TP – Concevoir une stratégie de sauvegarde, la tester et chiffrer un support

BTS SIO SISR 1re année – Bloc 3 – S05

Note

But. Situation : Quand tout est chiffré ou détruit, que reste-t-il, et en combien de temps peut-on redémarrer ?

Comment ce TP fonctionne. Avant de manipuler, tu écris ce que tu anticipes (« J'anticipe »). Puis tu testes et tu notes ce que tu constates. Tu comprends ce que fait chaque commande (« Je comprends »). Un bilan de compétences clôt la séance. Les manipulations se font sur des machines virtuelles de laboratoire, isolées du réseau de l'établissement. Les identifiants communs d'un TP sont des identifiants de laboratoire : ils ne se réutilisent jamais ailleurs.

Objectif

Définir les objectifs de reprise d'une entreprise, concevoir une stratégie de sauvegarde dans un budget, la mettre en œuvre avec un outil chiffré, détruire puis restaurer pour prouver qu'elle fonctionne, et chiffrer un support amovible.

Contraintes

Binôme, durée : 2 h 40. VM Debian de laboratoire, droits sudo.
Installation : sudo apt install restic cryptsetup.
Tous les mots de passe de ce TP sont des identifiants de laboratoire (voir les règles de laboratoire) : on ne les reprend jamais en vrai.

Partie A. Analyser le besoin de SimTech (30 min)

Lis l'annexe, puis réponds.

Donnée	RPO	RTO	Rétention	Justification
Code source
Base de facturation
Documents administratifs

J'anticipe. Avec un RPO de 24 heures, quelle fréquence minimale de sauvegarde faut-il ? Et si la direction exige finalement un RPO de 15 minutes pour la base de facturation, la sauvegarde nocturne suffit-elle ? ______________________

Éléments de réponse

RPO de 24 h : une sauvegarde par jour au minimum. RPO de 15 minutes : la sauvegarde nocturne ne suffit pas ; il faut des sauvegardes très fréquentes de la base (journaux de transactions) ou une réplication (complétée par une vraie sauvegarde, la réplication ne protégeant pas des erreurs).

Puis conçois la stratégie et vérifie le budget.

Élément	Choix
Type et fréquence (quotidien / hebdomadaire)
Copie 1 (production)	Serveur Windows, 500 Go
Copie 2 (locale), support, capacité, coût
Copie 3 (hors site, hors ligne ou immuable), support, capacité, coût
Total matériel (budget 500 €)
Total mensuel (budget 50 €)
Les sauvegardes sont-elles chiffrées ? Où est la clé ?

Question. Ton schéma protège-t-il d'un rançongiciel qui chiffre le serveur et tous les lecteurs réseau accessibles ? Quelle copie résiste ? ______________________

Partie B. Sauvegarder, détruire, restaurer (60 min)

On utilise restic, un outil de sauvegarde libre qui chiffre et déduplique.

mkdir -p ~/donnees ~/depot-sauvegarde ~/restauration
for i in 1 2 3; do echo "contrat client $i" > ~/donnees/contrat$i.txt; done
export RESTIC_PASSWORD='Lab-restic-2026'
restic init --repo ~/depot-sauvegarde
restic -r ~/depot-sauvegarde backup ~/donnees
restic -r ~/depot-sauvegarde snapshots

Je comprends.

Commande	Ce qu'elle fait
`export RESTIC_PASSWORD=...`	Donne le mot de passe du dépôt à restic (identifiant de laboratoire)
`restic init --repo`	Crée un dépôt chiffré par ce mot de passe
`restic -r ... backup dossier`	Sauvegarde le dossier ; seuls les morceaux nouveaux sont stockés
`restic -r ... snapshots`	Liste les sauvegardes (instantanés de restic) : date, identifiant

J'anticipe. Si je modifie un seul fichier et que je relance la sauvegarde, restic va-t-il recopier les trois fichiers ? Que dit-il à la fin ? ______________________

echo "contrat client 1, avenant" >> ~/donnees/contrat1.txt
restic -r ~/depot-sauvegarde backup ~/donnees

Éléments de réponse

Non : restic compare le contenu et ne stocke que les différences. Le résumé indique un fichier modifié et très peu de données ajoutées.

Simuler l'incident

rm -rf ~/donnees/*
ls ~/donnees
restic -r ~/depot-sauvegarde restore latest --target ~/restauration
ls ~/restauration/home/*/donnees 2>/dev/null || find ~/restauration -name 'contrat*'
restic -r ~/depot-sauvegarde check

Je comprends. restore latest --target remet le dernier instantané dans un dossier séparé (on ne restaure jamais par-dessus sans réfléchir) ; check vérifie l'intégrité du dépôt : c'est la preuve que la sauvegarde est lisible.

Questions.

