10 points à prendre en compte pour sécuriser AWS lors d’une migration

Le stockage des données dans le cloud offre de nombreux avantages pratiques par rapport aux centres de données traditionnels, mais la migration implique aussi de prendre en compte des enjeux de sécurité spécifiques.

Pour migrer vers AWS, posez dès le départ les bases de la suite. Les entreprises qui passent au stockage des données dans le cloud doivent adapter leur approche de la sécurité de l’information afin de protéger leurs données. Mettre en place les bonnes pratiques de sécurité pendant la migration aidera les équipes à venir à déployer des applications et des fonctionnalités de manière sûre et efficace, tout en évitant les risques courants liés à AWS. À l’inverse, s’en tenir aux pratiques de sécurité traditionnelles ralentira les équipes et limitera leur réussite future.

Nous avons récemment publié notre rapport Snyk Top 10: Security Strategies when Migrating to AWS, qui présente les principaux points à prendre en compte pour faciliter une migration sécurisée. Dans cet article, nous allons passer brièvement en revue chacun d’eux :

1. Adoptez une approche commune de l’AppSec et de la CloudSec.

2. Intégrez les équipes de sécurité aux équipes AppDev et DevOps.

3. Modernisez le développement des applications en intégrant la sécurité à l’ensemble du SDLC.

4. Concevez une architecture cloud en plaçant la sécurité au cœur de vos préoccupations.

5. Donnez aux développeurs et aux ingénieurs cloud les moyens de concevoir des solutions sécurisées.

6. Adoptez l’infrastructure as code dès le départ, et sécurisez-la.

7. Intégrez des garde-fous de sécurité cloud aux pipelines de déploiement.

8. Fondez la sécurité cloud sur des politiques as code (PaC).

9. Utilisez les services de gestion des identités et des accès (IAM) en toute sécurité.

10. Déterminez vos priorités et mesurez-les en continu.

1. Adoptez une approche globale de l’AppSec et de la CloudSec

Autrefois, il était possible de séparer les opérations cloud et le développement des applications en différentes couches. Aujourd’hui, les frontières entre la sécurité des applications et celle de l’infrastructure sont de plus en plus floues. Les acteurs malveillants peuvent facilement exploiter les vulnérabilités, où qu’elles se trouvent dans votre stack. Si les équipes AppSec et CloudSec utilisent des outils distincts pour rechercher les risques de sécurité dans les applications, elles risquent réellement de passer à côté de vulnérabilités qui touchent plusieurs couches ou de situations où une couche a un impact sur une autre.

Ne laissez pas la sécurité AppSec et CloudSec fonctionner en silos. Une approche DevSecOps complète doit s’appuyer sur un processus centralisé et unifié pour détecter et atténuer les risques. Cela permet non seulement de mieux comprendre à la fois l’environnement cloud et le développement logiciel, mais aussi de gagner en efficacité et de mieux hiérarchiser les risques à l’échelle de l’organisation.

2. Intégrez les équipes de sécurité aux équipes AppDev et DevOps

Les silos ralentissent à la fois la sécurité full stack et le développement agile. Considérer la sécurité comme une fonction distincte, comme le veut la pratique traditionnelle, peut faire perdre beaucoup de temps aux équipes, qui doivent interrompre leur travail à chaque nouveau risque.

Mieux vaut traiter les risques de sécurité en amont, en intégrant les pratiques et les contrôles de sécurité au cycle de vie du développement logiciel. L’approche DevSecOps intègre les objectifs de sécurité le plus tôt possible au cycle de vie du développement logiciel (SDLC) et instaure une culture de responsabilité partagée en matière de sécurité. Lorsque les équipes de sécurité travaillent de concert avec les développeurs et les ingénieurs cloud à la conception et au développement de systèmes cloud, elles peuvent intégrer la sécurité à chaque phase du SDLC et optimiser l’efficacité.

Cette responsabilité partagée passe par des outils conçus pour les développeurs, qui s’intègrent aux plateformes qu’ils utilisent déjà et connaissent bien. Des plateformes offrant une visibilité centralisée et facilitant la communication entre les équipes sont également essentielles à une collaboration efficace.

3. Modernisez le développement des applications en intégrant la sécurité à l’ensemble du SDLC

La migration vers AWS est une excellente occasion d’assurer une couverture de sécurité de bout en bout sur l’ensemble du SDLC.

Attendre les dernières étapes du développement pour effectuer les tests de sécurité peut entraîner des retards. Adoptez plutôt une approche shift left afin d’intégrer la sécurité le plus tôt possible au SDLC, de préserver l’agilité du développement et de gérer les nouveaux risques liés aux technologies cloud.

Automatisez les contrôles de sécurité pour chaque pull request afin de détecter les problèmes avant d’accepter les modifications de code dans les environnements de production. Ce processus offre une visibilité globale sur la sécurité pendant la création et les tests de l’application, et permet d’en vérifier l’état de sécurité.

4. Concevez une architecture cloud en plaçant la sécurité au cœur de vos préoccupations

Les acteurs malveillants exploitent souvent les faiblesses architecturales pour accéder à des données précieuses. Réduisez l’impact des menaces en vous mettant dans la peau d’un attaquant pour repérer les points faibles. Recherchez les erreurs de configuration cloud courantes et prenez les devants pour les éviter.

Renforcez les compétences de votre équipe de sécurité en architecture de sécurité AWS. Tirez parti de ressources comme le Cloud Security Podcast, ainsi que des programmes de formation et certifications AWS. Envisagez de créer un poste dédié d’architecte sécurité cloud pour concevoir et gérer une architecture cloud sécurisée.

