des séparations ci-dessus, et non d'une fonction unique.

• Séparation des identifiants et de l'identité. Les systèmes de sauvegarde et de stockage utilisent des identifiants isolés : compromettre le domaine de l'application de sauvegarde ne livre pas la couche de stockage à l'attaquant.
• Contrôles d'administration « zéro confiance ». Aucun utilisateur, application ou système n'est fiable par défaut ; l'accès administratif exige la MFA et suit des limites de moindre privilège.
• Plateforme durcie. Le système d'exploitation intégré est durci, sans accès root, ce qui réduit la surface qu'un hôte compromis pourrait utiliser pour atteindre le plan de contrôle.
• Immuabilité au niveau de l'objet. S3 Object Lock en modes gouvernance et conformité, ainsi que la conservation légale, maintient inaltérables les données atteintes : la moitié « immuabilité » du couple ci-dessus.
• Séparation géographique. Les copies multisites et hors site étendent l'isolement entre les emplacements, afin qu'un incident sur un seul site n'emporte pas la copie protégée.

Le résultat est une copie qui reste en ligne et rapidement récupérable tout en demeurant inaccessible depuis un environnement de production et d'identité compromis : un air gap logique combiné à l'immuabilité, soit exactement la combinaison que réclame la règle 3-2-1-1-0.

FAQ sur l'air gap logique

Un air gap logique est-il aussi sûr que la bande ?

Pour la plupart des modèles de menace, oui — avec un compromis. Un air gap physique sur bande hors ligne offre l'isolement le plus fort possible car il n'y a aucune connexion à attaquer, mais les restaurations sont lentes et manuelles. Un air gap logique bien conçu conserve des restaurations rapides tout en imposant l'isolement par la séparation du réseau, de l'identité et du plan de contrôle. La bande peut encore avoir du sens pour une copie de coffre la plus profonde ; pour la reprise opérationnelle, l'isolement logique est généralement le meilleur équilibre.

L'immuabilité seule me donne-t-elle un air gap ?

Non. L'immuabilité empêche des données atteintes d'être modifiées ; un air gap empêche qu'elles soient atteintes. Un référentiel immuable qui partage identifiants et réseau avec la production peut encore être attaqué au niveau de la plateforme. Ce sont des contrôles complémentaires, non des substituts.

Une seconde région cloud compte-t-elle comme air gap logique ?

Seulement si elle est réellement séparée. Une seconde région sous le même compte, le même fournisseur d'identité et le même plan de gestion partage un rayon d'impact avec la première : un plan de contrôle compromis peut atteindre les deux. Elle devient un air gap lorsque l'identité, le contrôle et l'accès sont isolés, et pas seulement lorsque les données se trouvent à un endroit géographiquement différent.

Qu'est-ce qui casse un air gap logique ?

Les défaillances courantes sont un annuaire ou un SSO partagé entre production et sauvegarde, des serveurs de sauvegarde rattachés à l'Active Directory de production, des interfaces de gestion accessibles depuis le réseau de production, et des politiques d'accès trop larges. Chacune rétablit un chemin depuis un environnement de production compromis vers la copie protégée.

Ai-je encore besoin de l'immuabilité si j'ai un air gap logique ?

Oui. L'isolement réduit la probabilité que la copie soit atteinte, mais si elle l'est un jour — par une mauvaise configuration ou un acteur interne — c'est l'immuabilité qui conserve les données intactes. La règle 3-2-1-1-0 vise les deux pour cette raison.