Qu'est-ce que l'analyse antimalware des sauvegardes ?
L'analyse antimalware des sauvegardes est l'inspection des données de sauvegarde à la recherche de logiciels malveillants, au moment de leur écriture ou avant leur restauration. Son but est d'éviter de ramener une infection en production avec les données, et d'aider à repérer les points de restauration antérieurs à une compromission.
Pourquoi analyser les sauvegardes ?
Les attaquants restent souvent dans un réseau pendant des jours ou des semaines avant d'agir. Les sauvegardes réalisées pendant cette période capturent fidèlement ce que l'attaquant a installé : outils d'accès à distance, tâches planifiées, fichiers système modifiés. Restaurer la sauvegarde la plus récente après une attaque peut ramener l'environnement à un état que l'attaquant contrôle encore. L'analyse ajoute une vérification entre la sauvegarde et sa réutilisation.
Quand et comment les sauvegardes sont-elles analysées ?
Les analyses peuvent avoir lieu à plusieurs moments, chacun avec une couverture et un coût différents.
| Quand | Comment | Atout | Limite |
|---|---|---|---|
| Pendant la sauvegarde | Contrôles en ligne sur les données lues | Alerte précoce sans tâche supplémentaire | Profondeur limitée, ne doit pas ralentir la sauvegarde |
| Après la sauvegarde | Point de restauration monté et analysé avec des signatures antivirus | Applique les signatures actuelles à des données anciennes | Demande du temps et du calcul |
| Avant ou pendant la restauration | Analyse intégrée au processus de restauration | Empêche le retour de logiciels malveillants connus | Ajoute du temps quand il manque |
| En salle blanche | Restauration dans un réseau isolé, puis inspection | Inspection la plus approfondie | La plus lente, exige un environnement préparé |
Que détecte l'analyse, et que peut-elle manquer ?
L'analyse par signatures trouve les logiciels malveillants déjà connus. C'est ce qui rend utile la nouvelle analyse d'anciens points de restauration avec de nouvelles signatures : un outil inconnu le jour de la sauvegarde peut être reconnu une semaine plus tard. Les indicateurs fournis par une équipe de réponse à incident se recherchent de la même manière. L'analyse manque tout ce qui n'a pas de signature : outils sur mesure, logiciels d'administration légitimes détournés et modifications de configuration. Elle se combine donc avec la détection d'entropie et d'autres contrôles d'anomalies, ainsi qu'avec l'enquête sur le début de l'intrusion.
Quelle place pour l'analyse dans la reprise ?
Le résultat pratique de l'analyse est un jugement sur chaque point de restauration : sain pour autant qu'on puisse le dire, suspect ou infecté. Ce jugement oriente le choix d'un point de restauration sain. Deux conditions : l'historique des analyses doit être conservé là où l'attaquant ne peut pas le modifier, et les sauvegardes elles-mêmes doivent être immuables, pour qu'un point reconnu sain soit encore là le moment venu. L'article Choisir un point de restauration sain traite la décision.
Questions fréquentes
L'analyse des sauvegardes remplace-t-elle la protection des postes ?
Non. La protection des postes vise à arrêter une infection. L'analyse des sauvegardes vise à éviter d'en restaurer une.
Peut-on analyser des sauvegardes chiffrées ?
Oui, par le logiciel de sauvegarde qui détient la clé, en général en montant le point de restauration. Un stockage qui ne voit que des données chiffrées ne peut pas en inspecter le contenu.
Une analyse sans détection prouve-t-elle qu'un point de restauration est sûr ?
Non. Elle montre qu'aucun logiciel malveillant connu n'a été trouvé. Des outils inconnus et des modifications de configuration peuvent encore être présents.