Ce rapport est parrainé par HPE. Tous les points de vue et opinions exprimés dans ce rapport sont basés sur notre vision impartiale du ou des produits à l'étude.
HPE a conçu une architecture de cyber-résilience coordonnée autour du système de stockage Alletra Storage MP B10000. Cette architecture étend les capacités de sécurité natives de la plateforme grâce à une suite logicielle intégrée comprenant la virtualisation avec Morpheus et VM Essentials, la protection continue des données avec Zerto, la conservation des sauvegardes à long terme avec StoreOnce et l'observabilité via l'intégration d'un système de gestion des informations et des événements de sécurité (SIEM) indépendant du fournisseur. L'architecture globale est conçue pour être parfaitement conforme au cadre de cybersécurité NIST 2.0, le B10000 servant de centre opérationnel pour l'ensemble des fonctions du cadre. L'objectif de cette conception est de répondre aux deux questions fondamentales que tout expert en sécurité se pose à propos de toute infrastructure : est-elle toujours sous notre contrôle et les données qu'elle contient sont-elles toujours protégées ?
Le stockage d'entreprise est traditionnellement négligé dans les discussions plus larges sur la sécurité. Dans la plupart des organisations, un responsable de la sécurité des systèmes d'information (RSSI) préoccupé par un routeur mal configuré dans une agence ou un ordinateur portable non mis à jour sur le réseau de l'entreprise accorde peu d'attention aux baies de stockage du centre de données. Celles-ci sont protégées par plusieurs niveaux de sécurité périmétrique, accessibles à une poignée d'administrateurs seulement et largement invisibles pour le reste de la DSI. Sur le papier, il s'agit de l'un des actifs les plus sécurisés du bâtiment.
Cette hypothèse n'est plus valable. Les attaques de ransomware modernes ont appris que la baie de stockage est la cible la plus précieuse du centre de données. Les terminaux et les serveurs peuvent être réinstallés. Le stockage principal contient les données, et un attaquant qui en prend le contrôle administratif peut chiffrer les données, supprimer les snapshots permettant leur récupération et détruire les sauvegardes en une seule opération coordonnée. À ce stade, l'organisation ne subit plus un simple désagrément ; sa survie est en jeu. Les outils à la disposition des attaquants, notamment les variantes assistées par IA qui s'adaptent plus rapidement que les défenses basées sur les signatures, sont de plus en plus performants pour atteindre cette cible.
Les enjeux ne sont plus seulement opérationnels. Aux États-Unis, dans l'Union européenne et au Royaume-Uni, les autorités de réglementation ont transformé la sécurité des infrastructures, d'une bonne pratique, en une obligation légale. Des cadres réglementaires tels que la loi européenne sur la résilience opérationnelle numérique (Digital Operational Resilience Act) et la directive NIS2 exigent des contrôles démontrables pour la détection, la restauration et le signalement des incidents, avec une responsabilité qui s'étend jusqu'au niveau de la direction. Les organisations soumises à ces obligations sont précisément celles qui gèrent le stockage d'entreprise à grande échelle : banques et sociétés de services financiers, hôpitaux et réseaux de santé, fournisseurs d'énergie et d'infrastructures critiques, agences gouvernementales, ainsi que les fournisseurs de services cloud qui hébergent l'ensemble de ces systèmes. Pour elles, négliger la sécurité de l'infrastructure représente non seulement un risque pour l'entreprise, mais aussi un manquement à la conformité aux conséquences graves.
La cyber-résilience se situe à la croisée des chemins entre les équipes de stockage et de sécurité, qui relèvent de responsables différents, mesurent le succès différemment et partagent rarement le même langage opérationnel nécessaire à la coordination lors d'un incident. Les administrateurs de stockage maîtrisent le débit, la capacité et les objectifs de reprise après incident. Les équipes de sécurité, quant à elles, comprennent les chaînes d'attaque, les vecteurs d'attaque et la gestion de la posture de sécurité. La plupart des organisations ne découvrent ce fossé qu'après y avoir été contraintes. L'architecture mise en place par HPE est conçue pour le combler, et les sections suivantes analysent chaque fonction NIST afin d'en évaluer l'efficacité, en revenant constamment aux deux questions essentielles de contrôle et de protection.
