Comment sécuriser vos environnements Cloud & DevOps ?

Le cloud public est fourni par des fournisseurs comme Google, AWS ou Azure et offre une infrastructure accessible via un portail. Le fournisseur intègre dans les infrastructures des ressources à la disposition des entreprises. Elles varient selon le fournisseur mais peuvent inclure des capacités de calcul, de stockage, des applications, des bases de données, du réseau et de la sécurité.

Le cloud public permet une évolutivité, un potentiel de ressources, une puissance de calcul ainsi qu’une présence internationale que les organisations de hosting legacy ne peuvent pas proposer. Les fournisseurs sont le plus souvent représentés par AWS, Microsoft Azure, Google Cloud et Alibaba.
Le cloud public est un choix idéal pour les applications ne disposant pas de données sensibles ou souveraines, comme dans le cadre du déploiement d’un portail web.

Un cloud privé, appelé « on-premise » est un environnement de cloud computing dédié à une seule organisation : ce sont des solutions informatiques sur site autogérées. Dans un cloud privé, toutes les ressources sont isolées et sous le contrôle d’une seule organisation. Ainsi, le cloud privé est également appelé cloud interne ou d’entreprise.

Les entreprises faisant le choix du cloud privé ont généralement à leur disposition des données confidentielles qui nécessitent une sécurité accrue. Ce choix peut également résulter d’un manque de compétences en interne sur les data plateformes proposées par les fournisseurs de cloud public, ou encore être fait pour des raisons historiques.

Le cloud hybride combine les avantages des deux : il permet de gérer des données confidentielles en interne tout en utilisant la rapidité et les performances du cloud public pour d’autres applications​​ (site web, déploiement d’application client ou utilisateur…).

Aujourd’hui, c’est le modèle le plus répandu dans le monde au sein des entreprises Grands comptes et ETI.

Les fuites de données dans le cloud résultent très souvent de mauvaises configurations de sécurité des services ou de modifications non maitrisées des paramètres de sécurité.

Concernant les données sensibles, il est crucial de les sécuriser avec des protocoles de chiffrement très robustes et une gestion stricte des accès et des clés.

Les ransomware représentent une menace majeure, paralysant les systèmes jusqu’au paiement d’une rançon. C’est un logiciel informatique malveillant, prenant en otage les données. Le ransomware chiffre et bloque les fichiers contenus sur votre ordinateur et demande une rançon en échange de la clé permettant de les déchiffrer. De plus, il faut avoir conscience que même lorsque la rançon est payée, les données de l’entreprise peuvent être revendues à des concurrents ou sur le Darkweb.

Des sauvegardes régulières et des plans de réponse aux incidents sont essentiels pour se protéger contre ce type d’attaque​​. Des partenaires spécialisés existent pour vous accompagner sur ce sujet.

Les attaques par déni de service distribué (DDoS) visent à rendre les services indisponibles aux consommateurs de l’entreprise en les saturant de trafic. En conséquence, le site tombe en panne ou cesse de fonctionner, refusant le service aux utilisateurs légitimes et empêchant le trafic légitime d’arriver à destination. Elles occasionnent, notamment pour les sites marchands, une perte conséquence de chiffre d’affaires mais également la montée en charge du service cloud, et donc une hausse de la facture du fournisseur de service.

Contrairement aux environnements on-premise, les fournisseurs cloud offrent une protection contre les attaques DDoS qui peut protège contre le trafic malveillant d’atteindre un site Web ou de perturber les communications avec les API Web, limitant l’impact de l’attaque, tout en permettant au trafic de passer pour que les activités se poursuivent normalement.

Le phishing en entreprise est une technique employée afin de détourner des fonds et subtiliser des informations sensibles. Les pirates envoient un mail ou piègent les individus via de faux sites : s’ils parviennent à dérober des accès internes, ils peuvent par exemple exécuter des virements vers des comptes frauduleux.

Les conséquences d’une attaque réussie sont lourdes : dommages financiers, vol de données sensibles, perte de confiance des tiers, etc. Face aux emails frauduleux et faux sites web, les entreprises doivent donc s’armer. En plus d’un logiciel anti-phishing, il est conseillé de s’équiper d’une solution de détection automatique de la fraude.

La sensibilisation des utilisateurs et l’utilisation de méthodes d’authentification multi-facteurs sont des mesures également efficaces pour réduire le risque​​.

Adopter une approche “Security by Design” signifie intégrer la sécurité dès le début du développement et de la conception des infrastructures cloud et DevOps.

En effet, le cloud provider s’occupe de la sécurité du cloud, mais pas de la sécurité dans le cloud. Il va sécuriser ses data center et les services qu’il met à disposition des entreprises (ainsi que leur mise-à-jour). Cependant, il est à la charge des entreprises de sécuriser leur utilisation du service et d’appliquer une gestion des accès solide.

Plutôt que d’ajouter des mesures de sécurité en fin de processus, cette approche proactive intègre des pratiques et des contrôles de sécurité dès la phase de conception et tout au long du développement, des tests et du déploiement.

Cela inclut l’évaluation continue des risques, l’utilisation de principes de conception sécurisée, la mise en œuvre de politiques de sécurité strictes et l’automatisation des tests de sécurité. En adoptant “Security by Design”, les développeurs peuvent anticiper et atténuer les vulnérabilités dès le départ, créant ainsi des applications plus robustes et sécurisées tout en réduisant les coûts et les efforts liés à la correction des failles de sécurité après coup.

Cette approche permet également de se conformer plus facilement aux normes et réglementations en matière de sécurité, tout en renforçant la confiance des utilisateurs et des clients dans la sécurité des produits et services offerts.

