Des sauvegardes qui résistent aux rançongiciels — La règle 3-2-1, un stockage non modifiable et la vérification de la restauration

Lors d’attaques par rançongiciel, il arrive souvent qu’une organisation ait fait des sauvegardes et ne puisse pourtant pas restaurer. La cause la plus fréquente est que les sauvegardes ont été chiffrées en même temps que le reste. Cet article explique comment constituer des sauvegardes qui résistent aux attaques, pour les PC Windows et les serveurs de fichiers des PME.

Il y a trois points essentiels : garder une copie qu’un PC infecté ne peut pas modifier, ne pas utiliser les « versions précédentes » à la place des sauvegardes, et vérifier que l’on peut réellement restaurer. La règle 3-2-1 fixe le nombre de copies et leur emplacement, mais à elle seule elle laisse des lacunes comme protection contre les rançongiciels.

Les commandes de cet article sont propres à Windows ; leur sortie a été vérifiée dans une invite de commandes administrateur sous Windows Server 2022. Les écrans de paramètres et les tarifs des produits peuvent changer : consultez la documentation la plus récente de chaque éditeur au moment de la mise en place.

Beaucoup d’organisations avaient des sauvegardes sans pouvoir restaurer

L’Agence nationale de la police japonaise interroge les organisations touchées par un rançongiciel sur l’état de leurs sauvegardes. Dans son rapport du premier semestre 2025, 51 des 53 organisations qui ont répondu faisaient des sauvegardes. Pourtant, sur les 48 interrogées pour savoir si elles avaient pu restaurer à partir des sauvegardes jusqu’au niveau d’avant l’attaque, seules 7 y sont parvenues et 41 n’ont pas pu¹.

Sur les 35 qui ont indiqué pourquoi elles n’avaient pas pu restaurer, 23 ont répondu « les sauvegardes ont aussi été chiffrées », 8 « défaillances d’exploitation » et 4 « autre »¹. Le même rapport indique que les groupes de rançongiciels effacent les journaux et les sauvegardes des victimes pour faire disparaître leurs traces et empêcher la reprise. Il demande ensuite de conserver les sauvegardes dans un environnement hors ligne².

flowchart TB
        accTitle: Pourquoi on peut avoir des sauvegardes sans pouvoir restaurer
        accDescr: Diagramme montrant que, même si l'on fait des sauvegardes, elles sont chiffrées avec le reste lorsqu'elles sont accessibles depuis le PC infecté, et que si la procédure de restauration n'a pas été vérifiée, des défaillances d'exploitation empêchent la restauration.
        A["Des sauvegardes sont faites"] --> B{"Accessibles depuis le PC infecté ?"}
        B -->|"Accessibles"| C["Chiffrées ou supprimées aussi"]
        B -->|"Inaccessibles"| D{"Procédure de restauration vérifiée ?"}
        D -->|"Non vérifiée"| E["Restauration impossible par défaillance d'exploitation"]
        D -->|"Vérifiée"| F["Restauration possible"]

Figure 1 : Les sauvegardes sont utilisables lorsque le PC infecté ne peut pas les atteindre et que la procédure de restauration a été vérifiée.

Il existe des cas où la restauration a réussi. La version 4.0 des « Directives de sécurité de l’information pour les PME » de l’IPA présente le cas d’une entreprise du bâtiment dont les serveurs de fichiers et d’autres systèmes ont été chiffrés après une intrusion par un équipement VPN. En partie parce qu’elle faisait des exercices de restauration deux fois par an, l’entreprise a remis en service ses systèmes centraux à partir des sauvegardes cinq jours après la découverte de l’attaque. Il lui a pourtant fallu 41 jours pour relancer chacun des systèmes internes et quatre mois pour rétablir l’accès à distance, et elle a perdu un peu plus de 20 % de ses fichiers internes³. Pouvoir restaurer à partir des sauvegardes ne fait pas disparaître les dommages.

