Fondamentaux de la sécurité cloud, partie 1 : connaître votre environnement

140 000 numéros de sécurité sociale et environ 80 000 numéros de comptes bancaires : voilà ce qu’un pirate a dérobé à un grand établissement financier en 2019. Comment s’y est-il pris ? Il a utilisé des identifiants de pare-feu pour élever ses privilèges et pirater des instances cloud Amazon insuffisamment sécurisées.

Après qu’une personne a alerté l’établissement financier par le biais de son programme de divulgation responsable, l’entreprise a réagi rapidement : elle a trouvé la source de la mauvaise configuration et corrigé la vulnérabilité à l’origine du vol de données.

Cette fuite de données montre ce qui peut arriver lorsqu’une organisation ne connaît pas pleinement son environnement et comment cette méconnaissance peut être exploitée. L’organisation n’a découvert la fuite qu’après que la pirate s’en est vantée en ligne et qu’une personne l’en a informée. Voilà pourquoi des mécanismes comme la détection des intrusions sont moins utiles dans le cloud, et pourquoi la prévention et une conception sécurisée (qui commence par la connaissance de votre environnement) sont essentielles. La sécurité cloud commence par une connaissance approfondie de votre environnement, tout en empêchant les pirates d’en découvrir les détails.

Comment connaître votre environnement

Connaître votre environnement est une idée facile à comprendre, mais difficile à mettre en œuvre. Pour de nombreux responsables de la sécurité cloud, le modèle mental de la sécurité repose encore sur un serveur distinct du monde extérieur : une boîte fermée que l’on peut protéger des menaces en détectant et en stoppant les attaques en cours.

Mais le cloud a bouleversé nos idées reçues. Même 16 ans après le lancement d’AWS, nous devons encore remettre en question l’idée selon laquelle les environnements cloud sont faciles à connaître. Dans cet article, nous présentons cinq façons d’assurer la visibilité à tous les niveaux, du cœur de votre environnement cloud jusqu’à ses limites extérieures.

1. Cartographier le cycle de vie du développement logiciel (SDLC) dans le cloud

L’étape la plus importante pour connaître votre environnement consiste à cartographier votre SDLC avec le plus de détails possible. Dans un environnement axé sur le cloud, cela signifie cartographier comment, quand et où votre équipe et vos outils interagissent avec l’environnement cloud en cours d’exécution.

Concentrez-vous notamment sur la cartographie de vos dépôts de code, de vos outils d’infrastructure as code et de vos pipelines CI/CD. Un SDLC sécurisé prend en compte chaque étape, de la conception au déploiement en passant par le développement, ainsi que toutes les étapes intermédiaires, tous les processus et tous les outils.

Mieux vous connaissez le SDLC de votre infrastructure cloud, plus vous pouvez y intégrer efficacement la sécurité.

2. Recueillir les attributs de configuration de vos ressources

Les erreurs de configuration sont particulièrement risquées, car vous avez peu de temps pour les corriger. Quelques minutes après le déploiement d’une ressource accessible depuis Internet dans votre environnement, des pirates potentiels l’auront probablement déjà analysée à l’aide d’outils automatisés pour repérer les mauvaises configurations et autres vulnérabilités à exploiter. Les attaques visant à compromettre le plan de contrôle peuvent être exécutées en quelques minutes. Le délai moyen de correction (MTTR) des ressources cloud critiques pour la sécurité doit donc être inférieur à une heure.

Heureusement, les fournisseurs cloud mettent à la disposition de leurs clients des API permettant de recueillir les attributs de configuration de toutes les ressources exécutées dans un environnement. Mais connaître votre environnement ne consiste pas seulement à utiliser ces API : il faut aussi exprimer les informations recueillies dans un format qui peut être interrogé par une automatisation fondée sur des politiques sous forme de code. Les équipes peuvent ainsi évaluer leur sécurité dans le contexte complet de leur environnement.

