Se remettre d’une Ransomware sur la baie FlashArray de Pure Storage

Ransomware sont effrayantes, mais Pure Storage^® FlashArray^™ fournit des outils intégrés qui vous offrent un chemin fiable vers la reprise. Ce blog présente un plan d’action de haut niveau pour vous aider à récupérer à l’aide des fonctionnalités FlashArray, vous guidant tout au long du confinement immédiat, de l’analyse médico-légale, de la restauration des données et de la validation post-récupération. En exploitant les snapshots FlashArray SafeMode™, la gestion des snapshots et les contrôles de réplication (comme la mise en pause de la réplication), vous pouvez garantir l’immuabilité des données et une reprise fiable. Tout au long du processus, n’oubliez pas que vous n’êtes pas seul : Il est essentiel de collaborer étroitement avec votre équipe de réponse aux incidents (IR) et le support Pure pour assurer une reprise en douceur.

Mesures immédiates après une Ransomware

Lorsqu’une attaque de Ransomware est découverte, il est primordial d’agir rapidement pour contenir les dommages et préserver les données récupérables. Les fonctionnalités FlashArray peuvent vous aider à y parvenir efficacement. Voici les mesures immédiates à prendre :

• Isoler les systèmes concernés : Déconnectez ou éteignez les hôtes et les réseaux compromis pour éviter toute propagation ultérieure. Arrêtez toutes les I/O actives sur les volumes FlashArray qui ont été attaqués. Ce confinement protège à la fois le système FlashArray et les autres infrastructures contre les dommages supplémentaires liés au chiffrement.
• Mettre en pause la réplication sur les sites de DR après sinistre : Si votre système FlashArray réplique des données sur un site secondaire ou dans le cloud, mettez immédiatement en pause ou interrompez la réplication. Cela empêche les données chiffrées ou corrompues de se propager pour nettoyer autrement les copies de sauvegarde. En interrompant la réplication, vous conservez les derniers snapshots connus de la cible avant que le Ransomware ne les affecte.
• Tirez parti des snapshots SafeMode : Les snapshots FlashArray SafeMode sont des points de reprise immuables. Ils ne peuvent pas être supprimés ou modifiés par un utilisateur, même un administrateur ou un attaquant. Vérifier que SafeMode est activé (si ce n’était pas déjà le cas, contacter le support Pure pour l’activer pour une protection future). Identifiez le snapshot propre le plus récent avant l’exécution du Ransomware. SafeMode garantit que ces snapshots sont toujours intacts et fournit un Recovery Point de reprise garanti après une attaque. Si SafeMode n’a pas été activé et que vous avez toujours des snapshots, prenez rapidement un snapshot manuel des volumes critiques (puis activez SafeMode à l’avenir).
• Engagez la réponse aux incidents et le support Pure : Informez immédiatement l’équipe d’intervention en cas d’incident de votre organisation. Suivez votre guide interne de réponse aux attaques de Ransomware en coordination avec eux. Simultanément, contactez le support Pure et ouvrez un dossier de support critique. Le support Pure a de l’expérience dans les scénarios de Ransomware et peut vous guider sur la reprise des snapshots SafeMode, valider les étapes et même vous aider à effectuer des ajustements (par exemple, étendre la conservation des snapshots ou activer des fonctionnalités de reprise spéciales). L’implication précoce du support Pure garantit également que toutes les opérations SafeMode (comme autoriser les suppressions après la reprise) sont effectuées avec l’autorisation appropriée. Considérez SafeMode comme un système « à deux clés ». Même avec des identifiants d’administrateur, les modifications destructrices nécessitent l’accord du support Pure avec vos contacts autorisés. Cette collaboration renforce la sécurité et la confiance.

Ces mesures immédiates permettront de stabiliser la situation. Dans cette phase, votre principal objectif est d’arrêter le saignement : contenir la menace, protéger vos copies sécurisées (instantanés/répliques) et impliquer des équipes d’experts.

Analyse médico-légale et planification de la reprise

Face à la menace immédiate, la phase suivante consiste à comprendre ce qui s’est passé et à planifier une reprise propre. Dans Pure1®, la détection des anomalies aligne le calendrier des anomalies sur votre catalogue de snapshots et met en évidence les snapshots recommandés les plus proches du début d’un comportement suspect (p. ex., effondrement du DRR après chiffrement). Cela vous permet de récupérer jusqu’au point juste avant le début de l’attaque, réduisant ainsi la perte de données. Les fonctionnalités de snapshot et de journalisation de la baie FlashArray sont inestimables pour les enquêtes judiciaires :