Dans le diagramme, un trait continu marque une relation qui vaut toujours et un trait pointillé une relation conditionnelle (les conditions figurent dans l’explication de chaque relation sur la page de détail). La liste complète des relations (13 au total, avec preuve et niveau de certitude) et les définitions des concepts principaux sont rassemblées sur la page de détail de la carte des connaissances (en japonais). Données : JSON-LD / Turtle

Les attaquants suppriment les sauvegardes qu’ils peuvent atteindre

Le guide #StopRansomware publié par la CISA et d’autres agences américaines indique que de nombreux rançongiciels cherchent les sauvegardes accessibles pour les supprimer ou les chiffrer, afin que la victime ne puisse pas récupérer ses données sans payer la rançon. Il souligne donc l’importance de conserver les sauvegardes hors ligne⁴.

Microsoft écrit aussi que les attaquants s’attachent à neutraliser les logiciels de sauvegarde et les fonctions du système d’exploitation comme les clichés instantanés de volume⁵. Parmi les sauvegardes qu’un PC infecté peut atteindre, on trouve les suivantes.

• Les disques externes toujours branchés au PC
• Les dossiers partagés d’un NAS ou d’un serveur de fichiers associés à une lettre de lecteur
• Les dossiers synchronisés avec le cloud dans lesquels le compte habituel peut écrire
• Les clichés instantanés (versions précédentes) sur le même volume

Même les commandes intégrées au système d’exploitation peuvent supprimer les clichés instantanés et les catalogues de sauvegarde. MITRE ATT&CK classe cette technique sous le nom « Inhibit System Recovery » (T1490). On y trouve par exemple la suppression de tous les clichés instantanés avec vssadmin.exe delete shadows /all /quiet et la suppression du catalogue des sauvegardes Windows avec wbadmin.exe delete catalog -quiet⁶. Le guide de la CISA demande aussi de surveiller les utilisations suspectes de vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) et d’outils semblables⁴.

flowchart TB
        accTitle: Les sauvegardes qu'un PC infecté peut atteindre ou non
        accDescr: Diagramme montrant qu'un PC infecté peut écrire sur un disque externe toujours branché, un dossier partagé associé, un dossier synchronisé et les clichés instantanés, mais pas sur un support débranché ni sur un stockage non modifiable.
        P["PC infecté"] --> R["Emplacements où il peut écrire"]
        P -.-x N["Support débranché, stockage non modifiable"]
        R --> A["Disque externe toujours branché"]
        R --> B["Dossier partagé associé"]
        R --> C["Dossier synchronisé avec le cloud"]
        R --> D["Clichés instantanés"]

Figure 2 : Les sauvegardes placées là où un PC infecté peut écrire deviennent des cibles de l’attaque.

Il faut aussi se méfier des attaques qui prennent leur temps. Microsoft écrit que certains rançongiciels chiffrent progressivement en laissant la clé sur le système. Pendant ce temps, les utilisateurs continuent d’utiliser les données comme d’habitude, si bien que les sauvegardes de données chiffrées s’accumulent sans que personne ne s’en aperçoive. Une fois tout chiffré et la clé supprimée, même les sauvegardes récentes deviennent illisibles⁵. Si vous ne gardez que la génération la plus récente, il n’y a alors aucun point auquel revenir.

Les « versions précédentes » ne remplacent pas les sauvegardes

Les « versions précédentes » de Windows et les clichés instantanés des dossiers partagés utilisent le service de cliché instantané de volume (VSS). Le fournisseur système VSS fourni avec Windows utilise une méthode de copie sur écriture : avant qu’un bloc soit réécrit, il en sauvegarde le contenu dans une zone de différences, ce qui permet de reconstituer le volume tel qu’il était à un instant donné⁷.

