Protection contre les ransomwares et récupération rapide grâce à des données immuables

Comprendre les ransomwares

Les rançongiciels sont des logiciels conçus pour effectuer un kidnapping numérique des données d'une entreprise ou d'une organisation, en les prenant en otage et en exigeant le paiement d'une rançon pour les récupérer en toute sécurité.

Il vise à atteindre cet objectif en cryptant les données de manière si efficace que vous en venez à penser qu'il vous est impossible d'accéder à nouveau à vos fichiers sans qu'ils soient déverrouillés pour vous.

Ou que le rétablissement de l'accès à des fichiers propres sera si lent, si perturbant et si lourd de conséquences en termes de perte de données que vous penserez ne pas avoir d'autre choix.

Votre capacité à éviter de payer une rançon dépend de votre capacité à restaurer l'accès à vos données, sans dépendre de votre attaquant pour les décrypter. C'est pourquoi les attaquants ciblent souvent les sauvegardes et les instantanés en premier lieu, afin de limiter vos options.

Le fait de s'appuyer sur des sauvegardes anciennes, voire incomplètes, peut entraîner une perte énorme de données, et le processus est si lent que la restauration peut prendre des semaines, voire des mois.

C'est quand. Pas si.

Les attaques sont si fréquentes qu'il faut s'attendre à ce que votre organisation soit touchée à un moment ou à un autre.

Défense des données

La défense contre les ransomwares est réactive par nature, et bien que les logiciels de défense fassent un excellent travail pour repousser les attaques multiples, le nombre de points d'entrée possibles dans le réseau d'une organisation fait qu'il est pratiquement impossible d'empêcher toutes les tentatives.

Quelle que soit la rapidité avec laquelle les solutions défensives réagissent à une variante connue de ransomware, des dommages considérables peuvent encore être causés avant que l'attaque ne puisse être maîtrisée.

Cela signifie que la défense seule n'est pas une solution complète, même si elle reste un élément essentiel de votre stratégie de sécurité.

Protection des données

Si l'on part du principe qu'il n'est pas possible d'empêcher complètement les ransomwares d'entrer, l'atténuation d'une attaque de ransomware dépend de la protection des données. Cela signifie que les données doivent être structurées de telle sorte que, même si elles sont compromises, elles ne peuvent pas tomber en panne.

Du fait qu'ils stockent des données qui doivent être modifiables, les systèmes de fichiers hérités sont intrinsèquement vulnérables aux ransomwares. Lorsqu'ils sont attaqués, ils font exactement ce pour quoi ils ont été conçus, et permettent la modification des fichiers.

L'architecture de données immuables modifie votre position contre les ransomwares et les logiciels malveillants car elle est fondamentalement résistante aux attaques. Plutôt que d'être une simple solution de défense ou de protection, elle réduit l'impact d'une attaque sur votre organisation en n'étant pas affectée.

Panzura CloudFS rend le stockage d'objets dans le nuage immuable, et donc imperméable aux ransomwares.

Pour un utilisateur, CloudFS ressemble à n'importe quel autre système de fichiers. Les fichiers peuvent être ouverts, modifiés et enregistrés, copiés ou supprimés par tout utilisateur autorisé, à n'importe quel endroit, en temps réel.

Maintenir un ensemble de données intactes

En coulisses se trouve une structure de stockage radicalement différente, beaucoup plus simple et infiniment plus robuste.

CloudFS est un système de fichiers global en nuage qui stocke les données de fichiers sous forme de blocs dans le stockage d'objets en nuage, comme un ensemble de données unique faisant autorité à partir duquel chaque utilisateur de l'organisation travaille.

Ces blocs de données sont immuables, c'est-à-dire qu'ils sont stockés sous la forme "Write Once, Read Many", de sorte qu'une fois stockés, ils ne peuvent être ni modifiés, ni édités, ni écrasés. Par conséquent, ils ne sont pas affectés par les logiciels malveillants.

Les pointeurs de métadonnées sont utilisés pour enregistrer les blocs qui composent un fichier à un moment donné, et CloudFS utilise ces pointeurs de métadonnées pour savoir quels blocs assembler afin d'ouvrir la version actuelle d'un fichier.

Lorsque les utilisateurs créent ou modifient des fichiers, les données modifiées sont déplacées vers le stockage d'objets toutes les 60 secondes, stockées sous forme de nouveaux blocs de données, les blocs existants restant intacts. Dans le même temps, les pointeurs de métadonnées sont mis à jour pour refléter les nouveaux blocs qui forment le fichier.

Par exemple, un document Microsoft Word fileone.docx est composé des blocs A, B et C. Des modifications sont apportées au contenu du document qui se trouve dans le bloc C.

Le bloc C étant immuable, les modifications sont capturées dans un nouveau bloc - C1, et les pointeurs de métadonnées du fichier indiquent que fileone.docx est désormais composé des blocs A, B et C1.

Ces blocs de données immuables sont en outre protégés par des instantanés en lecture seule à l'échelle du système de fichiers, qui sont pris à des intervalles configurables, la valeur par défaut étant de 60 minutes.

En outre, des instantanés en lecture seule sont pris au niveau du nœud local toutes les 60 secondes, et ils sont utilisés pour transférer les données nouvelles et modifiées vers le magasin d'objets.

