Considérations relatives au réseau pour la sécurisation et la protection de vos données

Félicitations pour être parvenu jusqu'à la dernière partie de cette série !

Il s’agit du quatrième et dernier article de notre série en quatre parties consacrée à la sécurisation de vos données de sauvegarde et la protection contre les ransomwares.

Les articles précédents avaient pour but de vous familiariser avec la manière dont HYCU identifie les sources et protège les données en toute simplicité.

Nous avons également mis l’accent sur notre fonctionnalité native de protection contre les ransomwares, mais nous avons aussi expliqué comment nous vous offrons la flexibilité nécessaire pour renforcer encore davantage votre posture de sécurité en choisissant des cibles de stockage proposant des options supplémentaires visant à rendre les données de sauvegarde difficiles à compromettre, ainsi qu’en modifiant ou en renouvelant simplement vos mots de passe. La dernière étape du processus de sécurisation de vos sauvegardes consiste à vous concentrer sur la manière de sécuriser les voies de communication vers et depuis vos sources, vos hôtes et vos cibles.

Heureusement, la configuration des cartes réseau virtuelles pour HYCU est un processus très simple et intuitif.

Bien qu’une seule carte réseau virtuelle (vNIC) soit requise au minimum, il est possible de mettre en place une configuration multi-homing pour HYCU, en ajoutant une deuxième vNIC à la machine virtuelle HYCU après l’avoir déployée avec la première vNIC déjà connectée. Une fois la deuxième vNIC connectée (après le déploiement de la machine virtuelle), elle devient un élément configurable au sein de l’interface utilisateur Web d’HYCU 4.1. De plus, les clients peuvent désactiver le listener Web sur la deuxième carte réseau utilisée pour accéder à un réseau de stockage. 

En fonction de la cible que vous avez sélectionnée, veuillez tenir compte des éléments suivants.

• Si vous choisissez une cible NFS pour vos sauvegardes principales, veuillez noter que l’appareil peut nécessiter la configuration d’une liste blanche pour autoriser le trafic vers le stockage réseau depuis HYCU.
• Si vous optez pour une cible SMB, vous devrez configurer un compte disposant d’un accès au partage que vous créerez. Il est également important d’interdire (ou de ne pas autoriser à tort) tout accès réseau non autorisé à votre partage de données de sauvegarde. Et de ne pas la mettre en commun avec d’autres machines de votre environnement.
• Si vous sélectionnez une cible iSCSI, il serait prudent d’envisager d’activer/de configurer le protocole CHAP (Challenge-Handshake Authentication Protocol), ce qui peut être effectué sur la cible et au sein d’HYCU.
• Pour les cibles de stockage objet dans le cloud, vous devrez configurer des comptes et/ou des clés secrètes/d’accès afin d’accorder l’accès au stockage cloud. Vous devrez ensuite déterminer si vous avez besoin d’une connexion cryptée, isolée et haut débit (configurée avec des points de connexion homologues et des routes appropriées), d’une connexion VPN de site à site, ou si vous pouvez simplement passer par l’Internet public via HTTPS/TLS.    

L’interface utilisateur Web de HYCU peut être configurée pour utiliser un certificat PKI généré par le client ou par le fournisseur.

Le déploiement initial fournit un certificat auto-signé, mais les clients peuvent franchir une étape supplémentaire en utilisant un certificat personnalisé émis par leurs propres autorités de certification.  De plus, la connexion source d’HYCU avec Nutanix Prism peut également être configurée pour utiliser l’authentification par certificat. 

Si les clients prennent le temps de mettre en œuvre les mesures susmentionnées adaptées à leurs environnements et de verrouiller les ports et les accès, les dernières étapes peuvent consister à désactiver l’accès SSH à HYCU, limiter l’accès aux interfaces utilisateur de Prism Element ou de vCenter aux seuls administrateurs Nutanix et/ou VMware nécessaires (ainsi qu’à leurs postes de travail ou serveurs administratifs) grâce à la microsegmentation.  Ces mesures permettent de limiter considérablement l’accès à la console de la machine virtuelle aux seules personnes ou machines sélectionnées. 

Avant tout, faire preuve de bon sens (c’est-à-dire ne pas autoriser l’accès à Internet aux serveurs et veiller à ce que les postes de travail des administrateurs soient parfaitement sécurisés), choisir soigneusement vos cibles de stockage (en privilégiant celles qui offrent des fonctionnalités anti-ransomware) et suivre ces recommandations relatives au réseau permettront de réduire considérablement les risques d’attaque et vous donneront une chance de vous en sortir en toute sérénité.