Qu'est-ce qu'un point de restauration sain ?
Un point de restauration sain est une sauvegarde que l'on peut restaurer sans ramener de logiciels malveillants, de comptes créés par l'attaquant ni d'autres traces d'une compromission. Après un incident de ransomware, c'est en général le point de restauration le plus récent antérieur au début de l'intrusion. Ce n'est souvent pas le plus récent qui existe.
Pourquoi le point de restauration le plus récent n'est-il pas toujours sain ?
Le délai entre le premier accès d'un attaquant et l'attaque visible s'appelle le temps de présence. Il va couramment de quelques jours à plusieurs semaines. Chaque sauvegarde réalisée dans cette fenêtre enregistre le système tel que l'attaquant l'a laissé. En restaurer une ramène à la fois les données et la tête de pont. Le point qui compte est le dernier antérieur au premier accès, ou le dernier dont on peut montrer qu'il ne contient pas les modifications de l'attaquant.
Comment identifier un point de restauration sain ?
Aucun test ne prouve à lui seul qu'un point de restauration est sain. Les équipes croisent plusieurs sources d'indices.
| Indice | Ce qu'il apporte |
|---|---|
| Chronologie de l'enquête sur l'incident | La date estimée du premier accès |
| Analyse antimalware | Les outils connus trouvés ou non dans chaque point |
| Historique d'entropie et de taux de changement | Le début du chiffrement sur chaque système |
| Indicateurs de compromission | Les fichiers, comptes ou tâches précis à rechercher |
| Restauration de test en isolement | Le démarrage et le comportement normal du système |
Le même point vaut-il pour tous les systèmes ?
En général, non. Les systèmes sont compromis à des moments différents, et les données et le code exécutable ne présentent pas les mêmes risques. Une approche courante restaure les systèmes d'exploitation et les applications à une date antérieure au premier accès, ou les reconstruit à partir de supports de confiance, et restaure les données métier depuis le point le plus récent, car les fichiers de données contiennent rarement les outils de l'attaquant. La perte de données reste faible et la tête de pont disparaît. Cela suppose de pouvoir restaurer les données séparément de l'image système, par exemple avec la restauration au niveau fichier ou une restauration au niveau de la base de données.
Qu'est-ce que cela exige du stockage de sauvegarde ?
Trouver un point sain ne sert que si ce point existe encore. La rétention doit remonter plus loin que le temps de présence probable, ce qui plaide pour des semaines d'historique et non des jours. Les points de restauration doivent être immuables, car les attaquants cherchent à supprimer les sauvegardes avant de frapper. Enfin, restaurer d'abord dans un environnement isolé, une salle blanche, autorise l'inspection avant tout contact avec la production. L'article Choisir un point de restauration sain décrit le processus de décision.
Questions fréquentes
Jusqu'où faut-il remonter pour trouver un point de restauration sain ?
Cela dépend de la durée de présence de l'intrus. Prévoir plusieurs semaines de points de restauration conservés et immuables couvre la plupart des cas.
Peut-on nettoyer un point de restauration au lieu de remonter plus loin ?
Parfois. Un système peut être restauré en isolement, assaini puis remis en production, mais cela suppose de trouver tout ce que l'attaquant a modifié.
Qui décide du point de restauration à utiliser ?
Le responsable de la réponse à incident, avec l'appui de l'investigation numérique, de l'équipe de sauvegarde et des responsables des systèmes touchés.