Points clés à retenir
- Résilience de l'ensemble de la pile : HPE associe le système de stockage Alletra MP B10000 à VM Essentials, Zerto, StoreOnce et à une intégration SIEM indépendante du fournisseur, en mappant la pile coordonnée à chaque fonction NIST CSF 2.0.
- Détection rapide au niveau des blocs : Le moteur de ransomware intégré du B10000, basé sur l'entropie et validé contre plus de 100 souches, a détecté une tentative de chiffrement simulée en 4 à 5 minutes et a automatiquement capturé un instantané forensique au moment de la détection.
- Une immuabilité qui résiste à la compromission de l'administrateur : Les instantanés de verrouillage virtuel appliqués par la baie restent en lecture seule pendant toute la durée de conservation ; même un compte d’administrateur compromis ne peut pas les supprimer, et toute tentative devient un événement enregistré et visible par le SIEM.
- Récupération par étapes : Quatre niveaux (Zerto pour le RPO le plus bas, les instantanés VME, la promotion Virtual Lock et StoreOnce Catalyst pour la conservation à long terme) ont été testés en laboratoire, avec des restaurations propres à partir de Virtual Lock et de Catalyst.
- Télémétrie conforme aux normes : Journal système de sécurité structuré normalisé au format Elastic Common Schema alimente Elastic Security, CrowdStrike Falcon ou tout SIEM moderne, prenant en charge les preuves DORA/NIS2 et les playbooks SOAR automatisés.
Afin de proposer un environnement de démonstration pratique plutôt qu'un déploiement d'entreprise à grande échelle, l'équipe HPE a mis en place une infrastructure de sauvegarde et de restauration compacte mais fonctionnelle dans son laboratoire de Fort Collins. Au cœur de cet environnement se trouve un cluster HPE VM Essentials (VME) à trois nœuds, exécuté sur des serveurs HPE ProLiant DL325 Gen 11, qui fournit la couche de calcul pour l'infrastructure de démonstration. Ces hôtes sont interconnectés via le réseau IP local, qui assure également la connectivité à la couche NAS utilisée au sein de l'environnement.
Les machines virtuelles HPE Zerto s'exécutent au sein du cluster VME, configurées de manière similaire à la façon dont de nombreuses organisations déploient actuellement Zerto dans un environnement VMware traditionnel. Bien que l'infrastructure sous-jacente utilise HPE VME, le flux opérationnel et les fonctionnalités de reprise après sinistre restent familiers aux administrateurs familiarisés avec les procédures de reprise après sinistre basées sur VMware.
Un environnement Zerto secondaire connecté au WAN est disponible dans le laboratoire de Bristol au Royaume-Uni, avec des règles de pare-feu et des chemins réseau en place pour prendre en charge la réplication depuis Fort Collins. Cette topologie vise la reprise d'activité multisite : réplication continue et orchestration de la reprise après sinistre sur des sites géographiquement distincts. Ainsi, les charges de travail protégées à Fort Collins pourraient basculer vers Bristol en cas d'indisponibilité du site principal.
Lors de cette mission, HPE a exécuté la réplication Zerto localement à Fort Collins en raison de contraintes de bande passante et de distance, et parce qu'un second cluster VME parallèle n'était pas disponible pour tester l'intégralité du flux inter-sites. L'infrastructure de Bristol est documentée ici comme étant configurée et disponible, et non comme un basculement inter-sites réalisé dans le cadre de cette session.
La connectivité du stockage est répartie entre les réseaux IP et Fibre Channel, selon la charge de travail. L'infrastructure SAN Fibre Channel connecte directement les hôtes VME à la plateforme HPE Alletra MP B10000, offrant un accès partagé au stockage d'entreprise au sein du cluster. La B10000 présente également Catalyst via Fibre Channel à l'appliance de stockage virtuel StoreOnce (VSA), qui assure la cohérence des sauvegardes applicatives entre la baie et la cible de sauvegarde. Les snapshots Virtual Lock jouent un rôle central dans la résilience aux ransomwares et l'immuabilité de la plateforme ; leur fonctionnement est détaillé dans les sections Protection et Restauration.
Pour son infrastructure de sauvegarde, HPE a déployé une solution StoreOnce Gen5 VSA exécutée sur un serveur HPE unique en laboratoire. La solution VSA offre les mêmes fonctionnalités StoreOnce essentielles que l'appliance dédiée. La déduplication, la présentation des cibles de sauvegarde, le comportement de réplication et l'intégration avec la suite HPE de protection des données restent fondamentalement identiques, qu'elle soit déployée en tant que solution VSA ou sur un matériel dédié. La solution VSA est parfaitement adaptée aux laboratoires, aux agences, aux environnements de test et aux cas d'utilisation en production de petite taille, ce qui rend cette démonstration compacte et facile à déployer.
