Face à l'explosion des attaques par ransomware et aux exigences croissantes de conformité (RGPD, NIS2, ISO 27001), les stratégies de sauvegarde traditionnelles ne suffisent plus. Cet article présente l'état de l'art actuel des sauvegardes pour infrastructures Proxmox VE, en détaillant les concepts clés que tout responsable IT doit maîtriser.
La menace ransomware : pourquoi vos backups sont ciblés
Les cybercriminels ont évolué. Conscients que les sauvegardes représentent le dernier rempart des entreprises, ils ciblent désormais prioritairement les systèmes de backup avant de chiffrer les données de production. Selon le rapport Veeam Ransomware Trends 2024, 93% des attaques ransomware ciblent explicitement les sauvegardes.
Une sauvegarde accessible depuis le réseau de production n'est plus une sauvegarde : c'est une cible.
Cette réalité impose de repenser fondamentalement l'architecture de sauvegarde, en intégrant des principes d'isolation physique et logique que nous détaillons ci-dessous.
La règle 3-2-1-1-0 : évolution du standard de l'industrie
La règle 3-2-1, popularisée par le photographe Peter Krogh, recommandait de conserver 3 copies de ses données, sur 2 types de supports différents, dont 1 hors site. Cette règle, bien que toujours pertinente, a été étendue pour répondre aux menaces actuelles.
La règle 3-2-1-1-0 expliquée :
- 3copies de vos données (production + 2 sauvegardes)
- 2types de supports différents (disque + bande ou cloud)
- 1copie hors site (géographiquement séparée)
- 1copie air-gapped ou immuable (inaccessible aux attaquants)
- 0erreur après vérification (tests de restauration réguliers)
Cette évolution, recommandée notamment par CISA (Cybersecurity and Infrastructure Security Agency) et l'ENISA, ajoute deux exigences critiques : l'isolation (air-gap) et la vérification systématique.
Le backup Air-Gapped : l'isolation physique comme ultime protection
Un backup "air-gapped" (littéralement "à espace d'air") est une sauvegarde physiquement déconnectée du réseau. Cette déconnexion peut être permanente (bandes LTO stockées hors site) ou temporaire (connexion uniquement pendant la fenêtre de sauvegarde).
Implémentations courantes du air-gap :
Bandes magnétiques LTO
Les bandes LTO (Linear Tape-Open) offrent un air-gap naturel une fois éjectées du lecteur. Stockées dans un coffre-fort ignifugé, elles sont totalement inaccessibles aux attaquants réseau.
Stockage rotatif déconnecté
Système de disques amovibles échangés régulièrement, avec une copie toujours hors ligne dans un lieu sécurisé distinct.
Réseau isolé dédié
Infrastructure de sauvegarde sur un réseau physiquement séparé, avec connexion contrôlée et temporaire via diode réseau ou firewall unidirectionnel.
Cloud souverain dédié
Externalisation vers un fournisseur de confiance avec authentification forte distincte et aucune connexion directe depuis le réseau de production.
Point d'attention : Un backup sur NAS ou SAN accessible via le réseau, même avec des credentials différents, n'est PAS air-gapped. Un attaquant ayant compromis votre Active Directory ou vos systèmes de gestion peut souvent atteindre ces systèmes.
L'immutabilité : des sauvegardes inaltérables
L'immutabilité garantit qu'une sauvegarde ne peut être modifiée ou supprimée pendant une période définie, même par un administrateur disposant de tous les privilèges. C'est une protection logique complémentaire à l'isolation physique.
Technologies d'immutabilité pour Proxmox :
Proxmox Backup Server (PBS) avec datastore protégé
PBS permet de configurer des datastores en mode append-only ou avec des politiques de rétention verrouillées. Combiné à un système de fichiers comme ZFS, il offre une protection robuste.
Documentation PBSS3 Object Lock (WORM)
Le stockage S3 compatible avec Object Lock permet de définir des périodes de rétention légales ou de gouvernance pendant lesquelles les objets sont inaltérables. Conforme aux exigences SEC 17a-4.
Documentation S3 Object LockBandes LTO avec WORM
Les bandes LTO en mode WORM (Write Once Read Many) offrent une immutabilité matérielle : une fois écrites, les données ne peuvent physiquement plus être modifiées.
Proxmox Backup Server : la solution native optimisée
Proxmox Backup Server (PBS) est la solution de sauvegarde développée par Proxmox pour ses hyperviseurs. Elle offre des avantages significatifs pour les environnements Proxmox VE :
- Déduplication au niveau bloc : réduction jusqu'à 90% de l'espace de stockage
- Chiffrement côté client : les données sont chiffrées avant transmission (AES-256-GCM)
- Vérification d'intégrité : détection automatique de la corruption des données
- Restauration granulaire : récupération de fichiers individuels sans restaurer la VM complète
- Synchronisation entre datastores : réplication vers un site distant pour le DR
Référence technique : Pour une mise en oeuvre détaillée de PBS dans un contexte d'entreprise, consultez la documentation officielle Proxmox Backup Server.
Conformité réglementaire : RGPD, NIS2 et ISO 27001
Les réglementations européennes imposent des exigences strictes en matière de protection des données, incluant explicitement les sauvegardes :
RGPD (Article 32)
Exige "la capacité de rétablir la disponibilité des données et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique". Les sauvegardes doivent également respecter les droits des personnes (droit à l'effacement notamment).
Directive NIS2 (2024)
Renforce les obligations de cybersécurité pour les entités essentielles et importantes, incluant des mesures de gestion des risques couvrant explicitement "la continuité des activités, comme la gestion des sauvegardes".
ISO 27001 (Annexe A.12.3)
Le contrôle A.12.3.1 impose des "copies de sauvegarde des informations, logiciels et images systèmes effectuées et testées régulièrement conformément à une politique de sauvegarde convenue".
Une stratégie de sauvegarde conforme doit donc intégrer : chiffrement, tests de restauration documentés, localisation des données dans l'UE, et procédures de suppression compatibles avec le droit à l'effacement.
RDEM Systems : votre partenaire backup conforme aux standards
Chez RDEM Systems, nous nous positionnons comme un fournisseur de backup sécurisé, fiable et respectant les meilleurs standards du marché. Notre offre NimbusBackup implémente nativement les principes détaillés dans cet article :
Air-gapped backup
Nos offres BankPBS et BankS3 incluent un transfert mensuel ou hebdomadaire vers un coffre-fort physiquement isolé (bandes LTO stockées hors site).
Archivage sur bandes LTO
Les bandes magnétiques LTO offrent une protection naturelle : une fois stockées hors site, elles sont inaccessibles aux attaquants et aux ransomwares.
Hébergement 100% français
Datacenters Equinix en région parisienne, sur notre propre infrastructure réseau BGP (AS206014). Conformité RGPD garantie.
Chiffrement de bout en bout
Vos données sont chiffrées côté client (AES-256) avant transmission. Nous n'avons jamais accès à vos données en clair.