Dans sa documentation sur VSS, Microsoft explique ainsi la différence entre un cliché instantané et une sauvegarde. Lorsque les données d’un cliché instantané sont copiées sur un support amovible comme une bande, le contenu de ce support devient la sauvegarde. Après la copie, le cliché instantané lui-même peut être supprimé⁷. La documentation précise aussi que, lorsque la zone de différences manque d’espace, les clichés instantanés les plus anciens sont supprimés en premier⁷.

flowchart TB
        accTitle: La différence entre cliché instantané et sauvegarde
        accDescr: Diagramme montrant qu'un cliché instantané est un ensemble de différences par rapport au volume d'origine et qu'il est supprimé quand l'espace manque ou par un attaquant, alors qu'une sauvegarde copiée sur un autre support subsiste même si le volume d'origine est perdu.
        V["Volume d'origine"] --> S["Cliché instantané (différences)"]
        S --> L["Supprimé du plus ancien au plus récent quand l'espace manque"]
        S --> K["Supprimé par un attaquant avec vssadmin"]
        S -->|"Copie sur un autre support"| B["Sauvegarde"]
        B --> R["Subsiste même si le volume d'origine est perdu"]

Figure 3 : Les clichés instantanés dépendent des données du volume d’origine ; c’est ce qui est copié sur un autre support qui devient la sauvegarde.

Les clichés instantanés sont pratiques pour permettre aux utilisateurs de récupérer eux-mêmes un fichier écrasé par erreur. Cependant, comme on l’a vu dans la section précédente, les attaquants les suppriment parfois. Le fonctionnement et l’exploitation sont détaillés dans « VSS (cliché instantané de volume) : fonctionnement et pratique ».

Pour lister les clichés instantanés restants, exécutez vssadmin list shadows dans une invite de commandes administrateur. Cette sous-commande est disponible sur les clients comme sur les serveurs⁸.

vssadmin list shadows

L’historique des versions et la corbeille de OneDrive et de SharePoint permettent aussi aux utilisateurs de récupérer des fichiers. Microsoft recommande d’apprendre aux utilisateurs à restaurer l’ensemble de leur OneDrive à un moment antérieur. Il recommande aussi de ne les laisser restaurer qu’une fois certain que l’attaquant a été évincé, et de prévoir le cas où les utilisateurs restaureraient aussi le logiciel malveillant⁵.

La règle 3-2-1 fixe le nombre de copies et leur emplacement

La règle 3-2-1 est une règle empirique sur la façon de conserver les copies de sauvegarde. Le document « Data Backup Options », rédigé pour l’US-CERT en 2012, l’explique ainsi⁹.

• 3 : garder trois copies des fichiers importants, l’original et deux sauvegardes.
• 2 : les placer sur deux types de supports, pour se prémunir contre des sinistres de nature différente.
• 1 : en garder une hors du domicile ou des locaux de l’entreprise.

Comme source, ce document cite « The DAM Book », un livre du photographe Peter Krogh sur la gestion des photos numériques⁹. Microsoft cite aussi cette règle dans sa documentation sur les sauvegardes face aux rançongiciels et décrit le « 1 » comme une « copie hors site ou à froid »⁵.

Ce que la règle 3-2-1 demande, c’est de placer une copie hors site. Elle n’exige pas que cette copie hors site soit hors ligne ou non modifiable. Si la copie hors site se trouve dans un cloud où un PC infecté peut toujours écrire, elle peut donc être chiffrée avec les copies locales. Le guide de la CISA et la documentation de Microsoft citent le stockage hors ligne comme protection contre les rançongiciels. Microsoft cite aussi le stockage non modifiable⁴⁵.

flowchart TB
        accTitle: La règle 3-2-1 et la protection contre les rançongiciels
        accDescr: Diagramme montrant qu'à la règle 3-2-1, trois copies, deux types de supports et une copie hors site, on ajoute une copie hors ligne ou non modifiable, puis on vérifie que l'on peut restaurer.
        A["Trois copies"] --> B["Deux types de supports"]
        B --> C["Une hors site"]
        C --> D["Une hors ligne ou non modifiable"]
        D --> E["Vérifier que l'on peut restaurer"]

Figure 4 : À la règle 3-2-1, on ajoute une copie qu’un PC infecté ne peut pas modifier et une vérification de la restauration.

L’éditeur de logiciels de sauvegarde Veeam promeut cela sous le nom de « règle 3-2-1-1-0 ». Dans la documentation de Veeam, le « 1 » supplémentaire consiste à garder une copie hors ligne, isolée (air gap) ou non modifiable, et le « 0 » signifie zéro erreur lors des vérifications régulières de restauration¹⁰. Il s’agit d’une appellation issue de la documentation d’un éditeur, et non d’une norme officielle. Les deux éléments ajoutés recoupent toutefois ce que demandent la CISA et l’IPA.