L'appliance StoreOnce physique présente un avantage qui dépasse la simple question d'évolutivité et de débit, et qui s'avère particulièrement pertinent dans le contexte des ransomwares analysé dans cet article. Un VSA s'exécute en tant que machine virtuelle sur un hyperviseur. Si un attaquant compromet la couche de virtualisation, toutes les charges de travail qui y sont exécutées, y compris une cible de sauvegarde VSA, deviennent vulnérables. Une appliance StoreOnce physique, quant à elle, ne présente pas cette dépendance. Elle s'exécute sur un matériel dédié, en dehors de l'hyperviseur, que l'attaquant devrait traverser, garantissant ainsi que la sauvegarde de dernier recours repose sur une infrastructure non compromise. Pour les déploiements en production où StoreOnce constitue le niveau de conservation à long terme dans une architecture de cyber-résilience, l'appliance physique représente le choix le plus judicieux, précisément pour cette raison.
Le système HPE Alletra MP et le StoreOnce VSA ont tous deux été intégrés à la console HPE Data Services Cloud, offrant ainsi une gestion et une visibilité centralisées et basées sur le cloud de l'ensemble de l'environnement. Grâce à cette console, l'infrastructure peut être surveillée, gérée et intégrée aux flux de travail HPE Data Services depuis une interface unique, regroupant les opérations de stockage, de sauvegarde et de restauration.
HPE ne rédige pas votre plan de gouvernance. Ce sont votre organisation, votre assureur et votre service juridique qui définissent la politique de sécurité. HPE fournit les interfaces (API, interfaces de ligne de commande, console Data Services Cloud et guides de renforcement de la sécurité publiés) qui vous permettent de mettre en œuvre cette politique, d'en attester la conformité et d'en réaliser des audits.
Cette distinction est cruciale, car la plupart des fournisseurs de stockage partent discrètement du principe inverse. Ils proposent des configurations par défaut subjectives présentées comme des bonnes pratiques et considèrent les dérives de configuration comme un problème de support plutôt que comme un signal d'alerte en matière de gouvernance. Le B10000 inverse cette approche. Chaque action administrative est consignée. Chaque paramètre pertinent pour les politiques de sécurité est accessible via l'API. Le flux syslog de sécurité est structuré pour alimenter le même SIEM où sont déjà stockées les autres preuves de gouvernance de l'organisation. Lorsqu'un auditeur demande qui a modifié la politique de mots de passe à une date précise, la réponse est accessible de la même manière que pour tous les autres systèmes gérés de l'infrastructure.
Deux disciplines de gouvernance méritent une attention particulière. La première est la conformité réglementaire. L'architecture d'intégration de la journalisation d'audit et du SIEM de la B10000 prend en charge les contrôles opérationnels requis par le règlement européen sur la résilience opérationnelle numérique et la directive NIS2, couvrant les activités de détection, de réponse et de reprise, les flux de travail de signalement des incidents et la visibilité attendue par la direction pour le contrôle de gestion. La centralisation de l'audit et de la télémétrie de sécurité dans le SIEM permet de concrétiser ces obligations. Les contrôles attendus par l'auditeur ne sont pas des ajouts superflus. Ce sont les mêmes contrôles que ceux utilisés quotidiennement par le centre des opérations de sécurité (SOC) pour l'exploitation de la plateforme.
Le second point concerne la supervision de la direction. Les cadres réglementaires exigent de plus en plus que les dirigeants fassent preuve d'une visibilité consolidée et actualisée sur les risques liés aux technologies de l'information et de la communication (TIC). Une baie de stockage qui dissimule son historique d'audit derrière un portail d'assistance réservé au fournisseur ne peut satisfaire à cette exigence. En revanche, une baie qui diffuse directement les événements d'audit et de sécurité dans le SIEM du client le peut. Le B10000 a été conçu pour répondre à cette seconde exigence.