3. Associer les ressources cloud aux applications

Les environnements cloud d’entreprise peuvent compter des centaines de milliers de ressources cloud de types très variés. Il devient alors difficile de savoir où se trouve chaque ressource et comment elle est utilisée. Pour mieux connaître votre environnement, associez vos ressources cloud à vos applications. Vous pourrez ainsi repérer plus précisément les composants vulnérables susceptibles de mettre en danger les applications associées, et inversement.

Cette étape est importante, car les vulnérabilités des applications peuvent permettre de compromettre votre plan de contrôle. Comme nous l’avons déjà expliqué, le plan de contrôle cloud est un réseau d’API que les fournisseurs cloud proposent aux développeurs pour configurer et gérer leurs environnements cloud. Lorsqu’un plan de contrôle est compromis, généralement au moyen de clés d’API, les pirates peuvent accéder au plan de contrôle du fournisseur cloud et en apprendre davantage sur l’environnement. Ils peuvent alors se déplacer latéralement et accéder à des niveaux plus profonds du système.

Si un pirate compromet votre plan de contrôle, il dispose de nombreux moyens pour modifier vos paramètres d’accès et de configuration. Il peut ensuite exploiter votre stockage cloud ou vos conteneurs et prendre le contrôle de ressources et de données critiques.

4. Repérer les vulnérabilités exploitables lors de l’intrusion initiale

Connaître votre environnement, c’est le voir non seulement de votre point de vue, mais aussi de celui d’un pirate potentiel. Sinon, vous risquez de ressembler à un propriétaire qui verrouille sa porte d’entrée avec plusieurs verrous, mais laisse la fenêtre de la cave entrouverte.

Commencez par examiner votre environnement de l’extérieur vers l’intérieur. Évaluez les ressources pour déterminer lesquelles pourraient le plus facilement servir de point d’entrée initial. Vous pouvez même simuler une attaque pour voir, par exemple, comment une intrusion pourrait mener à la compromission du plan de contrôle. Vous pourriez aussi constituer une équipe rouge, ou en engager une : un groupe de personnes autorisées à simuler une attaque contre vos systèmes.

5. Cartographier les chemins d’attaque potentiels

Ensuite, procédez de l’intérieur vers l’extérieur. Repérez vos espaces de stockage de données les plus sensibles, puis remontez le fil. Quels chemins d’attaque sont les plus susceptibles de permettre aux pirates d’y accéder ? Quels points d’entrée sont les plus vulnérables et les plus susceptibles d’ouvrir ces chemins ?

N’oubliez pas que les pirates chevronnés ne se déplacent pas forcément de façon linéaire. Une petite erreur, par exemple dans vos paramètres de configuration, pourrait leur permettre de se déplacer latéralement et d’élargir progressivement leurs accès. Pour vraiment connaître votre environnement, vous devez repérer les chemins que les pirates pourraient emprunter, aussi détournés soient-ils.

Veillez notamment à renouveler régulièrement vos clés d’API et à surveiller les paramètres de gestion des identités et des accès (IAM) ainsi que les politiques d’accès aux ressources, qui peuvent être trop permissives. Plus vos paramètres et vos politiques sont permissifs, plus un pirate risque de les exploiter.

Connaissez-vous vous-même : c’est le préalable à toute sécurité

Une connaissance approfondie de votre environnement est indispensable à la sécurité cloud, tout comme le fait d’empêcher vos adversaires de la découvrir. Un nouvel outil sophistiqué ou un consultant très bien rémunéré peut vous promettre la sécurité, mais aucun ne pourra répondre à vos besoins si vous n’avez pas d’abord acquis cette connaissance et cette visibilité.

La connaissance et la visibilité ne s’obtiennent toutefois pas par la simple observation. Suivez les cinq étapes ci-dessus pour intégrer délibérément et méthodiquement la visibilité à vos systèmes cloud.