Accélérer AD Forest Recovery après une cyberattaque

Bien qu'il soit historiquement un moyen pratique de récupérer un serveur entier, le BMR présente plusieurs inconvénients dans le cas d'une attaque AD.

Le premier est la réintroduction potentielle de logiciels malveillants. Le BMR sauvegarde et restaure tout ce qui se trouve sur le contrôleur de domaine (DC), y compris le système d'exploitation, le registre et les fichiers système. Dans le cas d'une cyberattaque, la sauvegarde peut contenir des rootkits, des ransomwares ou d'autres logiciels malveillants installés par des acteurs de la menace. Lorsque vous restaurez la sauvegarde, ces DLL et exécutables malveillants seront restaurés en même temps que la sauvegarde.

Le deuxième est la perte de données. Il peut être difficile de déterminer la fenêtre temporelle d'une sauvegarde exempte de logiciels malveillants si, comme dans le cas de nombreuses cyberattaques récentes, les logiciels malveillants restent latents pendant des semaines ou des mois avant d'être découverts. Plus vous devez remonter dans le temps pour trouver une sauvegarde propre, plus vous perdez de données.

Le troisième inconvénient de la récupération par BMR est la prolongation des pannes. Le BMR prolonge le temps de rétablissement de plusieurs façons :

• Configuration matérielle : le BMR est conçu pour la récupération de matériel correspondant, de sorte que vous dépendez d'une autre infrastructure qui pourrait ne pas fonctionner en raison de l'attaque.
• Récupération des sauvegardes : étant donné que les sauvegardes BMR contiennent l'intégralité du système, elles sont volumineuses. Les sauvegardes plus volumineuses consomment plus de stockage et de bande passante et prennent plus de temps à restaurer, en particulier lorsqu'elles sont stockées sur le cloud.
• Reconstruction d'AD : la restauration d'AD à partir d'une ancienne sauvegarde BMR nécessite de recréer les changements de répertoire, de reconfigurer les applications, de rejoindre les postes de travail, ce qui prend du temps et retarde la restauration.
• Sélection des sauvegardes :la recherche d'une sauvegarde BMR propre est un processus itératif (récupérer, monter, extraire, tester, répéter) qui prend du temps, ce qui retarde d'autant la restauration.

Pour garantir la restauration d'AD dans un scénario de cyberattaque, vous devez pouvoir :

• restaurer plusieurs forêts AD
• restaurer AD plus rapidement que vous ne le feriez manuellement en automatisant le processus. Idéalement en quelques minutes ou quelques heures.
• restaurer AD sans réintroduire de logiciels malveillants
• restaurer AD même si vos DC sont infectés ou effacés
• fournir rapidement un nouveau matériel physique ou virtuel pour la restauration
• mettre en place et tester facilement votre plan de restauration de la forêt AD
• effectuer facilement des analyses post-incident après la violation pour s'assurer que les logiciels malveillants ont été éradiqués (vous restaurez AD dans un environnement propre).

Non. En effet, les instantanés DC ne remplacent pas une solution de sauvegarde et de restauration AD spécialement conçue pour les cyberincidents, et ce pour plusieurs raisons. Tout d'abord, une forêt récupérée à partir d'instantanés présentera des problèmes de cohérence des données. Deuxièmement, si des logiciels malveillants se trouvaient sur les DC au moment de l'instantané, vous ne ferez que restaurer ces logiciels malveillants. Troisièmement, vous devez reconstruire les serveurs que vous ne restaurez pas à partir des instantanés, ce qui constitue un processus manuel long et sujet aux erreurs. Pour plus de détails à ce sujet, consultez «Pourquoi les instantanés DC ne remplacent pas les sauvegardes Active Directory ». Quatrièmement, Microsoft ne recommande pas les instantanés DC pour la reprise après sinistre. 

Les sauvegardes AD hors ligne sont essentielles dans toutes les stratégies globales de protection des données. En possédant des sauvegardes sur un serveur non relié à un domaine, les entreprises peuvent s'assurer d'un point de départ sûr pour la restauration AD. Pour renforcer la sécurité, il est recommandé de protéger les sauvegardes contre l'écrasement en utilisant une méthode de stockage hors ligne testée et sécurisée. Il est également possible d'utiliser des outils tiers pour copier les images de sauvegarde vers le stockage blob d'Azure ou d'AWS pour une redondance accrue. Pour plus d'informations, consultez «Les choses à faire et à ne pas faire en matière de récupération AD ».