La plateforme offre plusieurs fonctionnalités concrètes. Des guides de renforcement de la sécurité documentés définissent la configuration initiale. Le contrôle d'accès basé sur les rôles et les mécanismes de double authentification garantissent la séparation des tâches. L'authentification multifacteur est intégrée. Les recommandations de renforcement de la sécurité de la DISA STIG (Defense Information Systems Agency Security Technical Implementation Guide) sont publiées pour les environnements qui l'exigent. Le flux syslog de sécurité transforme chaque action pertinente pour la gouvernance en un événement interrogeable. Le plan est à la charge du client. L'instrumentation relève de la responsabilité de la plateforme.
Dans le cadre du NIST CSF 2.0, l'identification consiste à comprendre ce que possède l'organisation, d'où cela provient et quels risques cela comporte. Pour une plateforme de stockage, cela se traduit par l'intégrité de la chaîne d'approvisionnement, des pratiques de développement sécurisées et une configuration initiale vérifiable.
La chaîne d'approvisionnement matérielle et logicielle de HPE en est le fondement. Les composants proviennent de circuits audités, le firmware est signé et les plateformes sont expédiées dans des emballages et scellés inviolables que l'équipe de réception peut vérifier à l'aide des manifestes d'expédition. L'évaluation de la chaîne d'approvisionnement est un processus documenté utilisé par le Centre d'excellence en cybersécurité de HPE pour garantir qu'une plateforme B10000 quittant l'usine une semaine donnée possède la même provenance qu'une plateforme B10000 quittant l'usine une autre semaine.
Les pratiques de développement sécurisé étendent cette chaîne de sécurité au logiciel. Le système d'exploitation B10000 fait l'objet de tests d'intrusion structurés, incluant des exercices internes d'équipe rouge et des évaluations par des tiers, dont les résultats sont intégrés au cycle de publication. L'identification n'est pas une opération ponctuelle réalisée lors de l'installation. Il s'agit d'une vérification continue que la plateforme de confiance du premier jour est toujours celle présente au 400e jour. Le B10000 fournit les éléments (micrologiciel signé, téléchargements vérifiés par hachage, guides de renforcement de la sécurité, documentation sur le développement sécurisé et flux de journaux d'audit) permettant cette vérification. L'utilisation de ces éléments relève, là encore, de la seule décision de l'équipe de sécurité.
La protection du B10000 repose sur quatre mécanismes : la planification immuable des instantanés Virtual Lock, une séparation délibérée entre les instantanés de la baie et les instantanés de l’hyperviseur, la réplication vers un deuxième site via Remote Copy natif de la baie et Zerto, et la détection continue des dérives via le flux du journal d’audit.
Les snapshots Virtual Lock sont créés selon une planification définie au niveau de la baie et appliquée directement par la plateforme de stockage B10000. Ces snapshots restent immuables et en lecture seule pendant toute la durée de leur période de rétention configurée, empêchant toute modification ou suppression jusqu'à expiration. Les actions administratives effectuées sur les snapshots protégés sont consignées dans le journal d'audit. Ces journaux peuvent être transmis à des plateformes SIEM externes, offrant ainsi une visibilité sur les tentatives de violation des politiques, notamment les tentatives de suppression de points de récupération protégés.
Dans cet environnement, les instantanés proviennent de deux sources différentes, et l'élaboration des politiques dépend du maintien de cette distinction.
Les snapshots planifiés B10000 sont immuables et en lecture seule, et leur conservation est régie par le mécanisme de verrouillage virtuel. Les snapshots VME, créés par HPE Morpheus VM Essentials au niveau de l'hyperviseur, sont modifiables et accessibles en lecture-écriture pour les flux de travail opérationnels des machines virtuelles.
Si un attaquant accède à l'hyperviseur, les snapshots VME deviennent accessibles. Les snapshots Virtual Lock, quant à eux, ne le sont pas. La planification Virtual Lock définit la durée minimale de rétention. Les snapshots VME complètent la couche opérationnelle supérieure.
Un instantané Virtual Lock sur le site principal ne protège pas contre les événements au niveau du site. L'architecture propose deux chemins de réplication distincts pour pallier ce problème. Le premier est natif à la baie : la copie à distance B10000 réplique de manière asynchrone les volumes vers une seconde baie B10000 située sur un autre site. Combinée aux planifications d'instantanés Virtual Lock sur la cible, elle crée un coffre-fort immuable et physiquement séparé, indépendant de l'hyperviseur et de tout logiciel applicatif. Le second, Zerto, fonctionne au niveau applicatif avec une réplication quasi synchrone et une journalisation continue, offrant ainsi le chemin de récupération granulaire à faible objectif de point de récupération (RPO) décrit dans la section « Récupération ».
