Dé­fail­lance de serveur : risques, con­sé­quences et parade

Lorsqu’il s’agit de cri­mi­na­lité sur Internet, les en­tre­pre­neurs pensent tout d’abord à l’es­pion­nage in­dus­triel, au dé­tour­ne­ment de données com­mer­ciales sensibles ainsi qu’à la violation de données per­son­nelles. Mais la di­gi­ta­li­sa­tion crois­sante a entraîné une aug­men­ta­tion des attaques en réseau d’une nouvelle nature. Toujours plus de domaines d’activité se protègent avec des in­fras­truc­tures in­for­ma­tiques pour cela. Les en­tre­prises étant con­nec­tées à des réseaux publics, cela offre aux cy­ber­cri­mi­nels la chance d‘accéder à dif­fé­rents systèmes il­lé­ga­le­ment. Si une cy­be­rat­taque aboutit à une panne du système, cela entraîne une in­ter­rup­tion de l’activité qui peut être très coûteuse pour l’en­tre­prise. Une dé­fail­lance de serveur peut en quelques minutes entraîner des dommages de plusieurs milliers d’euros. Les pertes sont d’autant plus im­por­tantes lorsque la panne concerne un serveur qui héberge une boutique en ligne ou bien une base de données cen­tra­li­sée. Mais les pannes de serveur n’ont pas seulement des con­sé­quences externes. Certains risques pèsent en effet sur le fonc­tion­ne­ment interne de l’en­tre­prise.

En dehors de la pré­ven­tion de menaces et de pro­cé­dures standards dans le cadre d’un retour de l’activité à la normale, un concept de sécurité solide comprend pour cela des mesures or­ga­ni­sa­tion­nelles et per­son­nelles. Les mesures de pré­ven­tion reposent gé­né­ra­le­ment sur la com­pen­sa­tion : tech­ni­que­ment, cela consiste à mettre à dis­po­si­tion une re­don­dance ma­té­rielle pour obtenir une haute dis­po­ni­bi­lité ou bien compenser la panne avec un système réserve. La sécurité des données est assurée via des sau­ve­gardes et logiciels de ré­cu­pé­ra­tion de données ainsi qu’à travers une ar­chi­tec­ture de stockage re­don­dante. Les con­sé­quences fi­nan­cières d’une panne de serveur peuvent être amorties par des as­su­rances.

Les experts en sécurité dif­fé­ren­cient deux types de sources à risques causant de telles pannes de serveurs : des menaces externes et internes. Les menaces internes ras­semblent tous les scénarii où les dé­fail­lances sont pro­vo­quées par votre propre in­fras­truc­ture in­for­ma­tique, comme par exemple le système d’ali­men­ta­tion ou les erreurs venant des employés. Les menaces externes quant à elles sont gé­né­ra­le­ment causées par des attaques mal­veil­lantes ou par des évè­ne­ments im­pré­vi­sibles ex­té­rieurs comme des accidents ou des ca­tas­trophes.

Sources de danger internes :

• Incendie dans le centre de données

• Panne d’élec­tri­cité dans le centre de données

• Panne ma­té­rielle (crash du disque dur, surcharge, sur­chauffe)

• Erreurs lo­gi­cielles (panne de la base de données)

• Problèmes réseau

• Erreur humaine

Sources de danger externes :

• In­fil­tra­tion (Attaque de l’homme du milieu, Ha­me­çon­nage, in­gé­nie­rie sociale)

• Sabotage (Attaques sur systèmes SCADA)

• Virus, Cheval de Troie, Vers

• Attaque par déni de service (DDoS)

• Vol du matériel

• Cas de force majeure (séisme, coup de foudre, inon­da­tion) 

• Accidents (Ca­tas­trophe aérienne)

• Attentats

Il est en général plus facile de prévenir des menaces internes qu’externes pour les en­tre­prises. La raison à cela est que les hackers adaptent con­ti­nuel­le­ment leur modèle d’attaque aux standards de sécurité utilisés par les en­tre­prises, qui doivent sans cesse faire face à ces in­tru­sions. Les sources de menaces internes sont au contraire an­ti­ci­pées du­ra­ble­ment à travers une ali­men­ta­tion en courant sans in­ter­rup­tion, des mesures de pro­tec­tion contre les incendies, par l’aug­men­ta­tion de la dis­po­ni­bi­lité des serveurs et par des for­ma­tions de sécurité complètes.

