Les menaces les plus courantes pour la sécurité du cloud et comment les éviter

Dans sa huitième enquête annuelle « State of the Cloud », consacrée aux dernières tendances en matière de cloud computing, RightScale a constaté que 91 % des personnes interrogées disposaient de charges de travail dans le cloud public. De plus, le recours au cloud public constitue une priorité absolue pour 31 % des entreprises interrogées. Ces chiffres témoignent d’une confiance croissante dans le cloud computing.

Traditionnellement, les préoccupations générales en matière de cybersécurité, ainsi que les problèmes de perte et de fuite de données, ont constitué des obstacles à l'adoption de solutions hébergées dans le nuage. L'augmentation du nombre de charges de travail transférées vers le cloud indique que les entreprises surmontent leur peur des menaces de sécurité liées au cloud - suffisamment, au moins, pour permettre à certaines de leurs données et applications de résider dans le cloud.

Néanmoins, les menaces de sécurité et autres risques liés au cloud computing existent toujours, et les entreprises doivent prendre des mesures pour les éviter (ou au moins les atténuer). Dans cet article de blog, nous passerons en revue certaines des menaces de sécurité les plus courantes et ce que les entreprises peuvent faire pour les éviter.

Qui est responsable de la sécurité du cloud ?

Pour comprendre le risque que représentent les menaces à la sécurité du cloud, il est important de délimiter les responsabilités en matière de sécurisation des différents aspects du cloud computing. La répartition des responsabilités entre le fournisseur de cloud public et l'organisation du client varie considérablement en fonction du modèle informatique : SaaS, PaaS ou IaaS. À cette fin, examinons brièvement les différences entre les modèles d'informatique en nuage...

Infrastructure-as-a-Service (IaaS) Cloud Computing

Dans le modèle Infrastructure-as-a-Service (IaaS), le fournisseur de services en nuage accepte de gérer et de sécuriser les installations, les centres de données, les interfaces réseau, le traitement et les hyperviseurs. Le client doit gérer et sécuriser le réseau virtuel, les machines virtuelles, les systèmes d'exploitation, les logiciels intermédiaires, les applications, les interfaces et les données.

Plate-forme en tant que service (PaaS) Cloud Computing

Cette répartition des responsabilités change quelque peu pour le modèle PaaS (Platform-as-a-Service). Le fournisseur de cloud a les mêmes obligations que le fournisseur IaaS, mais il ajoute la responsabilité du réseau virtuel, des machines virtuelles, des systèmes d'exploitation et du middleware. L'organisation du client reste responsable de la sécurisation et de la gestion des applications, des interfaces et des données.

Software-as-a-Service (SaaS) Cloud Computing (informatique dématérialisée)

Avec le Software-as-a-Service (SaaS), le fournisseur de cloud est responsable de la sécurité de tout, de l'infrastructure à l'application. L'organisation cliente doit assurer la sécurité de ses données ainsi que l'accès à l'application.

En fin de compte, cependant, le fournisseur de services en nuage et l'entreprise cliente doivent travailler dans le cadre d'un modèle de responsabilité partagée avec l'objectif ultime de garder les données de l'entreprise sûres et sécurisées. Cela dit, examinons quelques-unes des principales menaces à la sécurité du cloud auxquelles les entreprises sont confrontées aujourd'hui et ce qui peut être fait pour atténuer le risque de ces menaces.

Mauvaises configurations du matériel et/ou du logiciel de l'informatique en nuage

La gestion de la configuration peut s'avérer difficile lors du déploiement de services et d'infrastructures dans le nuage, et la mauvaise configuration d'un composant ou d'une fonction critique peut introduire de graves vulnérabilités en matière de sécurité du nuage. Le responsable des programmes de sécurité mondiaux d'Amazon Web Services a déclaré un jour que sa plus grande source d'inquiétude était que les applications des clients n'étaient pas correctement configurées pour la sécurité.