Lorsque l’on souhaite sécuriser une infrastructure cloud, on va essentiellement assigner et gérer les rôles des différents utilisateurs afin de leur donner uniquement les droits dont ils ont besoin pour créer les opérations dont ils sont en charge. On appelle également cette méthode Role Based Access Control (RBAC).

Au lieu de configurer l’accès aux systèmes ou aux réseaux par utilisateur, le RBAC permet aux administrateurs informatiques de configurer un ensemble d’autorisations pour différents rôles, puis d’attribuer ces rôles aux utilisateurs en fonction de leur poste et du niveau d’accès dont ils ont besoin. Les équipes peuvent ainsi ajouter, modifier et supprimer facilement des autorisations pour l’ensemble des utilisateurs d’un groupe ayant le même rôle, ou modifier rapidement le niveau d’accès d’un seul utilisateur.

Le RBAC fonctionne toujours de la même manière :

• On assigne à un utilisateur un ou plusieurs rôles
• On assigne à ces différents rôles des autorisations spécifiques
• L’utilisateur obtient les autorisations lorsqu’il est actif dans son rôle assigné
• On autorise des privilèges à certains utilisateurs en fonction du rôle qui lui est attribué et de son autorisation

Voici les principaux rôles pouvant être assignés aux utilisateurs :

• Les administrateurs
• Les utilisateurs finaux
• Les invités
• Tout autre groupe spécialisé

Le RBAC est optimal pour les entreprises qui recherchent une solution de gouvernance évolutive et facile à gérer.

L’authentification est le processus consistant à déterminer que vous êtes bien celui ou celle que vous prétendez être. Elle est basée sur un certificat qui détermine l’identité de l’utilisateur en utilisant des documents électroniques appelés certificats digitaux.

Le certificat digital est utilisé pour prouver son identité en confirmant que la possession d’une clé privée. Les certificats digitaux contiennent :

• Des données d’identification
• Des informations sur une clé publique
• Une signature digitale dérivée de la clé privée de l’autorité de certificat vérifiée par sa clé publique

Pour que l’authentification basée sur un certificat fonctionne correctement, l’utilisateur doit avoir une clé privée avec des informations correspondant à la clé publique dans un certificat. Chaque clé publique constitue une paire avec une clé privée unique. Bien que les clés publiques soient publiées, les clés privées correspondantes sont tenues secrètes. Les données qui sont chiffrées avec la clé publique ne peuvent être déchiffrées qu’avec la clé privée correspondante.

Vault est un outil permettant la centralisation de la gestion des mots de passe (identifiant de connexion, clef de chiffrement, mot de passe ou encore tokens…) de votre équipe ainsi que le partage en toute sécurité des mots de passe au sein de l’organisation en fonction des privilèges d’utilisateur.

Un gestionnaire de mots de passe d’équipe comme Vault élimine le principal problème associé aux mots de passe : les mémoriser. Avec Vault, il suffit de se souvenir du mot de passe principal unique qui déverrouille le coffre-fort de mots de passe.

L’authentification multifactorielle (AMF) est un composant de gestion des accès qui exige des utilisateurs qu’ils prouvent leur identité à l’aide d’au moins deux facteurs de vérification différents avant d’accéder à leur outil. Avec l’AMF, si un facteur est compromis, l’attaquant doit encore franchir au moins une barrière avant de pouvoir accéder au compte de la cible.

L’AMF utilise plusieurs technologies pour authentifier l’identité d’un utilisateur : les utilisateurs doivent ainsi combiner les technologies de vérification d’au moins deux groupes ou facteurs d’authentification différents. Ces facteurs se répartissent en trois catégories :

• Ce que vous savez (code PIN, d’un mot de passe, questions/réponses)
• Ce que vous avez (badge, smartphone, clé USB)
• Ce que vous êtes (empreintes digitales biométriques, reconnaissance faciale ou vocale)

Ils sont essentiels pour identifier les vulnérabilités qui pourraient être utilisées par des acteurs malveillants pour compromettre les systèmes et les données. Ils surveillent les erreurs de configuration ou les défauts de codage.

Ce sont des outils automatisés qui identifient et créent un inventaire de tous les actifs informatiques connectés à un réseau. Pour chaque actif, il identifie les détails opérationnels tels que le système d’exploitation qu’il exécute et les logiciels installés dessus, les ports ouverts et les comptes d’utilisateurs… Les scanners de vulnérabilité peuvent être classés en 2 catégories :

• Les scanners de vulnérabilité des applications Web : ils analysent le code de l’application ou du site Web pour trouver les vulnérabilités qui les compromettent. Ils sont un composant essentiel des tests de sécurité des applications.
• Les scanners de vulnérabilité des applications réseau : ils surveillent les serveurs Web, leurs systèmes d’exploitation et tout autre service ouvert sur Internet, tel que les services de base de données.

Voici les étapes permettant à un outil d’analyse de vulnérabilité d’identifier les failles :

• Mauvaises configurations et manque de gestion des correctifs.
• Scan des vulnérabilités de sécurité sur le réseau, sur les postes de travail, sur les serveurs, les pare-feux, etc. Ils doivent être programmés pour exécuter des analyses périodiques automatisées.
• Analyse des résultats pour accéder aux vulnérabilités de vos réseaux, y compris les tendances historiques et les détails actuels.
• Priorisation des menaces, en déterminant leur criticité et leur impact potentiel sur l’organisation, la facilité avec laquelle un attaquant pourrait exploiter la vulnérabilité, la possibilité de reconfigurer les contrôles de sécurité actuels pour réduire le risque d’exploitation disponible, si les vulnérabilités sont des faux positifs et la réalisation de rapports afin de corriger les failles