8 bonnes pratiques pour renforcer la sécurité AWS
18 octobre 2022
0 minutes de lectureGérer la sécurité dans AWS n’est pas une mince affaire. Avec les offres d’infrastructure en tant que service (IaaS), de plateforme en tant que service (PaaS) et de logiciel en tant que service (SaaS), les organisations qui utilisent AWS peuvent disposer d’un large éventail d’applications et de services cloud — parfois en très grand nombre — qu’il faut configurer et sécuriser.
Pour compliquer encore les choses, ces ressources peuvent fonctionner dans un environnement multicloud ou hybride, aux côtés d’autres plateformes sur site et dans le cloud, avec lesquelles elles doivent s’intégrer et échanger des données de manière sécurisée.
Gérer la sécurité dans AWS n’est toutefois pas difficile, à condition de mettre en place des politiques, des normes et des pratiques (internes comme externes), puis de les appliquer et de les faire respecter de manière cohérente. Cela suppose notamment de promouvoir, dans toute votre organisation informatique, une compréhension approfondie du modèle de responsabilité partagée d’AWS et des bonnes pratiques reconnues par le secteur.
Dans cet article, nous expliquerons la répartition des responsabilités dans le modèle de responsabilité partagée d’AWS, passerons en revue les éléments essentiels d’une stratégie de cybersécurité AWS et présenterons les huit meilleures pratiques pour protéger vos données, votre code et vos charges de travail dans le cloud.
Comprendre le modèle de responsabilité partagée d’AWS
Il n’est pas rare que des entreprises supposent que, puisque leur fournisseur cloud héberge leur environnement, il assure également une sécurité complète. Les équipes de sécurité, quelle que soit leur taille, doivent impérativement se familiariser avec le modèle de responsabilité partagée d’AWS. Celui-ci précise qu’AWS est responsable de la sécurité de l’infrastructure, tandis que le client est responsable de la sécurité de tout ce qui s’y trouve.
Qu’est-ce que cela signifie concrètement ? Votre organisation est responsable de la configuration de ses compartiments S3, de la gestion des accès, de la protection du trafic réseau et de la sécurisation de son code tout au long du cycle de développement. Même si AWS sécurise l’infrastructure, beaucoup de choses peuvent mal tourner si vous ne prenez pas de mesures proactives pour configurer de façon sécurisée tout ce que vous développez.
Alors, comment procéder ? Commencez par élaborer une stratégie de sécurité cloud AWS.
Élaborer une stratégie de sécurité AWS
Votre organisation a probablement déjà une stratégie de sécurité globale (si ce n’est pas le cas, voici un guide étape par étape de TechTarget). Si toute votre infrastructure repose sur AWS, votre stratégie tient sans doute compte de toutes les spécificités d’AWS. En revanche, si vous avez adopté AWS récemment, effectué une migration ou évoluez dans un environnement hybride ou multicloud, vous devrez intégrer les bonnes pratiques de sécurité AWS à votre stratégie.
La sécurité cloud — et plus particulièrement la sécurité cloud AWS — est un domaine à part. La force du cloud, c’est son élasticité et son évolutivité : vous pouvez créer et supprimer des ressources et les assembler comme vous le souhaitez. En contrepartie, la sécurité est bien plus complexe que pour les systèmes sur site. Une stratégie de cybersécurité traditionnelle ne protégera pas correctement vos ressources AWS. Prenez donc le temps et les moyens d’élaborer une stratégie adaptée aux innombrables usages possibles du cloud.
Votre stratégie doit notamment comprendre les éléments suivants :
Une visibilité sur l’ensemble de vos environnements cloud
Des politiques et procédures Zero Trust
Des outils et plateformes de sécurité cloud native
Des stratégies DevSecOps qui intègrent la sécurité aux workflows de développement
Des correctifs et mises à jour réguliers pour toutes les technologies
L’automatisation de la sécurité et du cloud dès que possible
Un état d’esprit « considérer qu’une compromission a eu lieu »
Une fois votre stratégie définie, il est temps de la mettre en œuvre en appliquant les bonnes pratiques de sécurité AWS. Cette liste n’est certainement pas exhaustive, mais voici les huit pratiques que nous avons jugées les plus utiles pour les entreprises qui utilisent le cloud.