Les deux solutions sont complémentaires plutôt que redondantes. Remote Copy préserve les garanties d'immuabilité imposées par la baie de stockage entre les sites, tandis que Zerto assure la granularité des points de contrôle et le basculement orchestré au niveau des machines virtuelles. Dans le cadre de ce projet, la topologie a été configurée pour prendre en charge la réplication Zerto de Fort Collins vers le site HPE de Bristol, au Royaume-Uni. Cependant, lors de la session de test, la réplication s'est exécutée localement à Fort Collins en raison de contraintes de bande passante et de cluster parallèle. Le site de Bristol est déployé en tant que topologie disponible et pour une activité de suivi, et non comme une démonstration de reprise après incident inter-sites.
Le guide de renforcement de la sécurité définit une configuration de référence. Le flux continu des journaux d'audit permet à un SIEM de vérifier, en quasi temps réel, que cette configuration n'a pas dévié. Les modifications des politiques de mots de passe, de verrouillage des comptes, la création de nouveaux comptes, les élévations de rôles, les modifications de planification et les changements de cibles de réplication apparaissent tous comme des événements interrogeables. L'environnement de laboratoire ne comportant pas de SIEM, la détection des écarts a été effectuée au niveau du journal d'audit B10000 plutôt qu'à l'aide d'un outil de corrélation centralisé. Chez un client disposant d'un SIEM, ces mêmes événements d'audit sont transmis au SIEM via l'intégration syslog décrite dans la section « Détection ».
Le B10000 intègre un moteur de détection de ransomware qui surveille en temps réel les opérations d'E/S de stockage et génère une alerte dès qu'une signature statistique de chiffrement à grande échelle est détectée lors des écritures sur la baie. Le Centre d'excellence en cybersécurité HPE a validé ce moteur face à plus de 100 souches de ransomware parmi les plus importantes.
La détection est activée pour chaque banque de données côté VME. Lorsqu'une banque de données est créée ou modifiée dans VME sur un serveur de stockage B10000, l'option de détection des ransomwares est activée par défaut pour chaque volume provisionné dans cette banque de données. Une personnalisation par volume est possible après la création. Cette fonctionnalité requiert la version 10.5.0 ou ultérieure du système d'exploitation B10000. Dans le laboratoire de Fort Collins, la banque de données ftc-vme-mg1 a été configurée pour se connecter au serveur FTC-AMP-5 B10000 via Fibre Channel, avec la détection des ransomwares activée. Cette configuration est celle utilisée pour la simulation d'attaque par ransomware décrite plus loin dans cette section.
Configuration du magasin de données VME montrant le magasin de données ftc-vme-mg1 sur le FTC-AMP-5 B10000 via Fibre Channel, avec la détection de ransomware activée.
Le B10000 prend également en charge les politiques de détection des ransomwares à l'échelle du système directement sur la baie de stockage, permettant aux administrateurs de définir la sensibilité de détection globale et le comportement de conservation automatique des snapshots sur les volumes protégés. Comme illustré ci-dessous, l'environnement de Fort Collins disposait de la politique de détection des ransomwares activée au niveau de la baie avec un profil de sensibilité à faible confiance et une conservation automatique des snapshots configurée. Ceci offre une couche de protection supplémentaire au-delà de l'activation par datastore dans VME, garantissant ainsi que le moteur de détection reste appliqué de manière cohérente au niveau de la plateforme, quelle que soit la manière dont les volumes individuels sont provisionnés.
La logique de détection, pour les deux types de données, repose sur l'entropie. Les données aléatoires, qui correspondent à l'apparence des données chiffrées au niveau bloc, présentent une entropie élevée. Les données de charge de travail légitimes, même compressées, possèdent une structure que le moteur reconnaît. Ce dernier utilise un calcul d'entropie CuSum pour mesurer le désordre des écritures entrantes par rapport à une valeur de référence établie. Cette valeur de référence est apprise lors d'une phase d'apprentissage, au moment de la première protection d'un nouveau volume, puis maintenue par un profil d'E/S glissant sur une heure, afin d'éviter que les variations légitimes de la charge de travail ne génèrent de faux positifs. Lorsque l'entropie s'écarte de la valeur de référence de manière statistiquement significative, le moteur signale le volume.