Dans le cadre du modèle de responsabilité partagée d'AWS, les clients doivent sécuriser les systèmes d'exploitation invités qu'ils exécutent sur AWS, jusqu'aux applications qu'ils exécutent. Cela laisse beaucoup de place aux erreurs de configuration dans le nuage.

Le rapport 2019 de McAfee sur l'adoption du cloud et les risques qui y sont associés confirme qu'il s'agit d'un problème majeur. Selon ce rapport, « les grandes entreprises comptent en moyenne 14 instances IaaS/PaaS mal configurées fonctionnant simultanément, ce qui entraîne en moyenne 2 269 incidents individuels liés à une mauvaise configuration par mois ».

Par exemple, McAfee signale que 5,5 % des buckets AWS S3 (stockage) ont des "autorisations de lecture mondiale", ce qui les rend accessibles au public. L'entreprise de sécurité Symantec déclare qu'elle a également observé des autorisations d'accès mal configurées qui permettaient à n'importe qui d'accéder à des informations sensibles stockées dans le nuage.

Le rapport Cloud Adoption and Risk de McAfee cite un certain nombre d'erreurs de configuration courantes, notamment :

• L'encryptage du seau S3 n'est pas activé
• L'accès sortant est illimité.
• Les journaux de flux VPC sont désactivés
• L'authentification multi-facteurs n'est pas activée pour les utilisateurs IAM
• Le cryptage des données EBS n'est pas activé
• L'accès aux ressources n'est pas provisionné à l'aide des rôles IAM
• Le port du groupe de sécurité EC2 est mal configuré
• L'accès entrant du groupe de sécurité EC2 est mal configuré
• AMI non chiffrée découverte
• Découverte de groupes de sécurité inutilisés

Éviter ces erreurs et d'autres erreurs de configuration du cloud revient souvent à s'occuper des éléments de base :

• Se familiariser avec les contrôles de sécurité disponibles et les configurations et comportements par défaut de chaque composant du système.
• Veillez à ce que le cryptage des données soit activé lorsqu'il est disponible.
• Renforcer l'authentification multi-facteurs pour effectuer des actions majeures.
• Utiliser l'accès au moindre privilège sur tous les systèmes.
• Modifiez les informations d'identification et les paramètres de configuration par défaut pour répondre à vos besoins.
• Mettre en place des politiques et des pratiques de contrôle du changement.
• Réalisez des audits de sécurité et des revues de configuration pour vous assurer que votre environnement ne souffre d'aucune erreur de configuration susceptible d'introduire des risques de sécurité.
• Assurez-vous que les journaux sont activés et qu'ils capturent des informations qui peuvent être analysées pour détecter des menaces à la sécurité.
• Adoptez l'automatisation et utilisez des technologies qui recherchent en permanence les ressources mal configurées et remédient aux problèmes en temps réel.

Gestion des identités et des accès (IAM)

Dans le nuage, les problèmes liés à la gestion des identités et des accès représentent un risque très élevé et peuvent inclure des accès non autorisés, des identifiants volés, l'utilisation abusive d'identifiants par des initiés, et bien plus encore.

Selon le rapport Cloud Adoption and Risk de McAfee, "en moyenne, les entreprises subissent chaque mois 12,2 incidents au cours desquels un tiers non autorisé exploite des identifiants de compte volés pour accéder à des données d'entreprise stockées dans un service en nuage. Ces incidents touchent 80,3 % des entreprises au moins une fois par mois. En outre, 92 % des entreprises ont des informations d'identification en nuage à vendre sur le Dark Web."

Symantec résume la gravité de la compromission des identifiants d'accès au cloud : "Les attaquants peuvent vendre des identifiants d'accès au cloud volés sur des forums clandestins pour 7 à 8 dollars l'unité. Dans la plupart des cas, les attaquants utilisent les comptes volés pour héberger leurs propres serveurs de commande et de contrôle (C&C) ou des sites malveillants dans le nuage, dans l'espoir de profiter de la confiance que les utilisateurs peuvent avoir dans le domaine. Certains attaquants utilisent les ressources volées pour extraire des crypto-monnaies ou lancer des attaques par déni de service distribué (DDoS). Bien entendu, les informations d'identification fuitées ou volées peuvent également être utilisées pour accéder à l'infrastructure du client et extraire des données." C'est ce dernier résultat que les entreprises redoutent le plus.