1. Mettre en œuvre et faire respecter les contrôles de sécurité cloud
Les contrôles de sécurité les plus fondamentaux et les plus importants à mettre en place dans vos environnements AWS sont les contrôles d’accès. Accorder un accès cloud selon le principe du moindre privilège aux personnes de votre organisation qui en ont besoin, et limiter ou supprimer l’accès des autres — en particulier des personnes extérieures à votre organisation — est essentiel à une bonne gestion des identités et des accès (IAM).
Pour cela, vous pouvez notamment :
Exiger l’authentification multifacteur (MFA)
Activer l’authentification unique (SSO)
Créer des utilisateurs IAM au lieu de partager les identifiants de l’utilisateur racine du compte AWS
Exiger des mots de passe robustes d’au moins 14 caractères, composés de lettres majuscules et minuscules, de chiffres et de symboles
Veillez également à vérifier régulièrement les privilèges d’accès afin de confirmer que personne ne dispose de droits excessifs ni de droits insuffisants.
2. Planifier la réponse aux menaces et aux incidents
« Partir du principe qu’une compromission a eu lieu » est le cri de ralliement des professionnels de la cybersécurité depuis plus de dix ans (et, malheureusement, il s’est récemment révélé très concret). Dans un article récent de Forbes, l’auteur Yaki Faitelson explique que « n’importe quel système, compte ou personne peut devenir un vecteur d’attaque à tout moment. Face à une surface d’attaque aussi vaste, vous devez partir du principe que les attaquants compromettront au moins un vecteur — s’ils ne l’ont pas déjà fait. »
Cela montre à quel point il est urgent de créer un plan complet de réponse aux incidents. Un plan solide réduira les dommages collatéraux — ou le « rayon d’impact », comme l’appelle Faitelson — d’une cyberattaque. Idéalement, il faudrait éviter toute compromission. Mais un plan complet de réponse aux incidents indiquera précisément où et quand une compromission risque de se produire, comment la détecter le plus rapidement possible, quelles mesures prendre pour la contenir et comment votre organisation se rétablira. Consultez notre article sur les risques de sécurité AWS pour découvrir les problèmes auxquels vous devez vous préparer.
3. Détection, surveillance et alertes
Les menaces prenant de nombreuses formes, mettre en place des processus et des solutions efficaces de détection, de surveillance et d’alerte est essentiel à la sécurité des applications AWS. AWS propose plusieurs outils pour vous aider à élaborer votre stratégie, notamment :
Amazon GuardDuty - Service géré de détection des menaces qui surveille vos charges de travail afin de repérer toute activité inhabituelle susceptible d’être malveillante.
Amazon Macie - Offre des fonctionnalités optimisées par l’IA pour découvrir, catégoriser et protéger les données sensibles repérées dans vos environnements, et vous alerte en cas de suspicion d’accès non autorisé.
AWS Config Rules - Cet outil évalue la configuration d’une ressource par rapport aux règles que vous avez prédéfinies afin de repérer d’éventuels problèmes de conformité.
Amazon CloudWatch - Service de surveillance des ressources AWS et des applications que vous exécutez sur AWS.
AWS Security Hub - Offre une vue d’ensemble de votre environnement et hiérarchise toutes vos alertes de sécurité provenant de services AWS tels qu’Amazon GuardDuty, Amazon Inspector et Amazon Macie, ainsi que d’autres solutions tierces.
4. Protéger vos données grâce au chiffrement
Les organismes de réglementation exigent le chiffrement dans de nombreuses situations, mais celui-ci ajoute également une couche de protection à vos données au repos. Si vos contrôles d’accès échouent, le chiffrement protège vos données contre toute personne qui les aurait obtenues, quels que soient ses motifs.
AWS propose le chiffrement pour presque tous ses services et offre également une gestion flexible des clés : vous pouvez choisir de laisser AWS gérer vos clés ou d’en garder le contrôle total. Dans tous les cas, vous devez concevoir ou adopter un système de gestion du chiffrement et des clés qui garantit que les données chiffrées et les clés de déchiffrement sont stockées séparément et protégées par des protocoles rigoureux.
5. Sauvegarder vos données
Lorsqu’un acteur malveillant compromet un système, son objectif peut être de supprimer ou de voler des données, voire de faire planter le système. Quel que soit le résultat, sauvegarder vos données est essentiel pour pouvoir restaurer les informations qui pourraient être perdues.