Pour le SOC, l'idée principale est que ce moteur de détection de chiffrement constitue un dernier rempart pour l'environnement, et non un substitut à la protection des terminaux. C'est au niveau du terminal que les ransomwares doivent être détectés en premier. Le B10000 détecte ce que le terminal a laissé passer.
L'intégration est volontairement indépendante des fournisseurs. Le rôle de HPE est de fournir l'infrastructure et les outils nécessaires pour que le B10000 puisse intégrer les données d'audit et de sécurité des journaux à n'importe quel SIEM déjà en place au sein d'une organisation, plutôt que d'orienter les clients vers un outil HPE privilégié. Les alertes de détection et les événements d'audit sont exportés via le flux syslog de sécurité. L'agrégateur basé sur Fluentd, publié par HPE sur GitHub, prend le message syslog brut, le normalise au format Elastic Common Schema et étiquette l'événement avec des champs tels que « event.kind: alert » et « event.severity: high », afin que le moteur de règles existant de la plateforme de réception puisse le traiter sans analyse personnalisée. La différence majeure réside dans le fait que ces données ne sont pas seulement compatibles avec les SIEM modernes ; elles sont actives. Elles sont structurées pour déclencher des alertes automatisées et des réponses en aval, au lieu d'être archivées et consultées a posteriori. Elastic Security et CrowdStrike Falcon Next-Gen SIEM sont des plateformes explicitement validées par HPE, et le format syslog ouvert signifie que Microsoft Sentinel et d'autres SIEM modernes peuvent être intégrés avec un effort comparable.
Lors de tests à distance effectués sur le laboratoire HPE de Fort Collins, une charge de travail simulée de ransomware a été exécutée sur un hôte Windows connecté à un volume protégé par Virtual Lock sur le B10000. La simulation a exécuté un script de chiffrement contrôlé qui a produit le modèle d'écriture à haute entropie caractéristique d'un événement de chiffrement de ransomware, sans utiliser de logiciel malveillant réel.
Le moteur de détection B10000 a déclenché une alerte quatre à cinq minutes après le début de l'écriture du script de chiffrement sur le volume. L'alerte est apparue sur la console de gestion B10000, avec l'identification du volume concerné.
La fenêtre de quatre à cinq minutes est suffisamment courte pour que les instantanés immuables pris au moment de la détection, ou peu après, capturent un état stable avant que l'attaquant n'ait terminé de parcourir le volume. Cette méthode est plus rapide que la plupart des analyses comportementales exécutées au niveau applicatif, car le B10000 détecte les écritures au niveau des blocs dès qu'elles se produisent.
Lorsque le moteur de détection du ransomware B10000 se déclenche, la plateforme prend des mesures de protection automatiques, avant même l'intervention de tout système externe. Dès la détection, la baie capture un instantané immuable du volume affecté et signale son état comme dégradé. Cet instantané d'alerte ne constitue pas un point de restauration propre et ne doit pas être utilisé pour la restauration des données, car il peut contenir des données chiffrées. Il est destiné à l'analyse forensique, préservant l'état du volume au moment de la détection de l'attaque. Il est important de noter que la baie ne bloque pas l'accès au volume. Les données restent accessibles, un choix de conception délibéré. La baie déclenche l'alerte et conserve les preuves. Toutefois, elle laisse aux opérateurs le soin de décider de la marche à suivre, car ils sont les mieux placés pour déterminer s'il s'agit d'une véritable attaque ou d'un faux positif, tel qu'une importante opération légitime de chiffrement ou de compression.
Ce comportement autonome représente le minimum, et non le maximum, de la capacité de réponse. Puisqu'il s'exécute directement sur la baie de stockage, il ne dépend ni du déclenchement d'une règle SIEM, ni du bon fonctionnement d'un flux syslog, ni de la disponibilité d'un outil d'automatisation externe. Même en cas de défaillance de toutes les autres couches, l'instantané est préservé. Cette indépendance est essentielle : la réponse la plus importante est déclenchée, que le reste de la pile soit opérationnel ou non.