5. Donnez aux développeurs et aux ingénieurs cloud les moyens de concevoir des solutions sécurisées

Lorsque des erreurs de configuration cloud surviennent, les développeurs sont les mieux placés pour les corriger sans compromettre les fonctionnalités. Ce sont souvent les seuls à pouvoir sécuriser le code de leurs applications et leurs modèles d’infrastructure as code (IaC) (par exemple AWS CloudFormation, AWS CDK et Terraform) avant le déploiement.

Donner aux développeurs les moyens d’agir, c’est leur permettre de prendre des décisions et d’assumer la responsabilité de la sécurité de leurs applications. Ce changement, à la fois culturel et opérationnel, nécessite le soutien de la direction, de la formation, de la visibilité et de la transparence entre les équipes, ainsi que les bons outils. Veillez à ce que les développeurs disposent de tout le nécessaire pour détecter et corriger les faiblesses de leur code.

6. Adoptez l’infrastructure as code dès le départ, et sécurisez-la

L’infrastructure as code (IaC) permet désormais de traiter l’infrastructure comme du code. Sa sécurisation n’incombe plus à l’équipe informatique, mais aux développeurs. Et pour la sécuriser, rien de plus simple : il suffit de suivre les bonnes pratiques de codage et de la vérifier en même temps que le code de l’application.

L’IaC permet de créer et de gérer des environnements AWS à grande échelle de façon plus efficace et cohérente, tout en vérifiant la sécurité du cloud avant le déploiement. La vérification de la sécurité de l’IaC entraîne une réduction médiane de 70 % des erreurs de configuration cloud, ainsi qu’une amélioration médiane de 70 % de la productivité des équipes d’ingénierie et de la vitesse de déploiement.

Définir dès le début de votre transition vers AWS des processus et des procédures pour activer une IaC sécurisée apportera clarté, rapidité et efficacité à la migration. Amazon Web Services propose AWS CloudFormation comme solution IaC native, mais des solutions indépendantes comme Terraform sont également largement utilisées.

7. Intégrez des garde-fous de sécurité cloud aux pipelines de déploiement

Adopter une approche shift left implique de surveiller votre environnement en continu pour détecter les problèmes de sécurité. Les contrôles de sécurité doivent être automatisés dans la CI/CD afin d’éviter les erreurs de configuration avant le déploiement. L’IaC permet d’ajouter des contrôles de sécurité cloud à l’infrastructure créée pour les applications déployées sur AWS.

Une approche DevSecOps de la sécurité cloud fournit aux ingénieurs des retours automatisés dès qu’un problème survient, ainsi que des instructions claires pour le corriger rapidement et en toute sécurité. L’IaC permet également d’éviter que des erreurs de configuration similaires ne soient déployées à répétition.

8. Fondez la sécurité cloud sur des politiques as code

Les audits de conformité manuels prennent du temps et sont difficiles à mettre à l’échelle. Les outils de politiques as code (PaC) automatisent le processus en codifiant et en appliquant les politiques. Cette approche est non seulement plus rapide et plus efficace, mais aussi plus fiable et cohérente, puisqu’elle élimine le risque d’erreur humaine.

Utilisez les PaC pour créer une politique de référence unique à laquelle les développeurs, les équipes de sécurité et DevOps, ainsi que les équipes de conformité peuvent se conformer. L’automatisation des politiques permet aux équipes de sécurité d’étendre leur action sans augmenter leurs effectifs.

9. Utilisez les services de gestion des identités et des accès en toute sécurité

La gestion des identités et des accès (IAM) ne sert pas uniquement à gérer les autorisations des utilisateurs : c’est aussi le meilleur moyen d’avoir une vue d’ensemble du réseau cloud. Des configurations IAM trop permissives ouvrent grand la porte aux attaquants, qui peuvent alors accéder au plan de contrôle du cloud.

Des configurations IAM sécurisées doivent être au cœur de votre architecture de sécurité cloud. Évaluez-les en continu pour détecter les faiblesses et aidez les ingénieurs à utiliser les services IAM de manière sécurisée, selon le principe du moindre privilège. Un expert dédié à la sécurité cloud peut veiller à la bonne configuration et à la bonne gestion de l’IAM.

En complément, chaque utilisateur doit suivre une formation de sensibilisation à la sécurité, notamment à l’importance des mots de passe robustes et de l’authentification multifacteur (MFA).

10. Déterminez vos priorités et mesurez-les en continu

Les indicateurs sont indispensables pour vérifier l’efficacité de vos efforts de sécurisation d’AWS. Il est important de mesurer l’efficacité de vos programmes de sécurité cloud. Les équipes qui maîtrisent la sécurité AWS en font une pratique opérationnelle et mesurent rigoureusement ce qui compte.

Vous devez connaître l’état de votre posture de sécurité et pouvoir le démontrer à l’aide de chiffres concrets. Ces chiffres peuvent différer de ceux des modèles de déploiement traditionnels. Dans un modèle de déploiement CI/CD, un certain niveau de vulnérabilités est acceptable et attendu. Seule une approche de sécurité de bout en bout permet de distinguer les vulnérabilités critiques des non critiques et de hiérarchiser les priorités. Pour démontrer vos progrès, mesurez non seulement la réduction des risques, mais aussi l’amélioration de l’efficacité des développeurs et des équipes DevOps dans la correction des vulnérabilités.

Selon les priorités de votre organisation, vous pouvez suivre différents indicateurs : le délai de correction, le pourcentage de vulnérabilités ouvertes de gravité élevée, le nombre de vulnérabilités dont le risque a été accepté et le pourcentage de vulnérabilités de faible gravité. Aucun indicateur ne suffit à lui seul : l’objectif est de progresser constamment et en continu.