Cours Sauvegarde et reprise — règle 3-2-1, RPO/RTO, restauration et immuabilité

Objectifs d'apprentissage

À la fin de ce cours, l'apprenant peut :

1. expliquer la règle 3-2-1 et dire ce que chaque chiffre protège ;
2. définir RPO et RTO et les déduire d'un besoin ;
3. distinguer sauvegarde complète, incrémentale et différentielle ;
4. expliquer pourquoi un snapshot n'est pas une sauvegarde ;
5. concevoir un test de restauration et en définir le critère de réussite ;
6. décrire l'immuabilité, la copie hors ligne et le chiffrement des sauvegardes, avec leurs risques ;
7. esquisser un plan de reprise ;
8. utiliser Time Machine et rsync sur des données de test, avec essai à blanc et retour arrière.

Prérequis

• Terminal macOS (cours « Terminal macOS ») ; notion de fichier, disque, volume.
• Notions de réseau utiles pour les copies distantes (cours « Réseau »).
• Aucun accès à un système réel n'est requis ; pratiquer seulement avec un dossier de test et un disque externe vide ou jetable.

Parcours et chapitres

1. Pourquoi sauvegarder, et contre quoi

Une sauvegarde protège contre : la suppression ou l'erreur humaine, la panne de disque, le vol ou le sinistre physique, la corruption silencieuse et le rançongiciel. La page CISA « #StopRansomware Guide » (version de septembre 2023) le dit ainsi : conserver des sauvegardes hors ligne et chiffrées des données critiques et tester régulièrement leur disponibilité et leur intégrité, parce que de nombreux rançongiciels tentent de trouver puis de supprimer ou chiffrer les sauvegardes accessibles. Une copie toujours branchée au réseau n'est donc pas une protection complète.

2. La règle 3-2-1

Énoncé usuel : 3 copies des données (l'original plus deux sauvegardes), sur 2 types de support différents, dont 1 copie hors site.

Chaque chiffre répond à un risque : les trois copies à la panne d'une copie ; les deux supports à la panne d'une technologie ou d'un lot de disques ; le hors site au sinistre local (incendie, vol, inondation).

Attribution à vérifier. La règle est souvent attribuée à la CISA. Une recherche web a restitué cette attribution, mais je n'ai pu lire ni la page cisa.gov/news-events/news/data-backup-options (erreur 404) ni le PDF de « Data Backup Options » (extraction impossible) : l'attribution officielle est non vérifiée. L'énoncé ci-dessus est donné comme convention courante, pas comme citation d'une norme.

Exemple pour un Mac : copie 1 = le Mac ; copie 2 = Time Machine sur un disque externe ; copie 3 = copie chiffrée dans un autre lieu (disque rangé ailleurs, ou service distant : choix et fournisseur à décider par Stéphane, non traités).

3. RPO, RTO et le niveau de service

Le glossaire du NIST donne, d'après le SP 800-34 Rev. 1 (mai 2010, mis à jour en novembre 2010) :

• RPO (recovery point objective) : « le point dans le temps auquel les données doivent être récupérées après une panne » ;
• RTO (recovery time objective) : « la durée totale pendant laquelle les composants d'un système peuvent rester en phase de récupération avant d'avoir un effet négatif sur la mission ou les processus métier ».

(Traductions libres de l'original anglais.)

En pratique : le RPO fixe la fréquence de sauvegarde (RPO de 24 heures : au moins une sauvegarde par jour) ; le RTO fixe la méthode (restaurer un fichier est rapide, reconstruire un poste entier est long). Le NIST SP 800-34 traite aussi l'analyse d'impact (BIA) : le contenu détaillé du document n'a pas été lu (la page de présentation seulement) ; les méthodes de calcul sont non vérifiées.

4. Complète, incrémentale, différentielle

Définitions d'usage (générales, non issues d'une source lue pour ce cours : à valider) :

Le manuel de rsync décrit un mécanisme voisin : --link-dest=DIR crée des liens physiques vers les fichiers inchangés d'un jeu de référence, ce qui permet des jeux datés qui ressemblent chacun à une sauvegarde complète tout en ne stockant que les changements.

5. Snapshot n'est pas sauvegarde

Un snapshot (instantané) fige l'état à un instant, mais reste en général sur le même stockage que les données : une panne ou une destruction du stockage emporte les deux. Il est idéal pour revenir d'une mauvaise manipulation récente, pas pour survivre à un sinistre. La documentation de VMware citée dans le cours ESXi le présente d'ailleurs comme une solution à court terme.