Au-delà de ce niveau, l'intégration SIEM active décrite dans la section Détection permet une réponse orchestrée. Les alertes du B10000 étant structurées pour déclencher une action plutôt que d'être archivées, le client peut créer des scénarios automatisés dans sa plateforme SIEM ou SOAR (Security Orchestration, Automation, and Response) existante. Ces scénarios peuvent inclure l'extension de la durée de conservation des snapshots sur les volumes concernés, l'isolation de l'hôte, l'ouverture d'un ticket d'incident ou la notification de l'équipe d'intervention. HPE fournit le signal actif et structuré. La logique d'orchestration repose sur les outils choisis par le client, garantissant ainsi la conformité de la réponse avec les procédures et les flux d'approbation déjà mis en place par l'équipe de sécurité.
Une précision importante s'impose : l'interface peut être structurée en couches. L'alerte B10000 propose une option d'analyse des données, mais le système lui-même ne recherche ni n'identifie de logiciels malveillants spécifiques. Cette option suppose que le client dispose de ses propres outils d'analyse et d'investigation numérique pour identifier les données affectées. Le rôle du B10000 est la détection et la préservation des données, et non leur suppression.
La reprise d'activité est un processus hiérarchisé qui consiste à prendre des décisions : quel point de reprise, à partir de quel niveau, dans quel environnement et par quel processus la validation est effectuée. L'architecture développée au laboratoire de Fort Collins prend en charge un modèle de reprise à quatre niveaux, chaque niveau étant justifié par la nécessité de résoudre un problème différent.
Niveau 1: Zerto pour une protection continue. La réplication quasi synchrone avec journalisation continue offre le RPO le plus bas de la pile. La restauration granulaire permet à l'équipe de réponse aux incidents de restaurer une machine virtuelle ou un fichier à un point de contrôle antérieur à l'événement de chiffrement. C'est le niveau à privilégier lorsque l'alerte est déclenchée rapidement et que la fenêtre d'opportunité de l'attaquant est réduite.
Tier 2Protection native VME pour la restauration quotidienne au niveau de la machine virtuelle. Le flux de snapshots HPE Morpheus VM Essentials assure la reprise opérationnelle au niveau de la machine virtuelle. Ce niveau gère les opérations de restauration courantes et sert de solution de repli en cas d'indisponibilité du niveau 1.
Niveau 3: Les snapshots Virtual Lock immuables de B10000 permettent une restauration au niveau du volume. Ce niveau est crucial en cas d'attaque par ransomware. Les snapshots Virtual Lock sont protégés contre la suppression et la modification, et l'opération de promotion est native à B10000, sans dépendance à un éditeur de logiciels tiers.
Niveau 4: StoreOnce Catalyst Restoration assure la conservation à long terme et la récupération inter-baies. Les niveaux 1 à 3 protègent contre les incidents durant quelques heures ou quelques jours. Le niveau 4 protège contre les incidents durant quelques semaines ou quelques mois, notamment lorsque l'attaquant a établi une persistance des données bien avant le déclenchement du chiffrement et que le seul point de restauration valide est antérieur à la période de conservation de tout instantané de stockage principal. Les stockages Catalyst sont dédupliqués, immuables et peuvent être répliqués sur plusieurs systèmes StoreOnce ou détachés vers le stockage objet Cloud Bank. Catalyst Copy et Cloud Bank Detach constituent ensemble le niveau 1 du modèle 3-2-1-1. C’est également à ce niveau que la distinction entre infrastructure physique et VSA, mentionnée dans la présentation de l’architecture, prend toute son importance. En tant qu’option de récupération de dernier recours, le niveau 4 doit pouvoir survivre à une défaillance de l’hyperviseur. C’est pourquoi il est préférable de déployer StoreOnce sur un dispositif physique dédié plutôt que sur une VSA en production.
Les deux questions essentielles que se pose un expert en sécurité concernant une plateforme de stockage sont : l’infrastructure reste-t-elle sous le contrôle de l’organisation et les données restent-elles protégées ? Après analyse de l’architecture au laboratoire de Fort Collins, il apparaît que la B10000 apporte des réponses plus complètes à ces deux questions qu’une simple baie de stockage, car la réponse ne se limite pas à cette dernière.
La plateforme enregistre chaque action administrative, expose tous les paramètres pertinents via son API et transmet les données d'audit et de télémétrie de sécurité au SIEM déjà utilisé par l'organisation. Le client reste responsable de la rédaction du plan de gouvernance, mais les outils nécessaires à sa mise en œuvre, à sa documentation et à sa validation par un auditeur sont disponibles et accessibles, et non dissimulés derrière un portail fournisseur. Grâce aux snapshots de verrouillage virtuel immuables, même un compte administrateur compromis ne peut pas détruire discrètement les points de restauration ; toute tentative en ce sens est consignée et peut faire l'objet d'une requête.