• Préservez les preuves : Ne supprimez pas immédiatement les volumes chiffrés ou les snapshots créés par le pirate. Si les volumes ont été « détruits » par l’attaquant, ils resteront dans la poubelle (file d’attente d’élimination) du système FlashArray. Grâce à SafeMode, ces volumes et snapshots ne peuvent pas être purgés par le pirate et restent disponibles. Pour le moment, conservez-les dans leur état actuel : votre équipe IR peut en avoir besoin pour les analyser (par exemple, pour déterminer la contrainte liée au Ransomware ou pour vérifier si les données ont été exfiltrées). Les journaux d’audit FlashArray (accessibles via Pure1 ou la baie) peuvent également fournir un calendrier des actions administratives, ce qui peut aider à identifier quand et comment l’attaquant a frappé.
• Identifiez le dernier snapshot propre : Travaillez avec vos équipes de stockage et de sécurité pour trouver le snapshot le plus récent avant le début du chiffrement. Les snapshots FlashArray sont souvent planifiés à intervalles réguliers ; déterminez quels snapshots correspondent à un moment juste avant l’incident. Comme les snapshots FlashArray sont immuables et fournis avec des capacités limitées, vous pouvez les utiliser en toute sécurité pour l’enquête sans risquer les données. Par exemple, vous pouvez créer un clone d’un snapshot sur un nouveau volume et le présenter à un serveur médico-légal isolé. Cela permet à vos intervenants en cas d’incident d’inspecter les données (et même d’exécuter des analyses de logiciels malveillants) pour vérifier que l’instantané est propre et exempt de Ransomware, le tout sans toucher aux données d’origine ni interrompre la production. Grâce à la nature compacte des snapshots, ces clones consomment un minimum de capacité supplémentaire, ce qui vous permet d’en effectuer plusieurs copies si nécessaire pour l’analyse.
• Analysez et planifiez avec votre équipe IR : En coordination avec votre équipe IR, analysez comment le Ransomware s’est infiltré et quels systèmes ont été impactés. Déterminez s’il existe des backdoors ou des menaces continues qui doivent être neutralisées avant la restauration. Il peut s’agir d’analyser les données de snapshot clonées à la recherche de signatures de logiciels malveillants ou d’indicateurs de compromission. Il est essentiel de vous assurer que vous êtes sur le point de restaurer à partir d’un snapshot véritablement propre. L’équipe IR peut également indiquer quand restaurer, par exemple, après l’application de certains correctifs de sécurité ou de certaines mises à jour aux serveurs, afin d’éviter une réinfection. Utilisez cette phase pour déterminer le périmètre de reprise : quels volumes ou applications seront restaurés et dans quel ordre.

Tout au long de cette étape médico-légale, n’oubliez pas que vos données sur FlashArray (dans les snapshots) sont sûres et immuables. Sachant que vous avez en réserve des snapshots SafeMode immuables, vous avez l’esprit tranquille tandis que vous et les experts élaborez le plan de reprise. Il est recommandé de documenter les résultats (les snapshots qui sont propres, les volumes affectés, etc.) lorsque vous planifiez les étapes suivantes.

Restauration des données à partir des snapshots SafeMode

Une fois qu’un plan de reprise clair est en place et que vous avez identifié des points de snapshot propres, il est temps de restaurer vos données et de remettre les systèmes critiques en ligne. L’architecture 100 % flash FlashArray et la technologie de snapshot rendent la restauration à la fois rapide et fiable :

Le module complémentaire Evergreen//One^™ Cyber Recovery and Resilience SLA (également appelé garantie de reprise après un Ransomware) offre un service de reprise de premier ordre aux clients FlashArray en leur envoyant des baies propres et en les aidant à restaurer leurs données à partir de snapshots après un cyberincident ou une catastrophe. Il est acheté en complément d’un abonnement Evergreen//One et est conçu pour vous permettre de reprendre rapidement le service sur une plateforme propre tout en préservant l’intégrité médico-légale de l’infrastructure compromise.