Sur macOS, Apple décrit les instantanés locaux de Time Machine : créés chaque heure, ils sont conservés jusqu'à 24 heures ou tant que l'espace le permet, stockés sur le même disque que les fichiers d'origine (volumes APFS), et servent à récupérer un fichier même sans disque de sauvegarde branché. Ce sont des instantanés, pas une sauvegarde.

6. Time Machine, exemple local sur macOS

D'après l'aide Apple (« Sauvegarder votre Mac avec Time Machine ») : Time Machine sauvegarde les fichiers qui ne font pas partie de l'installation de macOS (apps, musique, photos, documents) ; une fois activé, il fait des sauvegardes toutes les heures, quotidiennes et hebdomadaires ; les destinations prises en charge sont un disque externe, un disque réseau ou une Time Capsule ; Apple recommande une destination externe plutôt que le disque interne. La rétention précise et l'option de chiffrement de la destination ne figurent pas dans la page lue : non vérifiées.

La restauration (page Apple) : ouvrir le dossier concerné, lancer Time Machine, naviguer dans les sauvegardes avec les flèches, sélectionner puis Restaurer ; les éléments retournent à leur emplacement d'origine. Pour de nombreux documents, Fichier > Revenir à > Parcourir toutes les versions affiche les versions antérieures.

L'outil tmutil (page lue sur le miroir) :

• lecture : listbackups, latestbackup, destinationinfo, listlocalsnapshots, verifychecksums ;
• modification : startbackup, stopbackup, restore, delete, deletelocalsnapshots, setdestination, enable, disable.

Les opérations de modification nécessitent root et, selon la page, l'accès complet au disque accordé à Terminal ; plusieurs options de lecture aussi. Cette exigence est non vérifiée commande par commande.

Attention, effet notable. Cette commande peut s'exécuter avec des droits élevés. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

sudo tmutil destinationinfosudo tmutil latestbackupsudo tmutil listlocalsnapshots /

• Contexte : Terminal macOS, version non confirmée ; Terminal doit avoir l'accès complet au disque (réglage de confidentialité).
• Droits : administrateur (sudo).
• Effet : lecture seule de l'état de la destination et des instantanés.
• Vérification : une destination et une dernière sauvegarde récentes.
• Retour arrière : sans objet.

7. rsync, exemple de copie locale

Le manuel de rsync : outil de copie de fichiers « rapide, polyvalent », local ou distant, qui n'envoie que les différences (algorithme de transfert delta). Options utiles : -a (mode archive : équivaut à -rlptgoD, sans les ACL, les attributs étendus, les dates d'accès et les liens physiques) ; -n ou --dry-run (essai sans modification) ; -v (détail) ; -i (résumé des changements) ; -c (comparaison par somme de contrôle, plus sûre, plus lente) ; --stats ; --delete (supprime de la destination ce qui n'existe plus à la source). Un slash final sur la source (dossier/) copie le contenu du dossier, sans slash on copie le dossier lui-même.

Le rsync livré avec macOS est-il celui de ce manuel (version, options pour les métadonnées Apple) ? Non vérifié : lire man rsync et rsync --version sur le Mac avant de compter sur les attributs étendus.

Essai à blanc, puis copie, dans un dossier de test :

rsync -avn --stats ~/Test-Sauvegarde/ /Volumes/Sauvegarde-Test/copie/rsync -av --stats ~/Test-Sauvegarde/ /Volumes/Sauvegarde-Test/copie/diff -r ~/Test-Sauvegarde /Volumes/Sauvegarde-Test/copie

• Contexte : Terminal macOS ; dossiers de test créés pour l'occasion.
• Droits : utilisateur propriétaire des deux dossiers.
• Effet : le premier (-n) ne modifie rien ; le second écrit dans la destination.
• Vérification : diff -r ne signale aucune différence ; relire le résumé -i.
• Retour arrière : supprimer le dossier de destination de test (il ne contient que la copie).

Attention, effet notable. Cette commande a un effet notable. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

rsync -avn --delete ~/Test-Sauvegarde/ /Volumes/Sauvegarde-Test/copie/

• Contexte : Terminal macOS ; dossiers de test.
• Droits : utilisateur propriétaire des dossiers.
• Effet : aucun (essai à blanc -n) ; liste les suppressions qui auraient lieu.
• Vérification : la liste ne contient que ce qui doit disparaître.
• Retour arrière : sans objet pour l'essai ; sans -n, la suppression est définitive, d'où la sauvegarde préalable.