En matière de protection, la boucle de détection et de restauration au cœur de l'architecture est l'élément qui a démontré la plus grande fiabilité. Le B10000 a détecté la charge de travail de chiffrement simulée en quatre à cinq minutes au niveau des blocs et a capturé un instantané forensique dès sa détection, sans attendre de système externe. Le volume affecté a ensuite été restauré sans problème, aussi bien par une promotion d'instantané Virtual Lock planifiée que par une restauration StoreOnce Catalyst. C'est cette séquence qui est cruciale lors d'un incident, et elle s'est déroulée sans aucun produit tiers dans la chaîne de dépendances.
Ce qui distingue cette architecture, ce n'est pas tant que le B10000 soit nettement plus sécurisé que les baies concurrentes prises individuellement. C'est plutôt que HPE est l'un des rares fournisseurs à proposer le stockage, la virtualisation, la réplication, la sauvegarde et l'observabilité au sein d'un système intégré, et à tester ce système dans son ensemble face à des ransomwares réels dans son propre laboratoire, au lieu de valider chaque composant séparément. Pour une entreprise propriétaire de son infrastructure mais soumise à une équipe de sécurité distincte et à un organisme de réglementation externe, cette coordination fait toute la différence entre un ensemble de produits performants et une stratégie de résilience capable de fonctionner sous pression.
L'architecture évolue rapidement. HPE maintient un rythme de publication régulier pour l'ensemble de la pile technologique, avec une intégration plus poussée entre VM Essentials et le B10000, une détection des ransomwares étendue à d'autres types de données que les volumes de blocs, et une architecture de référence complète publiée, autant d'éléments prévus dans sa feuille de route à court terme. Cette évolution s'oriente vers une coordination davantage gérée nativement par la plateforme et vers une conception plus claire pour la mise en place du type d'architecture de résilience analysé dans cet article.
Pendant des années, la baie de stockage a été considérée comme l'un des éléments les plus sûrs du bâtiment, principalement parce qu'on ne s'en souciait guère. Cette architecture démontre que la baie devrait être tout le contraire : non pas un boîtier négligé dans un coin, mais un acteur clé dans la détection et la protection contre une attaque, à condition que l'organisation prenne les mesures nécessaires pour transformer ces capacités en un plan de sécurité.
HPE Alletra Storage MP B10000 – Cyber-résilience avec détection de ransomware adaptative aux données
Cadre de protection contre les ransomwares HPE Alletra Storage MP B10000
HPE Alletra Storage MP B10000 − Intégration SIEM
Guide de renforcement de la sécurité pour les administrateurs du système de stockage HPE Alletra MP B10000
Guide de sécurité HPE Alletra Storage MP B10000
hpe.com/uk/en/resource-library.video.hpe-alletra-storage-mp-b10000-r6-ransomware-detection-with…
hpe.com/uk/en/resource-library.video.hpe-alletra-storage-mp-b10000-and…
Ce rapport est parrainé par HPE. Tous les points de vue et opinions exprimés dans ce rapport sont basés sur notre vision impartiale du ou des produits à l'étude.
Le boîtier Antec Flux Pro Noctua Edition est un boîtier tour haut de gamme qui reprend la configuration Flux Pro existante et la remplace…
Ubiquiti poursuit son expansion sur le marché des solutions sans fil pour entreprises avec le lancement des UniFi E7 et E7-Campus, deux produits phares…
Les puces AMD ont sans doute été les premières à proposer cette fonctionnalité : les mini-PC et ordinateurs portables Strix Halo étaient livrés avec 128 Go de mémoire unifiée…
Le processeur Intel Core Ultra 7 265K se situe au milieu de la gamme de processeurs de bureau Arrow Lake-S, associant 20 cœurs à…
La plupart des plateformes RMM (surveillance et gestion à distance) sont très efficaces pour signaler les pannes, mais peu utiles pour…
Le retour d'Intel sur le marché des processeurs pour stations de travail en boîte a eu lieu le 2 février 2026, lorsque la société a annoncé la série Xeon 600, nom de code…