Vous connaissez cette semi-blague, « le cloud, c’est les ordinateurs de quelqu’un d’autre » ? Le cloud computing est souvent vu comme LA solution, si bien qu’on omet qu’il s’agit uniquement d’un outil, avec ses avantages et ses inconvénients.
L’intérêt du cloud est entre autres lié à :
- sa facilité d’utilisation : pour mettre par exemple une infrastructure complexe en place, pour ouvrir et fermer de nouvelles instances…
- son faible coût : il est facturé uniquement ce qui est consommé, et il n’y pas d’investissement initial important par rapport à un hébergement en local,
- sa performance et sa fiabilité : la redondance des systèmes est prévue, la maintenance également…
- la sécurité du hardware prise en charge.
En effet, les principaux fournisseurs de solutions d’hébergement cloud fonctionnent sur un modèle de responsabilité partagée. Les fournisseurs prennent en charge la sécurité physique de l’hébergement tandis que vous êtes responsables de ce qui est hébergé. Un peu comme les fabricants de voitures qui doivent produire des véhicules fiables, mais vous restez responsables de votre conduite et de l’entretien de la voiture.
Comme pour tout outil, des risques liés à l’utilisation du cloud existent. Après avoir évoqué quelques risques, nous allons passer en revue des bonnes pratiques essentielles de sécurité du cloud que vous pouvez mettre en place.
Sécurité du cloud : quels sont les risques ?
Nous abordons dans cet article uniquement les risques liés à ce que vous gérez lorsque vous utilisez le cloud. Nous n’incluons donc pas les risques liés aux applications hébergées sur le cloud.
Risque de mauvaise configuration
Les incidents de sécurité liés à une mauvaise configuration sont les plus nombreux. Il s’agit de situations où des ressources sont laissées accessibles publiquement (bucket S3, base de données ElasticSearch…).
La configuration couvre aussi les règles de pare-feu et la gestion des ports. Une pratique source de risques est par exemple de laisser des ports liés à l’administration (SSH) ouverts. Le risque de fuite de données est critique, car les conséquences peuvent être multiples (économiques, légales et commerciales).
Risques liés à une surface d’attaque élargie
Une des conséquences du cloud est une surface d’attaque large et qui évolue fréquemment. Entre le risque d’oubli d’instances, la multiplication des points d’accès et des utilisateurs y ayant accès, le risque d’exposition de données est accru.
Risque de dispersion des données
Parfois, plusieurs clouds sont utilisés dans une même entreprise. Les données sont alors dispersées dans plusieurs endroits et peuvent être en doublon. Comme vos équipes doivent sécuriser différents clouds, cela peut entraîner des oublis, des erreurs ou un manque de ressources humaines pour la gestion des clouds. Il est également difficile d’obtenir une visibilité complète sur l’infrastructure du SI.
Risque d’un manque de conformité
Les fournisseurs cloud proposent généralement une offre adaptée aux différentes exigences légales (hébergement conforme RGPD, HDS…). Cependant, c’est un élément que vous devez prendre en considération et surveiller lors de la configuration d’instances.
Sécurité du cloud : quelles sont les bonnes pratiques ?
Ces risques peuvent être limités par des bonnes pratiques. En voici quelques-unes que nous estimons centrales.
Gestion des accès et des identités
- Contrôlez l’accès aux ressources : qui a accès à quoi ? Il est nécessaire d’appliquer le principe du moindre privilège.
- Utilisez un outil de gestion des accès et des identités (IAM). Cet outil permet de créer des groupes d’utilisateurs où les rôles et droits sont définis très précisément. Selon les fournisseurs cloud, des rôles déjà prédéfinis sur lesquels s’appuyer sont fournis. Un bon outil d’IAM donne de la visibilité sur les accès à un niveau structurel.
- Prévoyez une politique d’authentification forte pour tous vos utilisateurs.
Logging et monitoring
- Centralisez les logs et vérifiez qu’ils soient bien actifs.
- Surveillez les transits de données.
- Mettez en place une détection des tentatives d’intrusion et évènements inhabituels.
- Prévoyez un archivage des logs, pour la durée qui vous semble pertinente.
- Programmez des alertes en cas de changements de configuration et de sécurité.
Cet article détaille d’un point de vue plus général les bonnes pratiques logging et monitoring.
Networking et Computing
- Vérifiez les règles par défaut afin de les valider, les modifier ou les supprimer (pour restreindre l’accès aux bases de données…).
- Segmentez le réseau (sous-réseaux publics/privés).
- Chiffrez les espaces de stockages de données sensibles, avec vos propres clés de chiffrement.
- Sécurisez les endpoints par lesquels les utilisateurs accèderont au cloud.
Enfin, d’un point de vue plus global, la bonne pratique qui se développe est l’Infrastructure As Code. En effet, le cloud peut être configuré via une console. Mais cela entraîne des risques, car il n’y a pas de traces ni d’historiques de changements. Il est donc difficile d’identifier les problèmes de configuration qui y sont introduits par exemple.
L’Infrastructure As Code (IaC) consiste à coder ce à quoi l’infrastructure va ressembler. L’IaC permet notamment une meilleure gestion des versions et des évolutions, une standardisation des configurations et une automatisation de la gestion des ressources. Des outils ont été développés pour aider l’IaC, comme Terraform, Ansible, Puppet, Chef… Le code peut ensuite être analysé par des outils d’analyse statique, qui vérifient les changements et peuvent détecter des erreurs (par exemple Chekov), afin de renforcer la sécurité.
Pour aller plus loin, une revue d’architecture en ayant accès au code peut être réalisée afin d’analyser en profondeur votre infrastructure. Cet audit en boite blanche permet par exemple de rechercher des vulnérabilités liées à la configuration des services, à une mauvaise gestion des droits, etc.