Une dé­fail­lance de serveur entraîne des dommages fi­nan­ciers. C’est très clair pour la plupart des en­tre­prises. Une étude de Te­ch­con­sult en 2013 nous montre quels coûts résultent con­crè­te­ment d’une heure de panne. Une étude a entre autres été menée chez HP Allemagne dans 300 en­tre­prises de 200 à 4999 employés. Environ 77 pourcent des in­ter­ro­gés notaient des dé­fail­lances critiques de systèmes in­for­ma­tiques au cours de l’année précédant l’étude. Les prin­ci­pales con­cer­nées étaient les en­tre­prises mar­chandes, de pro­duc­tion, et de dis­tri­bu­tion. Cela abou­tis­sait en moyenne à quatre dé­fail­lances par en­tre­prise pendant la période de l’étude. Le temps moyen né­ces­saire pour récupérer les données était de 3,8 heures.

Les coûts entrainés par heure de panne varient selon la taille de l’en­tre­prise. Tandis que les en­tre­prises de moins de 500 employés cons­ta­taient des dégâts à hauteur de 20 000 euros par heure de panne, celles de 1 000 employés devaient débourser le double, soit 40 000 euros par heure. Si l’on prend en compte le temps de ré­pa­ra­tion de la dé­fail­lance du serveur et la ré­cu­pé­ra­tion des données, cela re­pré­sente un coût annuel moyen de 380 000 euros pour les en­tre­prises de taille moyenne.

Mais la portée que peut avoir une panne de serveur pour une en­tre­prise en matière d’in­ter­rup­tion de l’activité dépend beaucoup de la branche et du modèle com­mer­cial. Il est en principe possible pour les employés de trouver des activités al­ter­na­tives, en or­ga­ni­sant des rendez-vous, appels té­lé­pho­niques, ou en avançant des rendez-vous clients. Mais si tous les processus centraux sont pilotés via un système in­for­ma­tique, un temps d’arrêt peut s‘avérer par­ti­cu­liè­re­ment embêtant. Cela est d’autant plus coûteux pour les boutiques en ligne dont le fonc­tion­ne­ment est arrêté et ne per­met­tant plus aux clients de passer des commandes ou bien pa­ra­ly­sant la pro­duc­tion en cas de dé­fail­lance du système SCADA.

Le calcul des coûts d’une in­ter­rup­tion de l’activité devrait, en dehors du taux horaire des employés dans l’in­ca­pa­cité de tra­vail­ler, aussi tenir compte des pertes liées aux commandes exis­tantes n’arrivant pas à des­ti­na­tion, des pénalités de retard en fonction des contrats, etc. On ajoute à cela les dégâts liés à l’image de l’en­tre­prise, dif­fi­ci­le­ment cal­cu­lables.

Pour combattre ces dé­fail­lances de serveurs, il s’agit de lutter contre les risques réels à travers des mesures de pré­ven­tion. Celles-ci se réfèrent en général à une série de mesures or­ga­ni­sa­tion­nelles pour le choix et la con­cep­tion de l’en­vi­ron­ne­ment des serveurs.

Pour protéger des serveurs d’in­fluences physiques telles que des incendies, inon­da­tions, pannes d’élec­tri­cité ou encore d’actes de sabotage, votre salle des machines doit être équipée en con­sé­quence. Cela commence dès le choix de son em­pla­ce­ment. Les caves ne sont pas re­com­man­dées pour les risques d’inon­da­tion qu’elles com­por­tent. Par ailleurs, l’accès à cette salle devrait être limité aux spé­cia­listes et cette dernière devrait être équipée de cloisons de sécurité. Ces espaces ne doivent, du­ra­ble­ment, pas être pensés comme des places de travail.

Les dégâts engendrés par des incendies peuvent être parés via des systèmes de pro­tec­tion incendie.  Cela regroupe aussi bien l’ins­tal­la­tion de portes incendie, de dis­po­si­tifs de détection de fumée, d’ex­tinc­teurs portatifs, ou encore de systèmes d’ex­tinc­tion au­to­ma­tiques (à gaz par exemple).  D’autres mesures pré­ven­tives con­sis­tent à se protéger de risques d’incendies en utilisant des matériaux (machines, câbles, etc.) con­ve­nables et ré­sis­tants au feu et en évitant tout produit in­flam­mable.  