• Effectuer une restauration contrôlée : Sélectionnez le snapshot SafeMode approprié qui représente le dernier bon état de vos données. Vous avez plusieurs options de restauration : Vous pouvez cloner l’instantané sur de nouveaux volumes ou restaurer (rétablir) les volumes d’origine à partir de l’instantané. Le clonage vers de nouveaux volumes est souvent plus sûr au départ. Il vous permet d’afficher des applications sur de nouveaux volumes avec des données propres, tandis que les volumes d’origine (avec des données chiffrées) restent inchangés pour le moment. Ainsi, en cas de problème, vous disposez toujours de l’original et de l’instantané tels quels. Dans les deux cas, le système FlashArray renvoie simplement les métadonnées de stockage vers les blocs de données de snapshot, ce qui rend la reprise quasi instantanée. Il n’y a pas de copie de données longue, contrairement aux sauvegardes traditionnelles. Vos volumes peuvent être restaurés en quelques secondes.
• Vérifier et mettre les systèmes en ligne : Après la restauration, mais avant de reconnecter les utilisateurs finaux ou les charges de travail de production, effectuez une validation. Montez les volumes restaurés sur quelques hôtes d’applications de manière contrôlée (idéalement dans un réseau mis en quarantaine ou avec des systèmes qui ont été soigneusement nettoyés). Vérifier que les données sont intactes et que le Ransomware n’est plus présent. Cela peut impliquer d’effectuer des contrôles d’intégrité sur les bases de données, d’ouvrir un échantillon de fichiers pour s’assurer qu’ils ne sont pas chiffrés et d’utiliser des scanners antivirus/anti-malware mis à jour sur les données restaurées. L’objectif est de confirmer que vous avez réellement un environnement propre. Grâce aux étapes médico-légales précédentes, il devrait y avoir une forte confiance à ce stade.
• Tirez parti du support Pure pendant la reprise : Le support Pure propose un service de premier ordre (si vous vous êtes abonné à Evergreen//One Cyber Recovery and Resilience) pour vous aider à vous remettre rapidement et en toute sécurité d’un Ransomware sur FlashArray. Bien que vous n’ayez généralement pas besoin de l’aide du support Pure pour exécuter une restauration de snapshot (il s’agit d’une opération administrative que vous pouvez effectuer via l’interface graphique ou la CLI), les maintenir dans la boucle, en particulier si SafeMode est activé, vous aiderait à assurer une reprise réussie. Par exemple, si la politique de conservation SafeMode doit être ajustée (vous souhaitez peut-être prolonger temporairement la durée de conservation des snapshots pendant la crise), le support Pure peut effectuer ces modifications avec l’autorisation appropriée de votre part. En cas de problème (par exemple, si vous vous demandez quel snapshot utiliser ou comment gérer un grand nombre de volumes), le support Pure vous guidera. N’oubliez pas que notre objectif est de garantir une reprise rapide et sécurisée de vos données, et que nous nous intéressions tout particulièrement à la réussite de votre reprise.

Grâce à la conception de la baie FlashArray, la restauration des données est extrêmement rapide et efficace. Elle se fait à la « vitesse du flash ». Cela signifie que les temps d’arrêt sont réduits au minimum, et que vous pouvez commencer à ramener les applications bien plus tôt que si vous vous appuyiez sur une sauvegarde lente hors site. Dans de nombreux cas, les entreprises qui utilisent les snapshots FlashArray SafeMode peuvent récupérer en quelques heures au lieu de plusieurs jours ou semaines, évitant ainsi d’énormes pertes.

Validation après reprise et reprise des opérations

La reprise ne prend pas fin au moment où les données sont restaurées. Il est essentiel de valider l’environnement et de prendre des mesures pour éviter les incidents futurs lorsque vous reprendrez vos activités normales :

