🔄 PCA/PRA — RTO, RPO & BorgBackup

🎯 Objectifs

• Distinguer PCA (maintenir l'activité) et PRA (reprendre l'activité)
• Définir des RTO et RPO réalistes via une Business Impact Analysis (BIA)
• Maîtriser la règle de sauvegarde 3-2-1 et son extension 3-2-1-1 (immuable)
• Installer et utiliser BorgBackup (déduplication, chiffrement, rétention)
• Automatiser les sauvegardes via cron

🔥 Accroche — Hôpital André-Mignot (décembre 2022)

Le 3 décembre 2022, l'hôpital André-Mignot (Versailles) est victime d'un ransomware du groupe VICE SOCIETY. Systèmes chiffrés, déprogrammation d'opérations, transferts de patients. La reprise complète a duré 3 mois. L'enquête a montré qu'un PRA non testé et des sauvegardes insuffisantes ont largement contribué à l'ampleur du sinistre. Pour une PME comme InnovatTech, un incident similaire peut conduire à la cessation d'activité.

📖 Section 1 — PCA, PRA et analyse d'impact

PCA vs PRA

RTO et RPO

• RTO (Recovery Time Objective) — temps maximal d'interruption tolérable. Question : combien de temps puis-je me passer de ce service ?
• RPO (Recovery Point Objective) — perte de données maximale tolérable, exprimée en durée. Question : combien de données puis-je me permettre de perdre ?

BIA — Business Impact Analysis InnovatTech

Règle de sauvegarde 3-2-1 et 3-2-1-1

• 3 copies des données (originale + 2 sauvegardes)
• 2 supports différents (ex. NAS local + cloud)
• 1 copie hors-site (protection contre incendie, vol, catastrophe locale)
• +1 copie immuable/offline (protection ransomware — Object Lock S3 ou Borg append-only)

Types de sauvegardes

📖 Section 2 — BorgBackup : déduplication et chiffrement

BorgBackup propose : déduplication au niveau des blocs, compression (lz4, zstd), chiffrement AES-256 et authentification HMAC. Léger, scriptable et idéal pour les PME.

# Initialiser un dépôt chiffré local
borg init --encryption=repokey /mnt/backup/innovattech-backup

# Ou vers un serveur distant via SSH
borg init --encryption=repokey ssh://backup-server/backup/innovattech

# Créer une sauvegarde (archive)
borg create \
  --verbose --stats \
  --compression lz4 \
  /mnt/backup/innovattech-backup::{hostname}-{now:%Y-%m-%dT%H:%M:%S} \
  /var/www /home /etc /srv

# Lister les archives
borg list /mnt/backup/innovattech-backup

# Vérifier l'intégrité du dépôt
borg check /mnt/backup/innovattech-backup

# Restaurer une archive complète
borg extract /mnt/backup/innovattech-backup::innovattech-2024-02-20T08:00:00

# Restaurer un fichier spécifique
borg extract /mnt/backup/innovattech-backup::innovattech-2024-02-20T08:00:00 \
  var/www/html/config.php

# Politique de rétention (7 quotidiennes, 4 hebdomadaires, 12 mensuelles)
borg prune \
  --keep-daily=7 \
  --keep-weekly=4 \
  --keep-monthly=12 \
  /mnt/backup/innovattech-backup

Script d'automatisation Borg

#!/bin/bash
# /usr/local/bin/innovattech-borg-backup.sh
set -o errexit ; set -o nounset ; set -o pipefail

REPO="/mnt/backup/innovattech-backup"
ARCHIVE_NAME="$(hostname -s)-$(date +%Y-%m-%dT%H:%M:%S)"
LOGFILE="/var/log/innovattech-borg-backup.log"

log() { echo "$(date -Is) - $*" | tee -a "$LOGFILE"; }
log "=== Début sauvegarde: $ARCHIVE_NAME ==="

borg create --verbose --stats --compression lz4 \
  "$REPO::$ARCHIVE_NAME" /etc /var/www /home >> "$LOGFILE" 2>&1 \
  && log "Sauvegarde OK" \
  || { log "ERREUR sauvegarde"; exit 2; }

borg prune "$REPO" --keep-daily=7 --keep-weekly=4 --keep-monthly=12 \
  >> "$LOGFILE" 2>&1 && log "Prune OK"

borg check "$REPO" >> "$LOGFILE" 2>&1 && log "Vérification OK"
log "=== Fin sauvegarde ==="

# Planifier via cron (tous les jours à 02:00)
# 0 2 * * * root /usr/local/bin/innovattech-borg-backup.sh

🛠️ TP — BIA, stratégie de sauvegarde et BorgBackup (85 min)

Partie 1 — BIA et stratégie (45 min)

Compléter le tableau BIA pour chaque service d'InnovatTech. Identifier les 3 services les plus critiques et justifier la stratégie de sauvegarde 3-2-1 appliquée à chacun.

Partie 2 — BorgBackup en pratique (35 min)

# Installer BorgBackup
sudo apt update && sudo apt install -y borgbackup

# Initialiser un dépôt de test local
sudo borg init --encryption=repokey /tmp/test-backup-innov

# Créer une sauvegarde de test
borg create /tmp/test-backup-innov::test-$(date +%Y%m%d) /etc /var/log

# Lister et vérifier
borg list /tmp/test-backup-innov
borg check /tmp/test-backup-innov

# Test de restauration — supprimer un fichier et le restaurer
sudo rm /etc/hostname
cd /tmp && borg extract /tmp/test-backup-innov::test-$(date +%Y%m%d) etc/hostname
sudo cp /tmp/etc/hostname /etc/hostname
hostname  # Vérifier

💬 Synthèse — Question finale

📝 QCM — Testez vos connaissances