Sauvegarde immuable contre les ransomwares : ce qu'elle protège vraiment

Qu'est-ce qu'une sauvegarde immuable ?

Une sauvegarde immuable est une copie de données qui, une fois écrite, ne peut être ni modifiée, ni supprimée, ni chiffrée pendant une période de rétention définie. Ce concept repose sur le principe WORM : Write-Once-Read-Many (écriture unique, lectures multiples).

Concrètement, lorsqu'un backup est marqué comme immuable, même un administrateur disposant d'un accès root au système de stockage ne peut pas altérer les données. Cette garantie est fondamentale car les ransomwares modernes ciblent systématiquement les comptes à privilèges élevés.

Deux formes d'immutabilité :

Pourquoi les sauvegardes classiques ne suffisent plus

Les ransomwares de 2025-2026 n'ont plus rien à voir avec les premiers cryptolockers de 2017. Les groupes cybercriminels comme Conti, LockBit, BlackCat (ALPHV) et leurs successeurs ont développé des stratégies sophistiquées qui ciblent spécifiquement les systèmes de sauvegarde.

Anatomie d'une attaque moderne :

Face à ce constat, une sauvegarde "classique" — même répliquée sur un second site — ne suffit plus si elle reste accessible via le réseau. L'immutabilité ou l'isolation physique (air-gap) deviennent des exigences incontournables pour toute stratégie de protection sérieuse.

Comment fonctionne l'immutabilité dans PBS

Proxmox Backup Server (PBS) intègre nativement plusieurs mécanismes qui contribuent à la protection des données sauvegardées contre les modifications non autorisées. Bien que PBS n'implémente pas un verrou WORM strict au sens réglementaire, ses mécanismes s'en rapprochent, à condition de séparer qui écrit et qui supprime (voir la section suivante).

Protection au niveau du datastore :

Découvrez nos solutions PBS hébergées qui combinent ces mécanismes de protection avec un hébergement souverain dans l'UE (en France sur demande).

PBS n'est pas immuable par défaut : ce qui s'en rapproche

Disons-le d'emblée : un datastore Proxmox Backup Server n'est pas immuable. C'est un système de fichiers ordinaire, et quiconque détient le droit de supprimer (un jeton doté du privilègeDatastore.Prune ou Datastore.Modify, ou l'administrateur du PBS) peut effacer des sauvegardes. Ce que PBS fournit, ce sont les briques pour séparer qui écrit de qui supprime. Plus cette séparation est nette, plus on se rapproche de l'immuabilité, sans jamais l'atteindre en ligne. Cette immuabilité par séparation des droits (un compte qui écrit sans pouvoir supprimer) est un mécanisme que l'ANSSI reconnaît (guide BP-100 v1.1, tableau 2) ; pour le niveau le plus robuste, elle renvoie à la copie hors ligne.

Quatre niveaux, du plus exposé au plus proche de l'immuabilité :

1. 1. Rétention réglée dans Proxmox VE. PVE applique lui-même la rétention (prune-backups), donc son jeton peut supprimer : un PVE compromis peut effacer les sauvegardes.
2. 2. PVE ne fait qu'ajouter, les suppressions se font sur le PBS. La rétention tourne dans des prune jobs du PBS, et PVE n'a plus de règle de rétention. On s'en rapproche, mais si le jeton garde le droit de supprimer, un attaquant peut toujours s'en servir à la main.
3. 3. Le compte du PBS n'a pas le droit de supprimer. Avec le rôle DatastoreBackup, le jeton peut créer, lire et vérifier ses propres sauvegardes, pas les supprimer. Un PVE compromis ne peut plus rien effacer. C'est le réglage par défaut de tous nos comptes. Il peut toutefois encore envoyer de nouvelles sauvegardes, et la rétention agit sur ce qu'il envoie. Nous avons identifié une piste par laquelle un compte en ajout seul pourrait amener la rétention à supprimer de vraies sauvegardes ; nous l'avons signalée à Proxmox et ne la détaillerons pas avant un correctif. C'est l'une des raisons de la copie hors ligne : rien de ce qui se passe en ligne ne l'atteint. Restent l'administrateur du PBS et la durée de rétention.
4. 4. Une copie hors ligne. Un disque débranché ou une bande au coffre n'est joignable par aucun réseau : c'est le seul niveau qui ne dépend d'aucun droit logiciel.