Garder une copie qu’un PC infecté ne peut pas modifier

Il existe deux grandes façons de constituer une copie non modifiable : débrancher le support du PC pour le conserver à part, ou utiliser un stockage cloud dans lequel les données ne peuvent être ni modifiées ni supprimées pendant une durée définie. Dans les deux cas, séparez les droits de gestion des sauvegardes du travail quotidien.

Débrancher le support du PC et le conserver à part

Parmi les mesures données en exemple pour l’autodiagnostic, les lignes directrices de l’IPA demandent de ne brancher au PC les appareils et supports de sauvegarde que pendant la sauvegarde. Elles citent aussi le fait de décider comment effectuer les sauvegardes, de les conserver dans un endroit sûr et de vérifier régulièrement que l’on peut restaurer¹¹.

Pour les organisations qui vont plus loin, elles citent l’« isolement physique ». Il s’agit de conserver les sauvegardes dans un lieu physiquement éloigné du système d’origine, en entreposant les stockages externes ou les bandes de sauvegarde aussi loin que possible. Comme lieux de conservation, elles donnent l’exemple d’un coffre bancaire, ou d’un partenaire commercial ou d’une société affiliée de confiance¹².

Une sauvegarde conservée ainsi, déconnectée des systèmes de production, s’appelle une sauvegarde hors ligne. Un PC infecté ne peut pas écrire sur un support débranché. En contrepartie, ce sont des personnes qui rebranchent et transportent les supports, ce qui entraîne des oublis de sauvegarde ou de transport. Décidez qui branche le support, qui le débranche et qui l’emporte sur le lieu de conservation, et à quel moment.

Utiliser un stockage cloud non modifiable

Les services de stockage cloud proposent des fonctions qui empêchent toute modification ou suppression des données pendant une durée définie. Elles conservent les données dans un état appelé WORM (Write Once, Read Many).

Avec le stockage immuable d’Azure Blob Storage, une fois une stratégie de rétention basée sur le temps définie, les données peuvent être créées et lues pendant cette période, mais ni modifiées ni supprimées¹³. Une stratégie est d’abord créée à l’état déverrouillé, puis verrouillée après des essais. Une stratégie verrouillée ne peut pas être supprimée, et sa durée de rétention peut être prolongée mais pas raccourcie¹³. Microsoft explique que même les utilisateurs disposant de droits d’administrateur sur le compte ne peuvent ni modifier ni supprimer les données¹³.

Amazon S3 Object Lock dispose de deux modes. En mode conformité, personne, pas même l’utilisateur racine du compte AWS, ne peut écraser ou supprimer une version d’objet pendant la période de rétention. En mode gouvernance, seuls les utilisateurs disposant de droits particuliers peuvent modifier ou supprimer les paramètres de rétention¹⁴. Object Lock ne s’utilise que dans les compartiments où la gestion des versions S3 est activée¹⁴.

flowchart TB
        accTitle: Deux exemples de stockage non modifiable
        accDescr: Diagramme montrant qu'avec le stockage immuable d'Azure Blob Storage une stratégie verrouillée ne peut pas être supprimée et sa durée de rétention ne peut pas être raccourcie, et qu'avec S3 Object Lock même l'utilisateur racine ne peut pas supprimer en mode conformité, tandis que des droits particuliers permettent des modifications en mode gouvernance.
        W["Stockage non modifiable"] --> AZ["Stockage immuable d'Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Rétention impossible à raccourcir après verrouillage"]
        S3 --> C["Mode conformité"]
        S3 --> G["Mode gouvernance"]
        C --> C1["Même l'utilisateur racine ne peut pas supprimer"]
        G --> G1["Des droits particuliers permettent de modifier"]

Figure 5 : Les deux types de stockage refusent la modification et la suppression pendant une durée définie ; la rigueur dépend des paramètres.