Les appareils élec­tro­niques pro­dui­sent de la chaleur. Une aug­men­ta­tion de la tem­pé­ra­ture dans la salle du serveur peut être la con­sé­quence de l’en­so­leil­le­ment tout sim­ple­ment. Pour éviter les dé­fail­lances de serveur et les données erronées, des appareils de ven­ti­la­tion et des systèmes de re­froi­dis­se­ment plus per­for­mants peuvent être utilisés. Les con­di­tions optimales de stockage pour les médias de stockage de longue durée sont les suivantes : une tem­pé­ra­ture se situant entre 20 et 22 degrés et une humidité de 40 pourcent.

Une condition fon­da­men­tale pour le fonc­tion­ne­ment du serveur sans in­ter­rup­tion est une ali­men­ta­tion constante en courant. Une in­ter­rup­tion de plus de 10 ms est déjà con­si­dé­rée comme un dé­ran­ge­ment. Pour cela, vous pouvez mettre en place un pont élec­trique à l’aide d’une ali­men­ta­tion de secours. Cela permet une ex­ploi­ta­tion au­to­suf­fi­sante de l’élec­tri­cité, in­dé­pen­dam­ment du service public d’élec­tri­cité, lorsqu’une in­ter­rup­tion de cette dernière survient.

Les en­tre­prises de taille moyenne sous-estiment très souvent les con­sé­quences de telles pannes de systèmes in­for­ma­tiques sur leur activité. Une raison à cela est la haute fiabilité des com­po­sants standards utilisés aujourd’hui en en­tre­prise. Leur dis­po­ni­bi­lité est en général de 99,9 pourcent. Un chiffre qui peut paraître élevé, mais qui peut engendrer une in­ter­rup­tion maximale de 9 heures sur une année en ex­ploi­tant les res­sources 24 heures sur 24. Si une in­ter­rup­tion survient à un moment de grande affluence, l’en­tre­prise peut payer très cher une in­dis­po­ni­bi­lité re­la­ti­ve­ment courte. Ces systèmes in­for­ma­tiques d’une haute dis­po­ni­bi­lité de 99,99 pourcent sont d’ailleurs utilisés comme standard pour la mise à dis­po­si­tion de données sensibles. Avec ce type de matériel, un temps d’arrêt maximal de 52 minutes par an est garanti. C’est pour cela que les experts parlent d’un système in­for­ma­tique à très haute dis­po­ni­bi­lité. Le problème de ces chiffres sur la dis­po­ni­bi­lité est qu’ils con­cer­nent uni­que­ment le matériel du serveur. Selon la dé­fi­ni­tion du IEEE (Institute of Elec­tri­cal and Elec­tro­nics Engineers), un système hautement dis­po­nible est ca­rac­té­risé en tant que tel lorsqu’il assure la sécurité des res­sources in­for­ma­tiques même quand il y a une panne d’un composant système : „High Avai­la­bi­lity (HA for short) refers to the avai­la­bi­lity of resources in a computer system, in the wake of component failures in the system.” Une telle dis­po­ni­bi­lité est atteinte avec l’uti­li­sa­tion de serveurs re­don­dants. Tous les com­po­sants im­por­tants, en par­ti­cu­lier les pro­ces­seurs et unités de stockages et I/O sont mis deux fois chacun à dis­po­si­tion. Cela permet d’empêcher qu’un composant dé­fec­tueux ne paralyse le serveur. Mais une haute dis­po­ni­bi­lité ne protège pas contre les incendies, logiciels mal­veil­lants, attaques par déni de service, sabotages ou encore la reprise du serveur par un pirate. Pour ces raisons, les en­tre­pre­neurs ont dû prévoir des temps d’arrêt bien plus longs et prendre les mesures cor­res­pon­dantes de pré­ven­tion et de prise en charge des dégâts. Il existe d’autres stra­té­gies pour compenser la dé­fail­lance de res­sources dans un service in­for­ma­tique comme un système de secours ainsi qu’une grappe de serveurs pour assurer une haute dis­po­ni­bi­lité en toute situation. Les deux approches se basent sur une as­so­cia­tion de deux serveurs ou plus, per­met­tant de mettre plus de res­sources ma­té­rielles à dis­po­si­tion que ce qu’une activité normale ne nécessite.   Un système de secours est un second serveur assurant la pro­tec­tion du serveur primaire et prenant en charge ses fonctions en cas de problème matériel ou logiciel. La prise en charge du service est appelée bas­cu­le­ment et est au­to­ma­ti­que­ment in­tro­duite par le grou­pe­ment de logiciels de gestion sans in­ter­ven­tion de l’ad­mi­nis­tra­teur. Une telle cons­truc­tion de nœuds actifs et passifs en tant que groupe de dis­po­ni­bi­lité asy­mé­trique est en­vi­sa­geable. On parle de structure asy­mé­trique lorsque tous les nœuds du groupe per­met­tent un fonc­tion­ne­ment normal du service.   Etant donné que la migration d’un service d’un système sur un autre entraîne un retard, on ne peut com­plè­te­ment empêcher l’in­ter­rup­tion du service sur des systèmes de secours ou des grappes à haute dis­po­ni­bi­lité.

