Veeam : les 6 réglages qui font la différence entre une sauvegarde et une vraie protection

Veeam Backup & Replication est le logiciel de sauvegarde le plus répandu dans les entreprises que nous auditons. C’est aussi celui que nous trouvons le plus souvent mal réglé : installé un jour, jamais revu. La réponse courte : une installation Veeam ne protège vraiment que si les sauvegardes sont immuables, copiées hors site, cohérentes au niveau applicatif, testées automatiquement, étendues à Microsoft 365 et surveillées par quelqu’un. Voici les six réglages que nous vérifions chez chaque client, la méthode pour les mettre en place et les erreurs les plus courantes.

Pourquoi « la sauvegarde tourne » ne suffit pas

Une tâche Veeam au statut vert indique seulement que des données ont été copiées. Elle ne dit pas si ces données survivront à une attaque, si les bases seront cohérentes à la restauration, ni si la copie hors site existe vraiment. Les ransomwares modernes cherchent d’abord les sauvegardes pour les supprimer avant de chiffrer la production : c’est pour cela que la configuration compte autant que le logiciel. Pour le principe général, voir la règle 3-2-1 et la sauvegarde immuable.

1. Le dépôt immuable

Un dépôt Linux renforcé (hardened repository) ou un stockage objet avec verrouillage rend les sauvegardes impossibles à supprimer pendant la durée choisie, même avec les identifiants Veeam. Sans cela, un ransomware qui atteint le serveur Veeam peut tout effacer.

Le dépôt renforcé est un serveur Linux dédié, sans accès SSH permanent, sur lequel Veeam écrit avec des identifiants à usage unique. La durée d’immuabilité se choisit en fonction de votre politique de rétention : elle doit couvrir le temps qu’un attaquant peut passer dans le réseau avant d’être repéré.

2. La règle 3-2-1-1-0 appliquée

Trois copies des données, sur deux supports différents, dont une hors site, une hors ligne ou immuable, et zéro erreur lors des tests de restauration. En pratique, cela passe par une tâche de copie (backup copy job) vers un second site ou un cloud, en plus de la sauvegarde locale. Beaucoup d’installations n’ont qu’une seule chaîne, sur le même stockage que la production : une panne de baie ou un incendie emporte les deux.

3. La sauvegarde applicative

Le traitement application-aware met Exchange, SQL Server et Active Directory dans un état cohérent avant la capture, et peut gérer la troncature des journaux de transactions. Sans lui, la restauration d’une base peut échouer ou réclamer une longue réparation. Il suppose des identifiants invités valides : un mot de passe de compte de service changé sans mise à jour dans Veeam et la sauvegarde applicative échoue silencieusement, en simple avertissement.

4. SureBackup, ou le test automatique

Veeam peut démarrer les machines sauvegardées dans un laboratoire isolé et vérifier qu’elles répondent : démarrage du système, réponse réseau, services applicatifs. Une tâche SureBackup hebdomadaire remplace les « on verra le jour où ». Complétez-la par une restauration manuelle complète au moins une fois par an, dans les conditions d’un vrai sinistre, comme le prévoit un plan de reprise d’activité.

5. Microsoft 365 sauvegardé aussi

Veeam Backup for Microsoft 365 protège Exchange Online, SharePoint, OneDrive et Teams, que Microsoft ne sauvegarde pas au sens propre. La corbeille et la rétention de Microsoft ne remplacent pas une sauvegarde indépendante, comme nous le détaillons dans la responsabilité partagée Microsoft 365.

6. Les alertes lues par quelqu’un

Une notification d’échec envoyée dans une boîte que personne ne consulte ne sert à rien. Chez nos clients, les alertes Veeam remontent dans notre supervision 24/7 et déclenchent une intervention. Les avertissements comptent autant que les échecs : ce sont souvent eux qui annoncent une sauvegarde applicative ratée ou un dépôt presque plein.

Restaurer : les options à connaître avant le jour J

Une bonne configuration ne vaut que si l’équipe sait restaurer vite. Veeam propose plusieurs niveaux de restauration, à choisir selon l’incident :

• Restauration de fichiers : récupérer un document supprimé ou écrasé sans restaurer toute la machine.
• Restauration d’objets applicatifs : une boîte aux lettres, un objet Active Directory ou une base SQL précise.
• Instant Recovery : démarrer une machine virtuelle directement depuis la sauvegarde, pour remettre un service en route pendant que la restauration complète se poursuit.
• Restauration complète de la machine, sur l’hôte d’origine ou sur un autre.

