Protection Continue des Données

Les sauvegardes planifiées copient les données à intervalles fixes. Tout ce qui a changé entre deux exécutions est exposé à une perte de données si le stockage principal tombe en panne. La CDP comble cet écart : un agent ou une couche de stockage intercepte chaque écriture, qu'il s'agisse d'un enregistrement de fichier, d'une transaction de base de données, d'une modification ou d'une suppression, et l'enregistre dans un journal ou une réplique séparé et protégé au moment où elle se produit.

Le résultat est un historique continu de l'état des données. Le système peut donc revenir à n'importe quel instant, et pas seulement à la dernière sauvegarde planifiée. Deux implémentations sont courantes. La CDP au niveau bloc capture chaque écriture au niveau du disque ou du volume, quelle que soit l'application à l'origine. Elle protège tout le volume, mais ne connaît pas l'état des applications. La CDP au niveau applicatif lit le journal des transactions de la base ou de l'application. La restauration suit alors la logique propre à l'application et rétablit une transaction précise, et non un état brut du disque.

Chaque modification suit le même chemin court. Les étapes sont identiques pour les fichiers et les bases de données ; seul l'objet enregistré change.

1. 1

   Interception

   L'agent ou la couche de stockage voit l'écriture au moment où elle atteint le disque.

2. 2

   Journalisation

   La modification est écrite dans un journal ou une réplique séparé, sans écraser les données d'origine.

3. 3

   Horodatage

   L'entrée du journal reçoit une heure précise, afin que la restauration puisse choisir un instant exact.

4. 4

   Retour arrière

   Lors de la restauration, le système rejoue le journal jusqu'à l'instant choisi, puis s'arrête.

La différence concrète tient au RPO, l'objectif de point de reprise : la quantité de données exposée quand quelque chose tourne mal. Une sauvegarde nocturne laisse exposée une journée entière de travail. La CDP réduit cette exposition aux dernières secondes.

Les systèmes qui enregistrent les changements toutes les quelques minutes plutôt qu'à chaque écriture sont présentés comme « quasi-CDP ». Ils constituent un progrès net par rapport à la sauvegarde planifiée, mais leurs points de reprise restent discrets. Le tableau compare les quatre approches :

La CDP est un mécanisme de reprise, et non de prévention. Elle n'arrête pas un incident. Elle limite la quantité de données que l'incident détruit.

Les usages typiques comprennent :

• la restauration d'un fichier supprimé ou d'un fichier écrasé par erreur
• le retour arrière après une mise à jour échouée ou une mauvaise modification de configuration
• la restauration d'une base de données avec une perte minimale de transactions
• le retour au moment qui précède le chiffrement des fichiers par un rançongiciel

Chaque écriture est enregistrée deux fois, une fois dans les données de production et une fois dans le journal. La capture continue a donc un coût réel. Ces compromis déterminent les endroits où la CDP est déployée.

L'emplacement du journal et sa propre protection deviennent des choix de conception dès le départ.

Le journal enregistre tout ce qui s'est passé, dommages compris. Les données déjà erronées au moment de leur écriture restent erronées à chaque point de reprise. La CDP ne peut donc pas corriger une erreur logique d'application. Elle n'aide aussi que si quelqu'un sait à quel moment revenir. Dans une corruption lente ou une intrusion discrète, c'est la partie difficile, et c'est là que la surveillance de l'intégrité des fichiers prend tout son sens.

Le journal est lui aussi sensible. Il contient les mêmes données que la production : il exige donc le même contrôle d'accès et un chiffrement des données au repos. Si un attaquant disposant de droits d'administrateur est dans le périmètre, il faut aussi l'immuabilité. Un journal que les mêmes identifiants ayant chiffré la production peuvent supprimer ne protège rien.

La CDP est appliquée de façon sélective, aux systèmes dont la fenêtre tolérable de perte de données se mesure en secondes : bases de données transactionnelles, systèmes de commandes et de paiement, machines virtuelles qui font tourner des applications critiques. Les systèmes dont le contenu change rarement, ou pour lesquels quelques heures de perte sont acceptables, restent généralement sur des instantanés et des sauvegardes planifiées. Le coût de la capture continue n'est pas justifié par le gain sur le point de reprise.

Commencez par les systèmes pour lesquels la perte d'une heure ferait le plus mal, puis vérifiez jusqu'où remonte réellement leur restauration. La CDP est une couche de la protection des données, aux côtés du contrôle d'accès et de la détection, et elle ne fonctionne que si le point de reprise a été testé.

Pour aller plus loin : Mécanismes de sécurité des systèmes d'information.