Dif­fé­rents pro­grammes sont à dis­po­si­tion des Web­mas­ters pour se protéger de l’influence des hackers, en repérant les in­tru­sions et en s’en pro­té­geant. Pour protéger un serveur d’accès non autorisés, les systèmes critiques sont isolés des réseaux publics via des pare-feu et zones dé­mi­li­ta­ri­sées (DMZ).

Les systèmes de re­con­nais­sance d’in­tru­sions, ou Intrusion Detection Systems (IDS), per­met­tent une sur­veil­lance au­to­ma­ti­sée des serveurs et réseaux, et sonnent l’alarme lors de ten­ta­tives d’intrusion ou d’attaques au­to­ma­ti­sées via des logiciels mal­veil­lants : un processus qui s’appuie sur un modèle de re­con­nais­sance et d’analyse de sta­tis­tiques. Si des Intrusion Pre­ven­tion Systems (IPS) sont mis en place, des mesures de pro­tec­tion au­to­ma­ti­sées suivent cette alarme. Une connexion au pare-feu est né­ces­saire, pour que des paquets de données puissent être rejetés, ou que des con­nexions suspectes soient in­ter­rom­pues.

Afin de tenir les hackers à l’écart des systèmes in­for­ma­tiques critiques, les ad­mi­nis­tra­teurs se servent de ce qu’on appelle des Honeypots. Ces derniers ap­pa­rais­sent comme des cibles de choix aux yeux des cy­ber­cri­mi­nels, fonc­tion­nent de manière isolée du système de pro­duc­tion et n’ont donc pas d’influence sur son fonc­tion­ne­ment. Ces Honeypots sont sur­veil­lés cons­tam­ment et ils per­met­tent de réagir à des agres­sions et d’analyser les modèles d’attaque utilisés ainsi que les stra­té­gies actuelles.

Afin de vite récupérer des données com­mer­ciales sensibles en cas de panne de serveur, il est re­com­mandé d’élaborer un concept de sau­ve­garde in­for­ma­tique conforme aux standards in­dus­triels in­ter­na­tio­naux comme ISO 27001. Ceci permet de dé­ter­mi­ner qui est res­pon­sable de la sau­ve­garde in­for­ma­tique et de nommer les personnes ayant un pouvoir de décision en cas de ré­cu­pé­ra­tion de données. Un tel concept de sau­ve­garde in­for­ma­tique détermine par ailleurs quand une res­tau­ra­tion doit être effectuée, combien de gé­né­ra­tions doivent être sau­ve­gar­dées, quel média de stockage doit être utilisé et si des modalités spéciales de transfert comme un cryptage sont né­ces­saires. Le type de sau­ve­garde est par ailleurs défini :