Les trois fichiers sont-ils revenus ? Le fichier modifié contient-il l'avenant ? ______________________
Combien de temps a duré la restauration ? Comment ce temps se compare-t-il à ton RTO de la partie A ? ______________________

Attaquer la sauvegarde elle-même

Un rançongiciel détruit aussi les sauvegardes qu'il atteint. Fais d'abord une copie séparée (celle qui, en vrai, serait hors ligne), puis détruis le dépôt :

sudo mkdir -p /mnt/copie-hors-ligne
sudo rsync -a ~/depot-sauvegarde/ /mnt/copie-hors-ligne/depot/
rm -rf ~/depot-sauvegarde
restic -r ~/depot-sauvegarde snapshots
restic -r /mnt/copie-hors-ligne/depot snapshots

J'anticipe. Que donnent les deux dernières commandes ? Que démontre cette expérience ? ______________________

Éléments de réponse

La première échoue (dépôt détruit) ; la seconde liste encore les instantanés : la copie séparée a survécu. Une sauvegarde qui reste accessible en écriture depuis le système attaqué peut être détruite avec lui : d'où la copie hors ligne ou immuable de la règle 3-2-1-1-0.

Question. Ici le répertoire /mnt/copie-hors-ligne est sur la même machine : en quoi cette copie ne répond-elle pas complètement à la règle 3-2-1 ? ______________________

Gérer la rétention

restic -r /mnt/copie-hors-ligne/depot forget --keep-daily 7 --keep-weekly 4 --keep-monthly 12 --dry-run

Je comprends. forget applique une politique de rétention (7 quotidiennes, 4 hebdomadaires, 12 mensuelles) ; --dry-run simule sans rien supprimer : toujours simuler avant de supprimer des sauvegardes.

Partie C. Chiffrer un support (30 min)

Sans clé USB, on simule un support avec un fichier de 100 Mo chiffré par LUKS.

fallocate -l 100M ~/support.img
sudo cryptsetup luksFormat ~/support.img
sudo cryptsetup open ~/support.img coffre
sudo mkfs.ext4 /dev/mapper/coffre
sudo mkdir -p /mnt/coffre && sudo mount /dev/mapper/coffre /mnt/coffre
echo "document confidentiel" | sudo tee /mnt/coffre/secret.txt
sudo umount /mnt/coffre && sudo cryptsetup close coffre

Je comprends.

Commande	Ce qu'elle fait
`fallocate -l 100M`	Crée un fichier de 100 Mo qui servira de « disque »
`cryptsetup luksFormat`	Prépare le support avec LUKS et demande une phrase de passe (identifiant de laboratoire)
`cryptsetup open ... coffre`	Déverrouille le support : il apparaît comme `/dev/mapper/coffre`
`mkfs.ext4`, `mount`	Crée un système de fichiers et le monte pour l'utiliser
`umount`, `cryptsetup close`	Ferme : les données redeviennent illisibles

J'anticipe. Si j'ouvre ~/support.img avec un éditeur hexadécimal (xxd ~/support.img \| head), verrai-je « document confidentiel » en clair ? ______________________

xxd ~/support.img | grep -i confidentiel || echo "texte non trouvé"

Éléments de réponse

Non : le contenu est chiffré (« texte non trouvé »). Sans la phrase de passe, un support perdu ou volé ne livre rien.

Question. Quelle est la conséquence de la perte de la phrase de passe LUKS ? Où conserver une copie de secours de la phrase de passe, et comment la protéger ? ______________________

Partie D. Plan de tests et règle d'usage (40 min)

Complète le plan de tests de restauration de SimTech (qui, quoi, à quelle fréquence, ce qu'on consigne).

Test	Fréquence	Contenu	Responsable	Trace conservée
Restauration de fichiers pris au hasard
Restauration d'un projet complet
Restauration du serveur complet (exercice de PRA)
Contrôle d'intégrité du dépôt

Écris la règle d'usage des supports amovibles de SimTech en 10 lignes maximum : supports autorisés, chiffrement, interdiction des supports inconnus, perte ou vol (qui prévenir, dans quel délai), effacement avant réaffectation.

Je comprends. Un test de restauration est un exercice, pas une formalité : on mesure le temps réel (à comparer au RTO) et on corrige la procédure quand elle échoue.

Retour en entreprise

Si ta situation le permet : observe comment ton entreprise traite ce sujet, note en quelques lignes l'écart avec le TP, et, avec l'accord de ton tuteur, réalise une partie sur une situation réelle. Anonymise tes captures. Voir Transfert en entreprise.

Bilan de la séance

Remplis ce bilan seul, honnêtement : il sert à décider ce qu'il faut reprendre. Niveau : Non maîtrisé, Maîtrise partielle, Bonne maîtrise ou Excellente maîtrise (le vocabulaire des grilles nationales d'évaluation) ; Non évalué si tu n'as pas travaillé la compétence aujourd'hui.

Compétence du référentiel	Ce que j'ai fait dans cette séance	Niveau
B3.4 – Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques
B3.3 – Sécuriser les équipements et les usages des utilisateurs

Note

Les codes sont ceux du référentiel (l'arrêté numérote des activités : les codes « B… » sont un usage courant).

Je sais faire, sans aide :

Déduire un RPO, un RTO et une rétention d'un besoin métier ;
Choisir un type de sauvegarde et justifier un schéma 3-2-1 dans un budget ;
Sauvegarder et restaurer avec un outil chiffré, puis vérifier l'intégrité du dépôt ;
Montrer qu'une copie accessible en écriture peut être détruite et qu'une copie séparée sauve la situation ;
Chiffrer un volume et expliquer le risque de perte de la clé.

Ce que je dois reprendre : ______________________

Ma question à poser à l'enseignant : ______________________