Cloud Backup Security

Définition

La sécurité des sauvegardes cloud (Cloud Backup Security) couvre les pratiques protégeant les données de backup contre la suppression, la modification, et le chiffrement par des ransomwares. Dans un contexte où les ransomwares ciblent activement les sauvegardes cloud avant de chiffrer les données de production, la protection des backups est devenue un contrôle de sécurité critique. La menace principale contre les sauvegardes cloud est le ransomware ciblant AWS, Azure et GCP : après avoir compromis des credentials cloud avec des permissions suffisantes, les attaquants modifient ou suppriment les snapshots EBS, les sauvegardes RDS, les backups Azure Site Recovery, et les snapshots GCS/GCE avant de chiffrer les données de production. Sans sauvegardes valides, l'organisation est contrainte de payer la rançon ou de reconstruire l'infrastructure. Les contrôles techniques pour protéger les sauvegardes cloud incluent : l'immuabilité des sauvegardes (AWS Backup Vault Lock avec WORM - Write Once Read Many, Azure Recovery Services Vault avec Immutable Vault policy), la séparation des comptes (les sauvegardes stockées dans un compte AWS séparé avec des permissions strictes inaccessibles depuis le compte de production), les politiques de rétention automatiques (AWS Backup Plan avec retention minimum de 30 jours, non-modifiable par les utilisateurs standards), et le chiffrement des sauvegardes avec des clés dans un compte distinct. AWS Backup Vault Lock implémente une politique WORM sur les sauvegardes : une fois activée (avec ou sans délai de grâce), aucune entité - y compris root et AWS Support - ne peut supprimer les recovery points. Cette protection est particulièrement résistante aux compromissions de comptes car même un attaquant avec des credentials root ne peut pas supprimer les backups verrouillés. PCI-DSS et HIPAA exigent souvent des politiques de rétention immuables pour les données de backup. La règle 3-2-1 des sauvegardes s'adapte au cloud : 3 copies des données, 2 sur des médias différents (2 régions AWS différentes), 1 hors site (un compte AWS distinct ou un cloud provider différent pour la diversification). Cette règle protège contre les défaillances régionales et les compromissions de compte.