Chacune de ces procédures doit être écrite, testée et connue de plus d’une personne. Le jour d’un incident, personne ne devrait découvrir l’interface de restauration.

Les six réglages en un tableau

Réglage	Risque s’il manque	Vérification rapide
Dépôt immuable	Sauvegardes supprimées par l’attaquant	Le dépôt est-il marqué immuable, et pour quelle durée ?
Copie hors site	Perte totale en cas de sinistre local	Existe-t-il une tâche de copie qui aboutit ?
Application-aware	Bases incohérentes à la restauration	Les tâches affichent-elles des avertissements invités ?
SureBackup	Sauvegarde inutilisable découverte trop tard	Quand date le dernier test réussi ?
Microsoft 365	Messagerie et fichiers cloud non protégés	Les boîtes et sites sont-ils tous inclus ?
Alertes suivies	Échecs ignorés pendant des semaines	Qui reçoit les alertes, et qui agit ?

Les erreurs fréquentes

• Le serveur Veeam joint au domaine de production, administré avec les mêmes comptes que le reste : un attaquant qui prend l’annuaire prend les sauvegardes.
• Pas de MFA sur la console Veeam, alors que les versions récentes le proposent.
• Le dépôt sur le même stockage que les machines virtuelles.
• Aucune sauvegarde de la configuration Veeam elle-même, ce qui complique la reconstruction du serveur de sauvegarde.
• Le chiffrement activé sans conserver le mot de passe dans un coffre sûr : les sauvegardes deviennent illisibles pour tout le monde.
• Une rétention courte, qui ne permet pas de remonter avant le début d’une infection restée discrète.
• Des machines nouvelles jamais ajoutées aux tâches, faute de sélection par dossier ou par étiquette.

Ces points recoupent les 7 mesures contre les ransomwares que nous recommandons à toutes les PME.

Méthode de mise en conformité, étape par étape

1. Inventorier les machines, les applications et les données, et fixer pour chacune la perte de données acceptable et le délai de remise en service attendu.
2. Vérifier la couverture : chaque machine virtuelle, serveur physique (via l’agent Veeam) et service Microsoft 365 est-il inclus ?
3. Mettre en place le dépôt immuable et la copie hors site.
4. Isoler le serveur Veeam : hors du domaine de production, comptes dédiés, MFA sur la console.
5. Activer le traitement application-aware et contrôler les identifiants invités.
6. Planifier SureBackup et documenter la procédure de restauration.
7. Raccorder les alertes à une supervision suivie, avec un responsable identifié.

Checklist Veeam

• Dépôt immuable en place, durée d’immuabilité documentée.
• Tâche de copie hors site ou cloud qui aboutit.
• Traitement application-aware actif sur les serveurs applicatifs.
• Dernier test SureBackup réussi daté et consigné.
• Microsoft 365 sauvegardé de façon indépendante.
• Serveur Veeam isolé de l’annuaire de production, console protégée par MFA.
• Configuration Veeam sauvegardée, mot de passe de chiffrement conservé en lieu sûr.
• Alertes reçues et traitées par une personne identifiée.

Comment nous procédons

Nous commençons par un audit de votre installation Veeam existante : tâches, dépôts, rétention, alertes et dernier test de restauration. Vous recevez la liste des écarts, classés par priorité. Nous mettons ensuite en place le dépôt immuable, la copie hors site et les tests automatiques, que votre virtualisation tourne sur VMware, Hyper-V ou Proxmox avec Ceph. Les alertes rejoignent notre supervision 24/7, et un incident critique est pris en charge en moins de 15 minutes. Nos réalisations présentent des projets de sauvegarde et de virtualisation comparables.

Tout cela fait partie de notre offre virtualisation et serveurs. En tant que partenaire Veeam, et aussi partenaire Proxmox, nous auditons gratuitement votre configuration existante lors de l’audit initial offert : contactez-nous, nous répondons sous 24 h ouvrées.