Les acteurs malveillants qui se font passer pour des utilisateurs légitimes peuvent lire, modifier et supprimer des données. Les pirates peuvent également émettre des plans de contrôle et des fonctions de gestion, espionner les données en transit et diffuser des logiciels malveillants qui semblent provenir d'une source légitime. Les moyens les plus courants de voler les identifiants d'accès au nuage sont les courriels d'hameçonnage, le forçage brutal de mots de passe faciles à deviner ou les logiciels malveillants de vol d'informations.

Il existe un certain nombre de bonnes pratiques pour aider à prévenir les abus d'accès et d'informations d'identification dans le nuage, notamment :

• Automatiser la rotation des clés cryptographiques et des mots de passe
• Utiliser un système évolutif de gestion des identités et des habilitations
• Utiliser l'identification multifactorielle
• Utiliser des mots de passe forts
• Limiter l'utilisation des comptes root et des comptes administrateurs
• Séparer et segmenter les comptes, les clouds privés virtuels (VPC) et les groupes d’identités en fonction des besoins de l’entreprise et du principe du moindre privilège
• Supprimer les informations d'identification et les privilèges inutilisés

Incapacité à protéger, inspecter et répondre efficacement aux menaces du Cloud

Comme le souligne le rapport de McAfee, les incidents de sécurité ne sont plus isolés des PC et des applications sur le réseau, principalement en raison de l'ampleur des données d'entreprise stockées dans le nuage aujourd'hui, ainsi que du nombre d'événements qui s'y déroulent. Cependant, de nombreuses organisations n'ont pas encore adapté leurs programmes de sécurité pour faire face aux cybermenaces dans le nuage.

Les outils traditionnels de sécurité des terminaux, tels que les plateformes Endpoint Detection & Response (EDR) et les logiciels antivirus de nouvelle génération (NGAV), ne sont pas optimisés pour la détection et la réponse dans le cloud. Beaucoup de ces types de solutions nécessitent un agent pour collecter les données, ce qui n'est pas toujours possible dans le cadre d'un déploiement dans le nuage. Néanmoins, il est essentiel que les équipes de sécurité et les personnes chargées de répondre aux incidents puissent découvrir, inventorier, inspecter, détecter et répondre aux incidents de sécurité sur les charges de travail AWS sans installer d'agents, déployer des conteneurs ou naviguer dans la console AWS.

Le modèle des responsabilités partagées entre en jeu ici. Votre fournisseur de services en nuage est responsable de la surveillance de l'infrastructure et des services fournis à votre entreprise, mais il n'est pas responsable de la surveillance des systèmes et des applications que votre entreprise crée en utilisant les services fournis, ni des données que vous placez dans le nuage. Le fournisseur de services en nuage peut fournir à votre entreprise des informations de contrôle relatives à votre utilisation des services en nuage. Ces informations doivent être utilisées pour compléter les données provenant de vos propres outils de surveillance.

Pour vos actifs, applications et infrastructures dans le nuage, vous avez besoin d'un outil capable d'exposer de manière proactive, d'enquêter et de vous aider à éliminer les menaces et les vulnérabilités résidant dans votre environnement dans le nuage. Et, si vous avez un déploiement de cloud hybride, choisissez un outil qui peut détecter et répondre à la fois dans vos environnements sur site et dans le cloud.

Si vous utilisez vos applications cloud depuis un certain temps et que vous n’êtes pas sûr de votre niveau de sécurité dans le cloud, contactez-nous pour planifier un audit de sécurité cloud sans agent afin de mettre au jour les menaces inconnues, les vulnérabilités et autres risques présents dans vos environnements cloud. Savoir ce qui se cache — ou ne se cache pas — dans votre cloud est la première étape pour éliminer les risques.