Dans Azure, même si vous découvrez une erreur de configuration après avoir verrouillé une stratégie, vous ne pouvez pas raccourcir la durée de rétention¹³. Le guide de la CISA indique que certains fournisseurs cloud proposent un stockage non modifiable, puis avertit qu’une erreur de configuration peut entraîner des coûts importants. Il signale aussi qu’un tel stockage peut ne pas répondre aux exigences de certaines réglementations⁴. Si vous définissez une longue durée de rétention et la verrouillez, vous ne pouvez pas effacer les données pendant cette durée et les frais de stockage continuent de courir. Commencez par un état déverrouillé ou une durée courte, vérifiez que vous pouvez restaurer, puis appliquez les paramètres de production.

Séparer les droits de gestion des sauvegardes

Même avec un stockage non modifiable, si les paramètres et les stratégies de sauvegarde peuvent être modifiés avec le compte administrateur habituel, un attaquant peut les modifier. Microsoft recommande d’exiger une étape supplémentaire, comme l’authentification multifacteur ou un code PIN de sécurité, avant toute modification ou suppression des sauvegardes en ligne. Il cite aussi la limitation des opérations de sauvegarde et de restauration aux utilisateurs ayant des rôles désignés, et la réduction des partages de fichiers où de nombreux utilisateurs peuvent écrire et supprimer⁵.

Même si la même personne gère à la fois les PC et les sauvegardes, n’utilisez pas le compte de gestion de la destination des sauvegardes pour la connexion habituelle aux PC, et protégez-le par l’authentification multifacteur.

Garder plusieurs générations

Les lignes directrices de l’IPA citent la « gestion des générations », qui consiste à conserver des sauvegardes de plusieurs moments. Elle permet de revenir à un moment précis lorsque des données sont endommagées ou perdues¹². Comme on l’a vu dans une section précédente, s’il faut du temps pour s’apercevoir du chiffrement, les sauvegardes les plus récentes contiennent des données déjà chiffrées. Décidez du nombre de générations à garder en fonction du temps qu’il peut falloir pour s’apercevoir du chiffrement et du coût du stockage.

flowchart TB
        accTitle: Trois mesures pour garder une copie non modifiable
        accDescr: Diagramme montrant le fait de conserver un support débranché ou d'utiliser un stockage non modifiable, de séparer les droits de gestion des sauvegardes des comptes habituels, et de garder plusieurs générations.
        A["Une copie non modifiable"] --> B["Conserver un support débranché"]
        A --> C["Stockage non modifiable"]
        B --> D["Séparer les droits de gestion"]
        C --> D
        D --> E["Garder plusieurs générations"]

Figure 6 : Après avoir choisi l’emplacement, séparez les droits de gestion et gardez des générations pour pouvoir revenir en arrière même si vous vous en apercevez tard.

Vérifier que l’on peut restaurer

Dans le rapport de l’Agence nationale de la police, la deuxième raison la plus fréquente de l’échec de la restauration était les « défaillances d’exploitation »¹. On ne sait pas si une sauvegarde peut réellement être restaurée tant qu’on n’a pas essayé. Le travail qui consiste à restaurer réellement à partir d’une sauvegarde pour le vérifier s’appelle un test de restauration.

Les lignes directrices de l’IPA divisent l’exploitation des sauvegardes en trois parties : la prise, la conservation et la restauration. Pour la restauration, elles demandent d’établir un plan de reprise et de vérifier que l’on peut restaurer correctement³. Pour les systèmes importants pour l’activité, elles demandent d’organiser la prise des sauvegardes et les procédures en fonction de l’objectif de temps de reprise (RTO) et de l’objectif de point de reprise (RPO), et d’en vérifier l’efficacité par des exercices. Le RTO est le temps nécessaire pour revenir au niveau visé, et le RPO est le moment auquel on revient, c’est-à-dire celui de la dernière sauvegarde¹⁵. Le guide de la CISA demande lui aussi, en prévision d’une reprise après sinistre, de vérifier régulièrement que les sauvegardes sont utilisables et intactes⁴.

flowchart TB
        accTitle: Le déroulement d'un test de restauration
        accDescr: Diagramme montrant l'enchaînement suivant : décider de l'ordre de restauration, restaurer dans un environnement distinct, comparer le temps nécessaire et le point restauré au RTO et au RPO, puis corriger la procédure écrite.
        A["Décider de l'ordre de restauration"] --> B["Restaurer dans un environnement distinct"]
        B --> C["Comparer le temps nécessaire au RTO"]
        B --> D["Comparer le point restauré au RPO"]
        C --> E["Corriger la procédure écrite"]
        D --> E
        E -.->|"Vérification suivante"| A

Figure 7 : Essayez de restaurer, vérifiez si le temps et le point atteignent les objectifs, et reportez les résultats dans la procédure écrite.

