Commvault a intégré ses actions de récupération face aux cyberincidents directement dans CrowdStrike Charlotte Agentic SOAR, permettant ainsi aux clients des deux entreprises d’automatiser les tâches liées aux sauvegardes et aux environnements de restauration dans leurs flux de sécurité automatisés. Cette intégration, désormais disponible, vise à réduire un obstacle fréquent lors d’une attaque : la séparation entre l’équipe qui investigue et neutralise la menace et celle chargée de protéger et restaurer les données.
Les points clés de Commvault et CrowdStrike en 20 secondes
- Commvault intègre des actions de cyber-récupération en tant qu’étapes natives dans Charlotte Agentic SOAR.
- Les équipes peuvent restreindre l’accès et conserver des points de récupération pendant un incident.
- Les actifs suspects peuvent être restaurés dans Commvault Cleanroom pour analyse hors ligne.
- L’intégration est disponible pour les clients communs et renforce la collaboration existante entre les deux sociétés.
Cette innovation est particulièrement pertinente lors d’attaques de rançongiciel ou d’autres intrusions où une simple isolation du système compromis ne suffit pas. Avant d’entamer une restauration, il est essentiel de déterminer la portée de l’attaque, de vérifier la fiabilité des sauvegardes restantes et d’identifier les systèmes pouvant être restaurés sans réintroduire la menace.
Deux domaines traditionnellement séparés entrent en convergence : SecOps, chargé des opérations de sécurité, et les équipes responsables des sauvegardes et de la récupération.
Commvault et CrowdStrike souhaitent que cette coordination puisse désormais s’effectuer directement depuis le flux de réponse aux incidents.
De l’alerte de sécurité à la protection immédiate des sauvegardes
SOAR, acronyme de Security Orchestration, Automation and Response, désigne une catégorie d’outils conçus pour coordonner et automatiser les actions suite à la détection d’une menace.
Charlotte Agentic SOAR, faisant partie de la plateforme CrowdStrike, utilise l’automatisation basée sur l’IA pour enquêter sur les alertes, prendre des décisions conformes aux politiques établies et exécuter des actions sur divers systèmes.
L’intégration dévoilée le 31 août ajoute des actions spécifiques de Commvault à ces processus, notamment la possibilité de restreindre l’accès à Commvault pendant un incident actif.
Ce contrôle vise à empêcher un attaquant, disposant encore de crédentiels privilégiés ou d’accès à certains systèmes, de modifier ou supprimer des sauvegardes critiques pour la récupération.
Désormais, la séquence de réponse peut automatiser cette restriction d’accès comme étape de la gestion de l’incident, évitant ainsi une intervention manuelle séparée par l’équipe de sauvegarde.
Une autre action concerne la gestion des politiques de conservation des données.
Les sauvegardes sont généralement configurées pour supprimer automatiquement les données anciennes selon des politiques définies, ce qui est pratique pour la gestion de l’espace. Cependant, durant une investigation, cela peut conduire à la disparition de points de restauration précieux.
Commvault permet à Charlotte Agentic SOAR de suspendre automatiquement ces politiques de cycle de vie des données durant un incident.
Il est important de noter que cela ne garantit pas que toutes les sauvegardes restent sûres. Leur utilité doit être évaluée au cours de l’investigation. La fonction vise simplement à empêcher la suppression de points de restauration utiles pendant l’analyse.
Restaurer un serveur suspect sans le remettre en production
La troisième fonction relie l’investigation à Commvault Cleanroom Recovery.
Au lieu de restaurer directement un actif potentiellement compromis dans l’environnement en production, le système peut le transférer vers un environnement isolé.
Les chercheurs disposent ainsi d’une copie à analyser hors ligne, permettant d’étudier fichiers, configurations et autres éléments liés à l’incident sans interférer avec les systèmes de production.
Cette séparation est cruciale car restaurer des données et restaurer un service sont deux problématiques distinctes.
Une sauvegarde peut sembler intacte mais provenir d’un moment où l’attaquant était déjà présent, potentiellement intégrant des malwares, des mécanismes de persistance, des configurations modifiées ou des crédentiels compromis.
Une restauration immédiate pourrait rétablir le service tout en réintroduisant l’élément compromettant, aggravant ainsi la situation.
Les environnements isolés offrent une étape intermédiaire : restaurer, analyser, valider, puis décider en toute sécurité de remettre ou non le système en production.
L’intégration permet d’incorporer cette étape dans le flux initié par Charlotte Agentic SOAR.
L’automatisation relie deux phases distinctes de l’attaque
L’intérêt pratique de cette intégration ne se limite pas à l’automatisation de la restauration.
La séquence complète devient plus efficace : une plateforme de détection peut repérer une activité suspecte, lancer une investigation, contenir certains systèmes, puis protéger instantanément la récupération.
Avant cette intégration, ces opérations impliquaient souvent des communications manuelles entre équipes, accès à différentes consoles et processus séparés.
Commvault veut rendre ces actions disponibles directement dans le flux de sécurité CrowdStrike, pour agir immédiatement lorsque chaque seconde compte.
Un attaquant disposant de privilèges élevés peut cibler les sauvegardes, qui constituent la dernière barrière de l’organisation pour éviter de payer une rançon ou reconstruire tout l’environnement.
Automatiser la protection de ces ressources réduit significativement le délai entre détection de la menace et mesures prises sur la zone de récupération.