• Sau­ve­garde complète des données : si toutes les données à en­re­gis­trer sont déposées à une certaine heure sur un système de stockage sup­plé­men­taire, on parle de sau­ve­garde in­for­ma­tique pleine. Si les données ont changé depuis le dernier processus de sau­ve­garde, cela ne sera pas pris en compte avec de telles sau­ve­gardes. Une sau­ve­garde complète des données prend pour cette raison beaucoup de temps et exige une capacité de stockage élevée, surtout lorsque plusieurs gé­né­ra­tions de données sont con­ser­vées pa­ral­lè­le­ment. Ce type de sau­ve­garde in­for­ma­tique marque cependant des points via une ré­cu­pé­ra­tion de données simple et rapide, car seule la dernière sau­ve­garde stockée doit être re­cons­ti­tuée. Mais les en­tre­prises perdent cet avantage lorsque les sau­ve­gardes sont ef­fec­tuées trop rarement. Un tel cas implique une plus grande quantité de travail pour adapter les fichiers modifiés avec l’état actuel.

• Sau­ve­garde in­cré­men­tale des données : si des en­tre­prises se décident pour une sécurité de données in­cré­men­tale, la sau­ve­garde ne concerne que les données qui ont été modifiées depuis la dernière sau­ve­garde. Cela réduit ainsi le temps né­ces­saire pour effectuer une sau­ve­garde, mais cela n’est pas tout. Le besoin en capacité de stockage pour dif­fé­rentes gé­né­ra­tions est également sen­si­ble­ment plus faible qu’avec une sau­ve­garde complète. Une sau­ve­garde in­for­ma­tique in­cré­men­tale pré­sup­pose au moins une sau­ve­garde complète. En pratique, cela aboutit souvent à des com­bi­nai­sons de stra­té­gies de stockage. Lors d’une ré­cu­pé­ra­tion de données, c’est la sau­ve­garde complète qui sert de base et qui est complétée par les données des cycles de sau­ve­gardes in­cré­men­tales. En général, plusieurs sau­ve­gardes in­for­ma­tiques doivent être ajustées l’une après l’autre.

• Sau­ve­garde dif­fé­ren­tielle : même une sau­ve­garde dif­fé­ren­tielle est cons­truite sur une sau­ve­garde complète. Toutes les données qui ont été modifiées depuis la dernière sau­ve­garde complète sont sau­ve­gar­dées. A la dif­fé­rence d’une sau­ve­garde in­cré­men­tale, il ne s’agit pas d’un engrenage de sau­ve­gardes. Une adap­ta­tion de la dernière sau­ve­garde complète avec la sau­ve­garde dif­fé­ren­tielle actuelle suffit à une ré­cu­pé­ra­tion de données.

La stratégie de sau­ve­garde à mettre en place dans votre en­tre­prise dépend du besoin de dis­po­ni­bi­lité ainsi que divers aspects éco­no­miques. Les prin­ci­paux facteurs de sélection sont la tolérance aux temps de ré­cu­pé­ra­tion de données, la fréquence, les dates des sau­ve­gardes ainsi que le rapport entre volume de mo­di­fi­ca­tions et volume total de données. Si ces derniers sont plus ou moins su­per­po­sables, l’économie d’espace via les processus in­cré­men­taux ou dif­fé­ren­tiels est né­gli­geable.

Il n’est possible de prendre des mesures relatives à sécurité de l’in­for­ma­tion que lorsque les employés sont cons­cients de son impact sur la situation éco­no­mique de l’en­tre­prise. Une telle prise de cons­cience autour de la sécurité se développe à travers des for­ma­tions ré­gu­lières qui sen­si­bi­li­sent les employés aux risques internes et externes ainsi qu’à leurs con­sé­quences.

Ces in­for­ma­tions per­met­tent de com­prendre à l’uti­li­sa­tion et la mise en place d’appareils en termes de sécurité ainsi que les concepts d’urgence afin de faciliter un retour à la normale aussi vite que possible en cas de dé­fail­lance. Le Business Con­ti­nuity Ma­na­ge­ment constitue un angle d’approche structuré pour la création de tels concepts.