Que vérifier

D’après les documents de l’IPA et de Microsoft, les éléments à vérifier peuvent être organisés ainsi.

Microsoft recommande de commencer par identifier les systèmes indispensables à l’activité et de les sauvegarder régulièrement. La liste des sauvegardes classées par priorité ainsi établie devient directement l’ordre de restauration. Parmi les priorités élevées, il cite en premier les systèmes d’authentification, comme Active Directory, nécessaires pour accéder à tous les autres systèmes⁵. Il recommande aussi des exercices réguliers de remise en route de l’activité à partir d’un état où tous les systèmes sont arrêtés. Lors de ces exercices, on considère que la messagerie et la messagerie instantanée sont elles aussi indisponibles⁵.

Microsoft écrit que les attaquants ciblent délibérément les procédures de restauration et les schémas réseau. Il recommande de les protéger ou d’en garder des copies imprimées à portée de main⁵. Si la procédure n’existe que sur le serveur de fichiers, vous ne pourrez pas la lire quand ce serveur de fichiers sera chiffré.

Précautions pour restaurer après une attaque

Après une attaque réelle, éliminez le rançongiciel lui-même de l’environnement avant de restaurer⁵. Microsoft cite le fait de choisir une sauvegarde d’un moment dont on sait qu’il n’était pas infecté, et d’analyser la sauvegarde à la recherche de logiciels malveillants avant de restaurer⁵. Le rapport de l’Agence nationale de la police indique que les groupes de rançongiciels installent parfois un logiciel de contrôle à distance comme porte dérobée pour pouvoir revenir même après la fermeture du point d’entrée². Avant de restaurer, il faut examiner le chemin d’intrusion et ce que les attaquants ont laissé derrière eux.

flowchart TB
        accTitle: L'ordre pour restaurer à partir des sauvegardes après une attaque
        accDescr: Diagramme montrant le fait d'éliminer le rançongiciel lui-même et le chemin d'intrusion, de choisir une sauvegarde d'un moment non infecté, de l'analyser à la recherche de logiciels malveillants, puis de restaurer en premier les systèmes les plus prioritaires.
        A["Éliminer le rançongiciel lui-même"] --> B["Examiner le chemin d'intrusion et ce qui a été laissé"]
        B --> C["Choisir un moment non infecté"]
        C --> D["Analyser la sauvegarde"]
        D --> E["Restaurer d'abord le plus prioritaire"]

Figure 8 : Après une attaque, éliminez ce que les attaquants ont laissé et vérifiez un moment non infecté avant de restaurer.

À quelle fréquence vérifier

Les lignes directrices de l’IPA comme le guide de la CISA demandent de vérifier « régulièrement » que l’on peut restaurer, mais elles ne donnent pas de nombre¹¹⁴. L’entreprise du cas de l’IPA présenté plus haut faisait des exercices de restauration deux fois par an³. Décidez combien de temps votre activité peut être arrêtée et jusqu’à quel point dans le passé le point restauré peut remonter, puis vérifiez à une fréquence qui permet de confirmer que vous les respectez.

Ce qu’il faut décider en premier

Voici, en résumé de ce qui précède, ce qu’une PME doit décider en premier.

flowchart TB
        accTitle: L'ordre de décision pour des sauvegardes résistantes aux rançongiciels
        accDescr: Diagramme montrant l'ordre suivant : décider du périmètre, décider de l'emplacement des copies et de la copie non modifiable, décider des droits et des générations, décider du RTO et du RPO, puis vérifier que l'on peut restaurer.
        A["Décider du périmètre"] --> B["Décider de l'emplacement des copies"]
        B --> C["Décider de la copie non modifiable"]
        C --> D["Décider des droits et des générations"]
        D --> E["Décider du RTO et du RPO"]
        E --> F["Vérifier que l'on peut restaurer"]

Figure 9 : Décidez de tout en une seule séquence, du périmètre jusqu’à la vérification finale de la restauration.