AWS Backup est la solution la plus simple pour conserver vos données en sécurité et pouvoir les restaurer. Le service est disponible dans l’offre gratuite Amazon EC2 et prend également en charge de nombreux autres services, notamment les compartiments S3, les volumes EBS et les tables DynamoDB. Depuis la console, vous pouvez facilement automatiser vos sauvegardes, créer des politiques et des exigences de sauvegarde, puis appliquer ces politiques à d’autres ressources AWS grâce au système de balisage.
6. Maintenir AWS à jour
Il va de soi que l’application de correctifs et de mises à jour est essentielle à la sécurité de vos environnements cloud. Pourtant, certains responsables informatiques la repoussent ou la relèguent au second plan face à des priorités plus urgentes. Ne laissez pas cela se produire dans votre organisation.
Vous devez appliquer les correctifs à vos serveurs AWS, même s’ils ne sont pas accessibles au public. Une infrastructure obsolète ouvre la porte aux pirates. Vous ne voulez pas qu’un simple correctif de sécurité oublié fasse la différence entre une journée de cybersécurité sans histoire et une compromission. Si vous manquez de temps, utilisez AWS Patch Manager pour automatiser l’application des correctifs sur vos systèmes d’exploitation et vos applications, ou faites appel à un fournisseur de services. Cette bonne pratique élémentaire doit être incontournable.
7. Planifier la conformité réglementaire
Dans les secteurs soumis à une réglementation stricte, comme la santé, les services financiers et les administrations publiques, vous devez respecter les lois sur la confidentialité et la sécurité concernant les informations personnelles identifiables (PII), les données financières et la protection des données.
AWS prend en charge des normes de sécurité et de conformité comme HIPAA/HITECH, FedRAMP, le RGPD et FIPS 140-2. Bien entendu, conformément au modèle de responsabilité partagée, il vous revient de veiller à ce que vos données, vos charges de travail cloud et la configuration de votre infrastructure respectent les directives des organismes de réglementation afin de garantir votre conformité cloud.
8. Étendre la sécurité à l’ensemble de votre workflow de développement
Une stratégie de sécurité AWS est incomplète si elle ne concerne que votre infrastructure cloud. Il est tout aussi important d’élaborer une stratégie couvrant toutes les étapes du développement, de la programmation de l’infrastructure au code des applications, jusqu’à l’exécution.
L’infrastructure en tant que code et les solutions d’analyse du code comme Snyk intègrent efficacement la sécurité à vos workflows de développement AWS. Avec l’analyse AWS de Snyk, vous pouvez détecter les failles et les erreurs de sécurité pendant que vos développeurs écrivent du code, et ainsi repérer et résoudre les problèmes avant que vos applications n’atteignent la production.
Commencez par mettre en œuvre une solution de sécurité cloud native
À mesure que les infrastructures sur site disparaissent, la sécurité cloud native jouera un rôle central dans les organisations modernes. Dans notre rapport sur la sécurité des applications cloud native (CNAS), 99 % des personnes interrogées reconnaissent que la sécurité fait partie de leur stratégie cloud native.
La NSA considère les erreurs de configuration comme un autre enjeu important de la sécurité cloud native : - « Si les fournisseurs de services cloud proposent souvent des outils pour faciliter la gestion des configurations cloud, les erreurs de configuration des ressources cloud restent la vulnérabilité la plus répandue. » Plus de 56 % des répondants à notre rapport CNAS de Snyk ont connu une erreur de configuration ou un incident lié à une vulnérabilité connue non corrigée dans leurs applications cloud natives, notamment sur AWS. Utiliser une solution de sécurité IaC comme Snyk IaC pour détecter les erreurs de configuration avant leur mise en production peut donc ajouter une couche de protection.
Pour relever efficacement les défis de la sécurité cloud actuels, vous devez adopter des solutions de sécurité cloud native. Vous intégrez ainsi la sécurité dès le début du développement et jusqu’à la mise en production, tout en bénéficiant de plusieurs couches de protection et d’une surveillance continue des nouvelles vulnérabilités.
Les organisations font aujourd’hui face à des défis de cybersécurité plus importants que jamais. En élaborant une stratégie de sécurité AWS solide, en mettant en œuvre une solution de sécurité cloud native et en appliquant les huit bonnes pratiques présentées dans cet article, vous vous donnez les moyens de protéger vos applications et votre organisation contre toutes sortes de menaces.
Pour en savoir plus sur les bonnes pratiques de sécurité AWS et sur l’utilisation des outils de sécurité AWS, cliquez ici.