Afin de réduire autant que possible les dégâts liés à des dé­fail­lances de serveurs, les en­tre­prises in­ves­tis­sent de plus en plus dans des mesures de pré­ven­tion. L’accent est pour cela mis sur ce qu’on appelle le Business Con­ti­nuity Ma­na­ge­ment (BMC). Dans le domaine de l’in­for­ma­tique, les stra­té­gies BMC visent à combattre les pannes de serveurs dans des domaines com­mer­ciaux critiques, ainsi qu’à assurer une reprise immédiate de l’activité. Un prérequis pour un tel ma­na­ge­ment d’urgence est ce que l’on nomme en anglais Business Impact Analyse (BIA). Cette analyse aide les en­tre­prises à iden­ti­fier les processus com­mer­ciaux critiques. Un processus est défini comme critique lorsqu’une panne a des ré­per­cu­tions sig­ni­fi­ca­tives sur l‘activité. Le BIA se concentre tout d’abord sur les con­sé­quences concrètes de scénarii de dégâts. Les causes d’une panne de serveur sont passées en revue dans le cadre de cette analyse des risques. Les contenus de divers standards et co­lom­bages nous montrent comment peuvent être mis en place, mé­tho­di­que­ment, les BIA et analyses de risques dans le cadre d’une BMC.

La première étape sur la route du Business Community ma­na­ge­ment est la Business Impact Analyse, ou analyse d’in­ter­rup­tion de service en français. Les questions prin­ci­pales dans le cadre de cette analyse sont : quels systèmes sont d’une im­por­tance capitale pour maintenir le cœur de l’activité en état ? Et quelles con­sé­quences en­traî­nent une panne de ces systèmes sur l’activité ? Il est pour cette raison re­com­mandé d’iden­ti­fier tous les produits et services im­por­tants de votre en­tre­prise, ainsi que leur in­fras­truc­ture in­for­ma­tique. Si une en­tre­prise mise en premier lieu sur la vente sur Internet, les serveurs mettant à dis­po­si­tion la boutique en ligne et les bases de données associées doivent être par­ti­cu­liè­re­ment protégés. Un Call­cen­ter con­si­dè­rera au contraire l’ins­tal­la­tion té­lé­pho­nique comme cruciale. La BIA classe comme prio­ri­taires les systèmes visant à la pro­tec­tion, aux calculs des dommages ainsi qu’à la reprise des res­sources du système.

Si les sources de danger et de dégâts po­ten­tiels de pannes concrètes de serveurs ont été dé­ter­mi­nées dans le cadre d’une BIA et d’une analyse des risques, il convient ensuite d’effectuer un en­re­gis­tre­ment de l’état actuel, toujours dans cette stratégie de con­ti­nuité. Les mesures de pré­cau­tion d’urgence établies ainsi que les temps de re­dé­mar­rage actuels y sont d’une grande im­por­tance. L’en­re­gis­tre­ment de l’état actuel réel permet à des en­tre­prises d’évaluer un besoin d’agir face à des menaces concrètes de sécurité ainsi que les frais liés à cela.

Il existe en général diverses stra­té­gies pour les dif­fé­rentes sources de dangers externes et internes, per­met­tant la con­ti­nua­tion de l’activité, ou du moins une reprise rapide, malgré les dys­fonc­tion­ne­ments ren­con­trés. Le choix de la stratégie de con­ti­nuité à adopter dans une situation critique se fait dans le cadre du Business Con­ti­nuity Ma­na­ge­ment. L’analyse coûts-uti­li­sa­tion constitue la base de cette décision car elle contient les facteurs prin­ci­paux ainsi que les moyens fi­nan­ciers né­ces­saires, le niveau de fiabilité de la solution et le temps de re­dé­mar­rage estimé.  

Si une stratégie visant à prévenir un incendie dans le centre in­for­ma­tique doit être dé­ve­lop­pée, il y a plusieurs approches de solutions au choix : les solutions minimales sont la com­pen­sa­tion des dégâts via des as­su­rances « pertes d’ex­ploi­ta­tion » de four­nis­seurs de service. Une stratégie plus coûteuse serait la cons­truc­tion d’un espace in­for­ma­tique moderne et anti-incendie, selon les standards de pré­ven­tion et de pro­tec­tion. Si de plus gros in­ves­tis­se­ments sont possibles, vous pouvez envisager la cons­truc­tion d’un deuxième espace, com­por­tant des serveurs re­don­dants.

Les stra­té­gies de con­ti­nuité élaborées sont dé­ter­mi­nées dans le concept de sécurité d’urgence qui contient les ins­truc­tions d’actes concrètes pour tous les scénarii d’urgence critiques.