Dans la version 4.0 des lignes directrices de l’IPA, « Faites des sauvegardes ! » a été ajouté aux « cinq règles de sécurité de l’information » par lesquelles on commence, qui sont devenues six règles¹⁶. La façon d’aborder l’ensemble des lignes directrices est résumée dans « Sécurité des PME : par où commencer ? ». Si vous prévoyez de remplacer des serveurs, consultez aussi « Preparing for Windows Server 2016 End of Support ».

Articles connexes

• Sécurité des PME : par où commencer ? — Guide de lecture de la version 4.0 des « Directives de sécurité de l’information pour les PME » de l’IPA
• VSS (cliché instantané de volume) : fonctionnement et pratique — Pourquoi peut-on sauvegarder des fichiers en cours d’utilisation ?
• Preparing for Windows Server 2016 End of Support

Références

Articles associés

Articles récents partageant les mêmes étiquettes, pour approfondir des sujets proches.

Sujets associés

Ce sont des pages de sujets proches de ce thème. À partir de l’article, vous pouvez poursuivre vers les services associés et vers d’autres articles.

Services liés à ce sujet

Cet article est directement lié aux services suivants. Commencez par une entrée proche de votre situation.

Questions fréquentes

Questions souvent posées lors d’une consultation sur le sujet de cet article.

Si je fais des sauvegardes, pourrai-je tout restaurer après une infection par un rançongiciel ?

Souvent, faire des sauvegardes ne suffit pas pour restaurer. Dans les dommages recensés par l'Agence nationale de la police japonaise pour le premier semestre 2025, parmi les organisations qui faisaient des sauvegardes, 41 des 48 qui ont répondu n'ont pas pu revenir au niveau d'avant l'attaque. La raison la plus fréquente était que les sauvegardes avaient elles aussi été chiffrées. Il faut une copie qu'un PC infecté ne peut pas modifier, et il faut vérifier que l'on peut restaurer à partir d'elle.

Si Windows propose les versions précédentes, ai-je encore besoin de sauvegardes ?

Oui. Les versions précédentes sont des clichés instantanés de volume, c'est-à-dire des différences conservées sur le volume d'origine. Microsoft considère comme sauvegarde les données copiées d'un cliché instantané vers un support comme une bande. Les rançongiciels suppriment parfois les clichés instantanés avec des outils comme vssadmin ; il faut donc les combiner avec des sauvegardes sur un autre support.

Suivre la règle 3-2-1 suffit-il à se protéger des rançongiciels ?

Pas toujours. La règle 3-2-1 demande trois copies, deux types de supports et une copie hors site, mais elle n'exige pas que la copie hors site soit hors ligne ou non modifiable. Une copie dans le cloud dans laquelle un PC infecté peut toujours écrire peut être chiffrée de la même façon. Ajoutez une copie sur un support hors ligne ou dans un stockage non modifiable.

À quelle fréquence faut-il vérifier que l'on peut restaurer à partir des sauvegardes ?

Les lignes directrices de l'IPA comme le guide de la CISA disent « régulièrement » sans donner de nombre. Les lignes directrices de l'IPA présentent le cas d'une entreprise qui faisait des exercices de restauration deux fois par an et a remis en service ses systèmes centraux cinq jours après la découverte de l'attaque. Décidez combien de temps votre activité peut être arrêtée et jusqu'à quel point dans le passé le point restauré peut remonter, puis vérifiez à une fréquence qui permet de confirmer que vous les respectez.

Profil de l’auteur

Page de présentation de l’auteur de l’article.

Go Komura

Représentant de KomuraSoft LLC

Axé sur le développement de logiciels Windows, le conseil technique et l’analyse de dysfonctionnements, avec un point fort pour les projets où subsistent des actifs existants et pour les enquêtes sur des pannes dont la cause est difficile à discerner.