Chaque fois que des instantanés sont pris, ils capturent les pointeurs de métadonnées qui ont enregistré les blocs de données composant les fichiers à ce moment précis.

Étant en lecture seule, ces instantanés sont également imperméables aux ransomwares, et ils offrent un moyen granulaire - et très rapide - de restaurer les données à partir de n'importe quelle version antérieure.

Données immuables et attaques par ransomware

En cas d'attaque par un ransomware, un code malveillant est inséré dans vos fichiers et les modifie.

Un système de stockage classique permet d'éditer un fichier lorsque ce code est inséré, ce qui modifie le fichier lui-même. En revanche, lorsqu'un fichier est attaqué par un ransomware sur CloudFS, il est désormais composé de blocs de données entièrement nouveaux.

Panzura reconnaît le chiffrement comme une modification des données du fichier, et les fichiers chiffrés qui en résultent sont écrits dans le magasin d'objets en tant que nouveaux blocs de données.

Dans cet exemple, fileone.docx a été considérablement modifié et se compose désormais des blocs D, E et F. Ce point dans le temps est également capturé par un instantané.

Comme CloudFS préserve les données existantes en tant qu'objets originaux dans le magasin d'objets, tout fichier crypté par le code du ransomware peut être immédiatement ramené à son état antérieur à l'infection, à l'aide d'instantanés.

Cette opération peut être facilement effectuée pour un seul fichier, des répertoires entiers ou même l'ensemble du système de fichiers global.

Avec les données immuables de Panzura, vos fichiers ne sont pas du tout cryptés. Au lieu de cela, les pointeurs de fichiers pointent maintenant vers des blocs de données contenant du chiffrement. Le retour à l'instantané précédant l'attaque renvoie à des blocs de données propres... et vos fichiers propres sont restaurés. Contrairement à la restauration à partir d'une sauvegarde, cette approche permet une restauration granulaire des fichiers, avec un objectif de point de récupération proche de zéro, afin de minimiser toute perte de données.

Détection et restauration rapides

PanzuraLa puissante solution SaaS de gestion des données de Data Services offre une vue et une gestion uniques et unifiées de vos données. Data Services contribue à une récupération rapide en cas de ransomware en permettant aux administrateurs de trouver rapidement les données affectées.

Les alertes relatives à une charge de l'unité centrale, à une charge de la mémoire ou à des échecs de cache anormalement élevés, qui indiquent que l'on accède à un nombre anormalement élevé de fichiers rarement utilisés, avertissent rapidement les administrateurs qu'une attaque est peut-être en cours. Des rapports tels que les utilisateurs les plus actifs et les répertoires les plus consultés peuvent aider à localiser le noyau de l'attaque.

L'audit est une recherche flexible et accélérée qui fonctionne sur la base des similitudes entre les requêtes de recherche et les données indexées. L'utilisation d'actions d'audit telles que l'écriture dans des fichiers, le renommage ou la définition d'attributs de fichiers permet d'affiner la recherche pour trouver les fichiers endommagés, ainsi que le compte d'utilisateur compromis. Les résultats de la recherche permettent également d'accéder en un seul clic à une piste d'audit complète, afin d'identifier les actions de détérioration des données et leur chronologie.

La recherche permet de trouver en quelques secondes des fichiers dans CloudFS et d'autres partages de fichiers NFS et SMB connectés. Une fois les fichiers ou blocs de données suspects localisés, les mesures d'atténuation peuvent commencer.

La récupération permet de ramener rapidement tout fichier individuel infecté à une version antérieure "propre", ce qui rend l'attaque du ransomware inoffensive.

L'analyse donne un aperçu des modifications apportées aux systèmes de fichiers, notamment les deltas de taille de fichier, les données chaudes, tièdes et froides qui ont été consultées ou modifiées, ainsi que les modifications quotidiennes des données stockées.

Restauration de fichiers en masse

Panzura CloudFS offre aux administrateurs informatiques la possibilité de restaurer des répertoires entiers, et tout le contenu associé, à un point dans le temps capturé par un instantané avant l'attaque. Alors que la restauration à partir de sauvegardes implique le déplacement de données et peut donc prendre beaucoup de temps, l'utilisation d'instantanés pour restaurer des fichiers à un état antérieur implique simplement le déplacement de métadonnées.

Les métadonnées ne représentent qu'une fraction de la taille des fichiers qu'elles représentent, et leur déplacement ne prend donc qu'une fraction du temps. Par conséquent, la restauration d'un volume important de fichiers volumineux ne prend que quelques instants.

Panzura Global Services

L'équipe des services Panzura propose une récupération assistée des ransomwares dans le cadre de son offre de services de premier plan. Elle travaille en étroite collaboration avec les équipes informatiques pour les aider à savoir quand elles maîtrisent les attaques en stoppant la propagation des fichiers affectés et en aidant à restaurer des copies de fichiers propres rapidement et sans perte de données.

Protection au-delà du système de fichiers

Bien qu'un système de fichiers ne stocke pas de données structurées (bases de données), le stockage des sauvegardes de bases de données dans CloudFS permet de disposer d'une sauvegarde immuable à partir de laquelle il est possible de restaurer. En outre, les données de sauvegarde provenant d'autres systèmes de fichiers, moins résistants, peuvent être protégées contre les ransomwares en étant stockées de manière immuable dans CloudFS.