Tester une restauration : vérifier le service rendu, pas seulement les fichiers
Concevez un exercice de restauration utile : environnement isolé, dépendances, critères métier, preuves de résultat et actions correctives.
Périmètre des intégrations : Seculogik utilise une architecture indépendante des sources pour ingérer les alertes et événements de sécurité via son propre modèle de données. Wazuh et OpenSearch sont les premières intégrations. Les autres sources citées correspondent à des connecteurs prévus ; leur disponibilité doit être confirmée pour chaque évaluation.
Un travail de sauvegarde terminé avec succès ne répond pas à toutes les questions d’une reprise. Les données sont-elles lisibles ? L’application redémarre-t-elle ? Les identités et dépendances nécessaires sont-elles disponibles ? Les utilisateurs peuvent-ils accomplir une opération utile ?
Les repères confirmés
Le guide StopRansomware de CISA recommande des sauvegardes protégées et des tests réguliers de disponibilité et d’intégrité. Le NIST SP 800-184 traite la planification, les exercices et l’amélioration de la reprise après événement cyber. CISA, NIST.
La méthode proposée par Seculogik
Choisissez un service métier précis et définissez son état minimal de fonctionnement. Pour un portail, cela peut être une authentification autorisée et la consultation d’un dossier de test.
Pour un traitement interne, un calcul connu et la vérification de son résultat.
Écrivez ces critères avant l’exercice. Sinon, il devient tentant de déclarer la reprise réussie dès qu’une machine démarre, même lorsque le service reste inutilisable.
Préparez un environnement isolé adapté au test, avec des règles empêchant les interactions involontaires avec la production. Identifiez les données nécessaires, les personnes habilitées et les moyens de superviser l’exercice.
N’utilisez pas un test de restauration comme justification pour multiplier les copies sensibles.
Observer les dépendances réelles
Consignez chaque obstacle rencontré : accès à la sauvegarde, disponibilité d’une clé, configuration réseau, dépendance d’identité, licence, certificat ou service tiers. Le but est de découvrir ce que la procédure suppose sans le dire.
Mesurez les étapes séparément : préparation, récupération des données, remise en fonctionnement et validation métier. Une durée globale sans contexte ne permet pas de savoir quoi améliorer. Comparez les résultats aux objectifs approuvés par l’organisation plutôt qu’à une promesse universelle.
Faire participer le SOC
La reprise doit aussi être observable. Vérifiez que les logs utiles remontent, que les comptes utilisés sont identifiables et que les contrôles de sécurité attendus fonctionnent dans l’environnement restauré.
Évitez de remettre en circulation des systèmes dont l’état de confiance n’a pas été examiné.
Terminez par un compte rendu court : critères atteints, réserves, dépendances manquantes et corrections attribuées. Pour chaque correction importante, prévoyez une vérification ultérieure qui établira réellement sa résolution.
Votre prochaine étape peut être un exercice limité à un seul service. Un résultat concret, reproductible et compris par le métier constitue une meilleure base de préparation qu’une procédure ambitieuse jamais éprouvée.
Sources
- CISA StopRansomware Guide, version d’octobre 2023 : https://www.cisa.gov/sites/default/files/2023-10/StopRansomware-Guide-508C-v3_1.pdf
- NIST SP 800-184, décembre 2016 : https://csrc.nist.gov/pubs/sp/800/184/final