Monter un Hardened Repository Linux pour Veeam

1.Pourquoi un dépôt immuable ?

Lors d'une attaque par rançongiciel, les attaquants cherchent d'abord les sauvegardes pour les effacer, puis chiffrent la production. Un dépôt Windows classique ou un NAS joint au domaine ne résiste pas à un compte administrateur volé.

Le Hardened Repository de Veeam est un serveur Linux sur lequel les sauvegardes sont immuables pendant une durée que tu choisis : elles peuvent être copiées, mais ni modifiées, ni déplacées, ni supprimées. Pas même par Veeam, pas même par un administrateur depuis la console. C'est le « 1 » de la règle 3-2-1-1-0.

2.Deux façons de le construire

3.Ce qu'il faut prévoir

• Un serveur physique de préférence, avec ses propres disques (RAID) : une VM sur le cluster qu'elle protège partage le sort de ce cluster.
• Du stockage en mode bloc : disques locaux, iSCSI ou FC. Pas de partage NFS ni SMB, que Veeam refuse pour un Hardened Repository.
• Un système de fichiers XFS avec reflink, pour le Fast Clone (les fulls synthétiques ne prennent presque pas de place).
• Une source d'heure fiable (NTP) : l'immuabilité se calcule en jours, une horloge faussée est un point d'attaque.
• Le serveur ne doit pas être joint au domaine, et son accès à distance (iDRAC, iLO) doit être protégé, car c'est une porte dérobée vers les disques.

4.Préparer le serveur Linux

Exemple avec Ubuntu Server, installation minimale, et un volume RAID dédié aux sauvegardes vu comme /dev/sdb.

# 1. Formater le volume de sauvegarde en XFS avec reflink (Fast Clone)
sudo mkfs.xfs -b size=4096 -m reflink=1,crc=1 /dev/sdb

# 2. Le monter de façon permanente (par son UUID)
sudo mkdir -p /mnt/veeam
echo "UUID=$(sudo blkid -s UUID -o value /dev/sdb) /mnt/veeam xfs defaults 0 0" | sudo tee -a /etc/fstab
sudo mount -a && df -h /mnt/veeam

# 3. Un compte dédié à Veeam, propriétaire du dossier
sudo useradd -m -s /bin/bash veeamrepo
sudo passwd veeamrepo
sudo mkdir -p /mnt/veeam/backups
sudo chown -R veeamrepo:veeamrepo /mnt/veeam/backups
sudo chmod 700 /mnt/veeam/backups

# 4. Droits sudo TEMPORAIRES, le temps de l'ajout dans Veeam
sudo usermod -aG sudo veeamrepo

5.L'ajouter dans Veeam

1. Backup Infrastructure → Backup Repositories → Add Repository → Direct attached storage → Linux (Hardened Repository).
2. Ajoute le serveur Linux. À l'étape des identifiants, choisis Single-use credentials for hardened repository et saisis le compte veeamrepo (avec élévation sudo).
3. Choisis le dossier /mnt/veeam/backups.
4. Coche Use fast cloning on XFS volumes et Make recent backups immutable for … days. 7 jours au minimum, 14 à 30 jours en pratique.
5. Termine l'assistant, puis vérifie que le dépôt apparaît sans erreur.

6.Fermer les portes derrière soi

Une fois le dépôt ajouté, retire tout ce qui pourrait permettre de reprendre la main sur le serveur à distance :

# Retirer les droits sudo au compte Veeam
sudo deluser veeamrepo sudo

# Désactiver SSH (l'administration se fera en console locale ou iDRAC/iLO)
sudo systemctl disable --now ssh

# Vérifier la synchronisation de l'heure
timedatectl status

7.Régler les jobs

• Le dépôt exige des chaînes forward incremental avec un full périodique (synthétique ou actif). Avec Fast Clone, le full synthétique hebdomadaire ne coûte presque rien en place.
• La période d'immuabilité s'ajoute en pratique à ta rétention : prévois l'espace en conséquence (le calculateur de sauvegarde de la boîte à outils aide à l'estimer).
• Le plus simple : garder le dépôt principal rapide pour les restaurations, et envoyer vers le Hardened Repository un Backup Copy job.

8.Vérifier que l'immuabilité fonctionne

Après une première sauvegarde, sur le serveur Linux (en console locale) :

# Le « i » dans les attributs = fichier immuable
lsattr /mnt/veeam/backups/*/*.vbk
# ----i---------------- /mnt/veeam/backups/Job-Backup-Or/SRV-APP01.vbk

Dans la console Veeam, essaie de supprimer cette sauvegarde (Delete from disk) : l'opération doit être refusée tant que la période n'est pas écoulée.