• Validez soigneusement les systèmes : Une fois les données restaurées à partir de snapshots propres, effectuez une validation complète de toutes les applications et ensembles de données clés. Demandez aux propriétaires d’applications et aux utilisateurs d’effectuer des vérifications pour s’assurer que tout fonctionne correctement. Surveillez étroitement les journaux et le comportement du système pour détecter toute anomalie. Il s’agit essentiellement d’une phase de test post-récupération, qui confirme que les bases de données sont cohérentes, que les fichiers s’ouvrent correctement et qu’aucun logiciel malveillant persistant n’est détecté. En cas de problème, vous pouvez revenir aux snapshots (par exemple, si vous découvrez qu’un snapshot choisi n’était pas aussi propre que vous le pensiez, vous pouvez choisir un snapshot plus ancien). Cependant, ces cas sont rares si l’analyse médico-légale a été effectuée avec diligence.
• Analyse et correction des logiciels malveillants : Lorsque vous mettez vos systèmes en ligne, assurez-vous qu’ils disposent des derniers correctifs de sécurité et que toutes les définitions des antivirus sont à jour. Effectuer des analyses approfondies des logiciels malveillants sur tous les systèmes restaurés (serveurs, machines virtuelles, etc.) avant de les publier entièrement aux utilisateurs. Cette étape, effectuée en coordination avec votre équipe de sécurité ou de RI, garantit que l’environnement actif est exempt de tout Ransomware ou autre exploit. La dernière chose que vous voulez, c’est une réinfection juste après la restauration.
• Reprendre la réplication et les sauvegardes : Si vous avez mis la réplication en pause plus tôt, ne la reprenez qu’après avoir été certain que l’environnement est propre. Vous pouvez d’abord resynchroniser les données de la baie FlashArray primaire vers la baie secondaire, ou même envisager de faire un nouveau semis si nécessaire (au cas où le delta pendant l’attaque serait important). La clé est d’éviter de synchroniser les données corrompues ; une fois validées, réactivez vos flux de réplication afin que votre site de DR après sinistre soit de nouveau opérationnel. De la même manière, réactivez toutes les tâches de sauvegarde interrompues et envisagez de prendre une nouvelle sauvegarde complète ou un nouveau snapshot de l’état « known-good » nouvellement restauré comme nouvelle référence.
• Travailler avec le support Pure pour le nettoyage : Après la reprise, il se peut que vous ayez des tâches de nettoyage sur le système FlashArray. Par exemple, les volumes chiffrés que vous avez isolés ou laissés à la poubelle peuvent désormais être supprimés en toute sécurité une fois que vous êtes certain qu’ils ne sont plus nécessaires (et que toutes les données ont été restaurées ailleurs). Étant donné que SafeMode était actif, ces volumes/instantanés ne seront supprimés définitivement que lorsque le minuteur SafeMode expire ou si vous le demandez explicitement. Coordonnez-vous avec le support Pure et utilisez vos contacts SafeMode autorisés pour effacer les restes malveillants au moment opportun. Le support Pure peut également vous aider à ajuster vos calendriers de snapshots et de conservation à la normale (par exemple, si vous prolongez la conservation pendant la crise, vous pouvez la rappeler pour économiser de l’espace une fois les choses réglées). Tout au long de ce processus, l’équipe de support Pure reste un partenaire utile. L’information tirée d’autres cas de Ransomware peut être précieuse pour la gestion post-incident.
• Examinez et renforcez vos défenses : Enfin, profitez de l’occasion pour tirer des leçons de l’incident. Travaillez avec votre équipe IR pour analyser le vecteur d’attaque et combler les failles de sécurité qui ont été exploitées (cela peut être plus dans le domaine informatique/sécurité, mais cela vaut la peine d’être noté). Du point de vue de la baie FlashArray, assurez-vous que SafeMode reste activé à l’avenir (si ce n’était pas le cas auparavant, c’est désormais possible. Il est proposé gratuitement et présente d’énormes avantages). Vous devez également consulter vos politiques relatives aux snapshots : Prenez-vous des snapshots assez fréquemment pour votre profil de risque ? Sont-ils répliqués hors site ? FlashArray simplifie la personnalisation des calendriers et de la conservation des snapshots pour répondre aux besoins de votre entreprise. Avec des snapshots récents et immuables, vous avez pu gagner cette fois-ci ; doubler votre stratégie vous rendra encore plus résilient à l’avenir. Les sauvegardes traditionnelles ne résistent pas toujours aux attaques de Ransomware modernes, mais les snapshots immuables de Pure Storage empêchent la modification ou la destruction des données critiques, ce qui garantit un lieu de restauration.
• Validez avec les utilisateurs et restaurez progressivement les services : Les bonnes pratiques consistent à remettre les systèmes aux utilisateurs par étapes. Par exemple, restaurer les bases de données critiques et les vérifier, puis autoriser les serveurs d’applications à se reconnecter et enfin laisser les utilisateurs finaux accéder aux services. Cette approche progressive garantit qu’en cas de problème, il est plus facile d’identifier et de résoudre les problèmes sans tout remettre en question. Communiquez avec vos parties prenantes sur les services de retour et les effets résiduels. De nombreux clients Pure Storage remarquent qu’après une restauration aussi rapide par snapshot, ils peuvent atteindre ou dépasser leurs objectifs de temps de récupération, ce qui montre la valeur de l’approche FlashArray.

Tout au long de la phase post-récupération, restez en contact étroit avec le support Pure. Ils peuvent effectuer des contrôles d’intégrité sur le système FlashArray pour confirmer qu’il fonctionne bien après la restauration et qu’aucun problème matériel n’a coïncidé avec l’événement. Les conseils proactifs du support Pure peuvent également vous aider à confirmer que vos fonctionnalités de protection des données ( SafeMode, réplication, chiffrement au REST, etc.) sont toutes dans une configuration optimale à l’avenir.

Conclusion

La reprise après une attaque de Ransomware est un événement stressant pour toute organisation. Cependant, avec la baie FlashArray de Pure Storage, vous disposez de protections intégrées puissantes qui vous permettent de contrôler le sort de vos données. En isolant rapidement la menace, en utilisant des snapshots immuables SafeMode et en planifiant soigneusement la restauration avec l’aide du support Pure et de vos intervenants en cas d’incident, vous pouvez rapidement reprendre vos activités normales sans payer de rançons ni subir d’arrêts prolongés. La technologie de snapshot immuable FlashArray garantit que même si les hackers compromettent les identifiants administrateur, ils ne peuvent pas éradiquer, modifier ou chiffrer vos snapshots protégés, vos points de reprise restent en sécurité. Et comme la reprise se fait à la vitesse de la technologie flash, vous minimisez les interruptions et prouvez la robustesse de votre plan de continuité des opérations.

Try FlashBlade

No hardware, no setup, no cost—no problem. Experience the self-service capabilities of FlashBlade.

Take a Test Drive