Présentation de la gestion de la posture de sécurité dans le cloud

Pourquoi la gestion de la posture de sécurité dans le cloud (CSPM) est-elle si importante ?

Lors de leur migration vers le cloud, de nombreuses entreprises partent du principe que leur fournisseur, qu’il s’agisse d’Amazon Web Services (AWS), Google Cloud, Microsoft Azure ou d’un autre, assume la pleine responsabilité de la sécurité du cloud. Pourtant, toutes les violations du cloud dont nous avons connaissance résultent d’une erreur de configuration du cloud dont le client, et non son fournisseur, est responsable.

Avec la CSPM, les organisations peuvent repérer et atténuer les risques de sécurité et de conformité par le biais de contrôles automatisés. Les utilisateurs du cloud sont en mesure de détecter les erreurs de configuration pouvant aboutir à des violations de données. Plus de la moitié des personnes ayant répondu à notre enquête sur l’état de la sécurité des applications natives du cloud affirment avoir été victimes d’un incident lié à une erreur de configuration ou une vulnérabilité connue. Ce chiffre montre bien que le déploiement d’une solution de CSPM est essentiel pour assurer une sécurité du cloud exhaustive.

D’où proviennent les erreurs de configuration de la sécurité du cloud ?

Une erreur de configuration du cloud correspond à l’absence de contrôles appropriés pour les applications, les conteneurs, l’infrastructure et les autres composants logiciels. Ces erreurs de configuration se produisent généralement lorsque les organisations ne disposent pas d’une visibilité totale sur leur infrastructure et les interactions entre les conteneurs, Kubernetes et les services cloud. Dans certains cas, les organisations conservent les paramètres de sécurité et identifiants par défaut, qui ne sont pas toujours suffisamment sécurisés.

Modèle de responsabilité partagée

Comme nous l’avons vu, les fournisseurs cloud ne sont pas les seuls responsables de la sécurité. Cette responsabilité est en réalité partagée entre le fournisseur et l’organisation utilisatrice des services cloud publics.

Ce modèle de responsabilité partagée dépend du type d’infrastructure utilisé par l’organisation. En effet, elle sera entièrement responsable de la sécurité d’une infrastructure sur site, mais un peu moins d’une infrastructure cloud :

• Infrastructure en tant que service (IaaS) : le fournisseur cloud gère le matériel physique, l’infrastructure, le réseau et le stockage.

• Plateforme en tant que service (PaaS) : en plus de l’infrastructure, le fournisseur cloud gère le système d’exploitation, l’environnement et tout ce qui est nécessaire à l’exécution des applications.

• Logiciel en tant que service (SaaS) : le fournisseur cloud gère l’infrastructure, la plateforme et le logiciel à proprement parler.

Même si le fournisseur cloud porte une responsabilité plus importante avec le SaaS qu’avec l’IaaS, il revient toujours à l’organisation de sécuriser les interactions des utilisateurs avec le cloud par le biais de configurations adéquates.

Utilisations possibles de la CSPM

Une solution de CSPM est un outil cybersécurité aux nombreux cas d’utilisation. Elle se montre notamment utile pour la détection de menaces, la réponse aux incidents, la conformité et la sécurisation de l’infrastructure.

Détection des menaces

Une solution de CSPM est en mesure de détecter de manière proactive les menaces sur de nombreux environnements cloud. La détection continue des menaces permet aux organisations de réunir dans une même vue les erreurs de configuration et activités suspectes. Elles peuvent ainsi évaluer l’exposition au risque et la minimiser.

Réponse aux incidents

Autre fonction clé d’une solution de CSPM : mettre au jour les indices d’une compromission, par exemple la modification des rôles IAM assumés par un attaquant ou la désactivation du chiffrement, et générer des alertes en cas de détection d’une erreur de configuration ouvrant une faille. Ces fonctions de réponse aux incidents permettent aux organisations de réunir rapidement et efficacement toutes les menaces dans une même vue et de les traiter.

Conformité

Les solutions de CSPM peuvent aussi fournir une surveillance continue de la conformité et générer des rapports en lien avec les réglementations HIPAA, SOC2 et autres. Les organisations peuvent ainsi éviter les violations de conformité lors de l’utilisation de services cloud publics et appliquer leurs politiques de sécurité internes.