Cette dernière commande est un essai (-n) : elle liste ce qui serait supprimé et ne supprime rien. Retirer -n seulement si la liste est celle attendue.

8. Tester la restauration

Un test de restauration comprend : un périmètre (fichier, dossier, poste), un jeu de test connu, une restauration vers un emplacement distinct (jamais par-dessus l'original), une comparaison (somme de contrôle ou diff), un chronométrage (à comparer au RTO) et un compte rendu.

mkdir -p ~/Restauration-Testrsync -av /Volumes/Sauvegarde-Test/copie/ ~/Restauration-Test/diff -r ~/Test-Sauvegarde ~/Restauration-Test

• Contexte : dossier de test, copie de l'exercice précédent.
• Droits : utilisateur.
• Effet : copie vers ~/Restauration-Test, créé s'il n'existe pas.
• Vérification : diff -r muet ; durée notée.
• Retour arrière : supprimer ~/Restauration-Test.

Le NIST SP 800-209 (octobre 2020) liste la garantie de restauration (restoration assurance) parmi les domaines de sécurité du stockage ; le détail des recommandations n'a pas été lu.

9. Immuabilité, hors ligne et chiffrement

Immuabilité. Une sauvegarde immuable ne peut être ni modifiée ni supprimée pendant une durée de rétention, même par un compte administrateur compromis. La CISA (guide #StopRansomware) recommande des copies hors ligne et cite aussi les stockages immuables, à utiliser avec prudence car une mauvaise configuration peut créer des problèmes de conformité. Les mécanismes techniques (verrouillage d'objets, bande, rotation de disques) dépendent du produit : non traités, non vérifiés.

Hors ligne. Un disque débranché et rangé n'est atteignable ni par un rançongiciel ni par un compte compromis. Contrepartie : il faut penser à le rebrancher, et il vieillit.

Chiffrement. La CISA recommande des sauvegardes chiffrées. Elles protègent contre le vol du support, mais exposent à un risque nouveau : sans la clé ou le mot de passe, la sauvegarde est inutilisable. La clé doit être sauvegardée séparément (gestionnaire de secrets), jamais sur le support chiffré qu'elle déverrouille. Le NIST SP 1800-25 (décembre 2020) traite sauvegardes, stockage sécurisé, contrôle d'intégrité et journaux d'audit face aux rançongiciels ; seul son résumé a été lu.

10. Le plan de reprise

D'après la présentation du NIST SP 800-34 : la planification de contingence relie la reprise aux autres plans (réponse à incident, continuité). Un plan de reprise minimal pour un poste ou un petit service contient :

1. Inventaire des données et services, avec leur criticité ;
2. RPO et RTO par élément ;
3. Emplacement des sauvegardes et qui y accède ;
4. Procédure de restauration écrite, étape par étape, testée ;
5. Ordre de reprise (identité et réseau d'abord, puis données, puis services) ;
6. Contacts et décisions (qui déclare le sinistre) ;
7. Revue après chaque test ou incident.

La déclinaison de ce plan sur l'infrastructure de Stéphane (ESXi, vCenter, NetApp) n'est pas traitée et dépend des versions utilisées.

Exercices et vérifications de fin de cours

1. 3-2-1. Évaluer par écrit sa propre organisation de sauvegarde (sans noms réels dans le dépôt) : copies, supports, hors site.
2. RPO/RTO. Remplir le tableau du chapitre 3 pour trois jeux de données ; déduire la fréquence de sauvegarde.
3. Types. Pour une semaine de 7 jours (complète le dimanche), lister les jeux nécessaires pour restaurer le jeudi en mode incrémental, puis différentiel.
4. Snapshot. Expliquer en trois phrases pourquoi les instantanés locaux de Time Machine ne suffisent pas.
5. rsync. Sur un dossier de test, comparer les sorties de -avn avant et après avoir ajouté un fichier.
6. Restauration. Réaliser et chronométrer le test du chapitre 8 sur le dossier de test.
7. Plan. Rédiger un plan de reprise d'une page pour un poste, selon les sept rubriques.

Critères de réussite

• Énoncer la règle 3-2-1 et ses limites (hors ligne, test).
• Relier RPO à la fréquence et RTO à la méthode.
• Ne jamais lancer --delete, restore ou delete sans essai ni retour arrière.
• Dire ce qui n'a pas été vérifié.