Où vit chaque copie

Air-gapped vs immuable : deux approches complémentaires

Dans le domaine de la protection des sauvegardes, deux approches se distinguent : l'immutabilité logicielle/matérielle et l'isolation physique (air-gap). Il est essentiel de comprendre leurs différences et leur complémentarité pour choisir la méthode de sauvegarde adaptée à votre contexte.

En pratique, l'air-gap est souvent considéré comme une alternative supérieure à l'immutabilité logicielle pure pour la ransomware protection. La raison est simple : une immutabilité logicielle repose sur la fiabilité du logiciel qui la met en oeuvre. Si une vulnérabilité zero-day est découverte dans le système de stockage, le verrou WORM logiciel peut théoriquement être contourné. Un disque physiquement déconnecté, en revanche, est fondamentalement inaccessible — aucune vulnérabilité logicielle ne peut franchir un air-gap physique.

Nos offres combinant ces approches :

Notre offre AirGapped Drive PBS utilise la rotation physique de disques : un jeu de disques connecté pour l'écriture des backups, un second jeu déconnecté et stocké hors ligne. La rotation régulière garantit qu'au moins une copie est toujours physiquement inaccessible depuis le réseau.

Les offres Drive Bank PBS et Magnetic Bank PBS ajoutent le coffre-fort bancaire à cette isolation physique. Les supports de sauvegarde (disques durs ou bandes LTO) sont déposés dans un coffre bancaire sécurisé, créant une barrière physique supplémentaire contre tout accès non autorisé — y compris par un employé malveillant ayant accès aux locaux techniques.

L'archivage sur bande LTO (Magnetic PBS) s'appuie sur un support dont les fabricants annoncent jusqu'à 30 ans de conservation, avec une capacité native de 18 To par cartouche (LTO-9). Les bandes magnétiques, par nature hors ligne lorsqu'elles ne sont pas dans le lecteur, constituent une forme inhérente d'air-gap tout en offrant un rapport coût/capacité imbattable pour l'archivage long terme.

Checklist : mettre en place une stratégie de sauvegarde immuable

Que vous optiez pour l'immutabilité logicielle, l'air-gap physique, une sauvegarde externalisée vers un PBS managé en cloud ou une combinaison des trois, voici les étapes essentielles pour déployer une stratégie de sauvegarde résiliente face aux ransomwares. Consultez notre article sur la règle 3-2-1-1-0 et les bonnes pratiques pour approfondir ces concepts.

Conclusion : ne laissez pas vos sauvegardes devenir la cible

En 2026, la question n'est plus de savoir si votre organisation sera ciblée par un ransomware, mais quand. Les statistiques sont sans appel : la quasi-totalité des attaques ciblent désormais les sauvegardes en priorité. Une stratégie de backup qui ne prend pas en compte cette réalité est une stratégie incomplète.

L'immutabilité — qu'elle soit logicielle (WORM) ou physique (air-gap) — transforme vos sauvegardes d'une cible facile en un rempart infranchissable. Le choix entre ces deux approches dépend de votre contexte : l'immutabilité WORM convient aux environnements à forte contrainte réglementaire, tandis que l'air-gap offre une protection pragmatique et souvent supérieure contre les attaques à distance. Pour approfondir, consultez notre guide sur la PRA multi-site avec PBS. Pour une détection proactive des incidents, découvrez nos 8 KPIs essentiels de monitoring serveur.