Sécurisation de l’infrastructure

Une solution de CSPM peut aussi détecter les erreurs des fichiers de configuration. Les organisations peuvent ainsi mieux comprendre comment les divers services cloud interagissent et éviter de déployer des applications dans des environnements cloud non sécurisés.

CSPM et DevSecOps

L’infrastructure en tant que code (IaC) est de plus en plus utilisée pour créer et gérer des infrastructures cloud. Conséquence directe, les développeurs endossent une responsabilité toujours plus importante vis-à-vis des environnements cloud. Logiquement, la responsabilité de la sécurité du cloud et de l’infrastructure doit donc être partagée entre les équipes de développement, DevOps et de sécurité.

Cette approche DevSecOps intègre la sécurité dans l’ensemble du cycle du développement logiciel, et notamment dans les déploiements IaC automatisés. L’infrastructure cloud est mise en service et gérée à l’aide de fichiers de configuration, par conséquent les déploiements IaC courent un risque élevé d’erreur de configuration. Une solution de CSPM peut surveiller des déploiements IaC afin de détecter les configurations vulnérables et aider les équipes de développement à corriger ces problèmes de sécurité.

La politique en tant que code (PaC) est un autre outil pouvant être utilisé en conjonction avec une solution de CSPM dans le cadre d’une approche DevSecOps. La PaC est conçue pour vérifier le reste du code et les environnements d’exécution afin de s’assurer de l’absence de conditions indésirables ou de configurations non sécurisées. Elle peut permettre d’automatiser la sécurité et donner à l’ensemble des parties prenantes du cloud la possibilité de travailler en toute sécurité, sans ambiguïté ou désaccord concernant les règles et leurs applications, et quel que soit le stade du cycle du développement logiciel.

Les solutions de CSPM peuvent être utilisées avec une plateforme de sécurité des applications cloud natives pour améliorer la sécurité des applications à proprement parler, mais aussi des environnements cloud sur lesquels elles s’exécutent. Avec l’acquisition récente de Fugue par Snyk, les organisations pourront obtenir davantage de contexte sur l’impact des erreurs de configuration du cloud, ce qui permettra aux équipes de développement de les corriger plus facilement. La posture de sécurité des applications cloud natives en sera renforcée.

FAQ

Pourquoi avons-nous besoin d’une solution de CSPM ?

La plupart des organisations ont mis en place des processus de sécurité du cloud afin de détecter les violations intentionnelles liées aux attaquants internes et externes, mais certains risques de sécurité surviennent involontairement. Les erreurs de configuration du cloud, comme l’utilisation des paramètres par défaut ou de contrôles d’accès inappropriés, exposent en effet les organisations à des risques. La gestion de la posture de sécurité dans le cloud (CSPM) détecte automatiquement les erreurs de configuration dans l’infrastructure cloud, des conteneurs à Kubernetes, en passant par les environnements multicloud.

Quelle est la différence entre une solution de CSPM et un CASB ?

Un cloud access security broker (CASB) applique les politiques de sécurité lorsque les organisations utilisent des ressources cloud. Cette solution joue le rôle de pare-feu en s’assurant que les utilisateurs interagissent avec le cloud de manière conforme aux politiques de l’entreprise. A contrario, une solution de gestion de la posture de sécurité dans le cloud (CSPM) s’assure que les ressources cloud sont configurées correctement en détectant automatiquement les erreurs de configuration potentielles.

Quelle est la différence entre une solution de CSPM et une CWPP ?

Une plateforme de protection des déploiements cloud (CWPP) est une solution de sécurité qui protège les charges de travail au sein des centres de données traditionnels, ainsi que dans les environnements de cloud privés et publics. Une solution de gestion de la posture de sécurité dans le cloud (CSPM) est axée sur les environnements cloud, alors que la CWPP protège avant tout les charges de travail, où qu’elles soient déployées. Dans les deux cas, il s’agit néanmoins d’outils de cybersécurité visant à protéger les données sensibles hébergées dans le cloud.