Un peu d’étymologie
On entend indifféremment les termes sauvegarde immuable et immutable : Les adjectifs immutable ou immuable signifient : qui ne peut changer, notamment dans sa nature. Ils désignent des concepts très proches.
- L’un est tiré directement du latin immutabilis, date du 15ème siècle et est rarement utilisé sauf dans des aspects technologiques, comme la sauvegarde.
- L’autre, immuable est beaucoup plus utilisé dans la langue française et vient de l’ancien français muable, mobile : « notre engagement dans la paix est immuable ».
Mais en synthèse, les objectifs sont exactement les mêmes … et le besoin d’avoir des sauvegardes en lesquelles on a confiance reste immuable 😉
Le besoin de sécurité des sauvegardes
Avec les nombre croissant de cyber-attaques réussies, les entreprises comprennent bien que les solutions de protection (EDR, SOC, …) ne suffisent pas et qu’il faut disposer d’une politique de sauvegarde solide permettant de restaurer les principales données de l’entreprise et de redémarrer l’activité métier.
L’immutabilité des sauvegardes réside dans sa capacité à ne pouvoir absolument plus être modifiée, ni par un humain, ni par un programme. Le but d’une sauvegarde immuable est donc d’être inaltérable, et donc ne peut être chiffré, modifiée ou supprimée.
Il existe plusieurs solutions technologiques pour garantir l’immutabilité des sauvegardes : bande, cartouches, disques WORM, … et certains types de stockage objet.
Nous allons dans cet article comprendre les intérêts mais aussi les limites et les risques de l’immutabilité de sauvegardes en s’appuyant sur le stockage objet S3.
Le stockage objet pour les sauvegardes
Le terme « stockage d’objets » est devenu connu dans le monde de l’entreprise en raison du succès du stockage S3, créé par AWS en 2006 et réutilisé par la majorité des solutions de Cloud et certains architectures On-premise.
Le stockage objet offre une évolutivité, une résilience et une durabilité nettement meilleures que les systèmes de fichiers parallèles actuels, et peut également fournir des niveaux stupéfiants de bande passante vers et depuis les serveurs de traitement.
Chez Nuabee, nous avons réussi par exemple à obtenir des débits de restauration de sauvegarde, depuis du stockage objet S3, de plus de 500 Mo par seconde, ce qui permet de restaurer 2 To par heure sur un disque.
Les principes d’immutabilité du stockage objet, le principe de l’Object lock
Cette propriété permet de bloque la suppression d’objets suivant des règles définies :
- Soit une durée d’immutabilité : une semaine par exemple
- Soit une statut de blocage infini mais pouvant être désactivé
Cette propriété s’applique :
- Soit lors de la création de l’objet (propriété d’Object lock intégré à la requête PUT)
- Soit au bucket de stockage utilisé (tous les objets stockés dans cet espace respectent la politique d’immutabilité du
bucket)
Il existe ensuite des possibilités ou non de modifier ces règles :
- Un mode conformité qui empêche toute modification de règle sur les objets existants et donc la possibilité totale de
les supprimer, modifier pendant la durée définie. - Un mode standard (souvent appelé mode gouvernance) qui permet à un administrateur doté de droits privilégiés de
changer cette durée de blocage
Les limites de l’immutabilité
Il existe des contraintes et des risques liées à l’immutabilité ; par exemple, l’immuabilité du stockage entraîne forcément la conservation de chaque nouvelle version de l’objet pendant la durée de la période de conservation de l’objet.
La méthode de conservation des données va ainsi augmenter les coûts de stockage d’une organisation en raison d’un stockage de données supplémentaire, et l’organisation ne peut pas supprimer les versions précédentes.
L’immuabilité est normalement une action irréversible. Si un administrateur active l’immuabilité des données par accident ou pour voir comment cela fonctionne, il se peut qu’il ne puisse pas la désactiver.
L’immuabilité peut également ne pas convenir à une utilisation avec des données qui ont un taux de changement élevé. Dans certains cas, la solution de sauvegarde ne peut ne pas réussir à gérer correctement le rythme des changements lié.
Enfin, dans certaines solutions de sauvegarde, le paramétrage de l’immutabilité est fait au travers du paramétrage du plan de sauvegarde, dans ce contexte un cyberattaquant prenant le contrôle du Système d’Information, pourra modifier ce paramétrage pour permettre de le désactiver.
En conclusion, on peut affirmer que l’immutabilité n’est pas la solution miracle dans un contexte de sauvegarde de données mais qu’elle apporte un niveau de protection complémentaire dans le contexte des données critiques. Mais dans ce cas, attention aux coûts induits par l’augmentation de consommation de stockage objet lié.