Cela ne remplace pas l’intervention humaine ni ne rend la reprise entièrement autonome. La vérification de la fiabilité des données, le moment de la restauration et la reconnexion en production restent des étapes contrôlées, adaptées à chaque contexte.
CrowdStrike et Commvault partageaient déjà des informations de sécurité
Les deux plateformes coopèrent depuis un certain temps, bien avant l’intégration via Charlotte Agentic SOAR.
Commvault avait déjà intégré CrowdStrike Falcon Insight XDR pour exploiter des informations issues de CrowdStrike dans Commvault Cloud.
Il avait également ajouté une intégration avec Falcon Next-Gen SIEM pour renforcer la visibilité sur les événements liés aux environnements protégés.
La nouvelle intégration va plus loin en permettant désormais aux actions de récupération de Commvault d’être intégrées directement dans les procédures automatisées de réponse aux incidents.
Ce changement reflète également une évolution plus large dans la cybersécurité d’entreprise.
Pendant longtemps, la sauvegarde a été considérée principalement comme un outil de restauration après panne ou erreur humaine. Avec l’essor du ransomware, elle est devenue un élément clé de la sécurité.
Une stratégie efficace face à une attaque doit connaître non seulement l’existence d’une sauvegarde, mais aussi sa date de création, si elle est saine, si elle a été manipulée par l’attaquant, et comment la restaurer sans compromettre à nouveau l’environnement.
C’est pourquoi la collaboration entre les systèmes de détection et les plateformes de récupération s’intensifie, échangeant une quantité croissante d’informations.
L’intelligence artificielle agentique dans la réponse et la récupération
Charlotte Agentic SOAR introduit également une nouvelle dimension : l’usage croissant d’agents IA dans les opérations de sécurité.
Ces plateformes promettent de réduire le travail manuel nécessaire pour analyser les alertes, orienter la réponse et exécuter des procédures prédéfinies.
Cependant, la rapidité d’une investigation automatisée est peu utile si, au moment de protéger les sauvegardes ou de lancer une restauration, le processus dépend encore de communications manuelles entre départements.
L’intégration de Commvault vise à étendre cette automatisation jusqu’à la phase de récupération.
Il faut cependant distinguer automatisation et autonomie totale.
La capacité d’exécuter des actions sur les sauvegardes depuis un flux SOAR impose des contrôles très stricts. Une automatisation incorrecte sur l’infrastructure de récupération peut avoir des conséquences graves, notamment parce que ces données constituent la dernière ligne de défense lorsque la production a été compromise.
Les politiques, permissions et limites fixées par chaque organisation restent une composante essentielle de cette conception.
Commvault présente cette intégration comme un moyen de réduire les transferts manuels entre les équipes de sécurité et de récupération, sans en faire une substitution.
La différence est importante.
L’objectif est que, lorsque CrowdStrike détecte et gère un incident, la procédure puisse s’étendre immédiatement aux systèmes nécessaires à la restauration.
Se rendre compte plus tôt ne garantit pas une récupération rapide
Les entreprises ont investi massivement pour réduire le temps entre détection et réponse.
Mais un incident grave peut laisser des systèmes cryptés, supprimés ou modifiés, même après que l’attaquant a disparu.
Dans ce cas, une nouvelle métrique apparaît : combien de temps la société met-elle pour retrouver une activité normale.
Une détection efficace peut repérer rapidement un ransomware, mais si la restauration est lente, la société peut rester plusieurs jours sans certains services, surtout si le processus est manuel, si les sauvegardes doivent être vérifiées ou si le point de restauration est incertain.
L’association de CrowdStrike et Commvault tente d’accélérer ces deux phases.
La plateforme de sécurité fournit des informations sur l’incident et organise la réponse. La plateforme de gestion des données conserve les copies et met à disposition des mécanismes de restauration. Le nouveau connecteur permet de faire de certaines décisions une étape du même processus.
L’intégration est disponible pour les clients conjoints de Commvault et CrowdStrike et peut aussi être trouvée sur le CrowdStrike Marketplace.
Elle ne transforme pas automatiquement une infrastructure en résiliente face au ransomware ni ne garantit une restauration parfaitement propre. La protection par sauvegarde, l’isolation, les tests réguliers, la gestion des identités et les plans de reprise restent essentiels.
Ce qu’elle fait en revanche, c’est réduire la distance opérationnelle qui peut coûter cher lors d’une urgence : celle entre le détection d’un incident et le début des mesures pour sauvegarder les données qui permettront de restaurer l’activité.
Questions fréquentes
Que ont intégré Commvault et CrowdStrike ?
Commvault a intégré des actions de cyber-récupération sous forme d’étapes disponibles dans les flux de Charlotte Agentic SOAR, permettant de coordonner des tâches de protection et de restauration dans le cadre de la réponse en sécurité.
Que peut faire Charlotte Agentic SOAR sur Commvault ?
L’intégration permet de restreindre l’accès à Commvault, de suspendre les politiques de rétention pour conserver des points de restauration et de restaurer des actifs potentiellement compromis dans Commvault Cleanroom pour analyse.
À quoi sert Commvault Cleanroom ?
Il permet de restaurer des systèmes dans un environnement isolé où ils peuvent être analysés et validés avant leur retour en production. L’objectif est d’éviter qu’une restauration ne réintroduise des éléments liés à l’attaque.
L’intégration est-elle déjà disponible ?
Oui. Commvault indique que cette intégration est disponible de manière générale pour les clients conjoints et également accessible via le CrowdStrike Marketplace.