L'architecture de sécurité du cloud est le terme générique utilisé pour décrire l'ensemble du matériel, des logiciels et de l'infrastructure qui protègent l'environnement cloud et ses composants, tels que les données, les workloads, les conteneurs, les machines virtuelles et les API.

L'architecture de sécurité du cloud fournit la documentation sur la façon dont l'entreprise met en œuvre les tâches suivantes :

• Définition des principes, des règles, des procédures et de la gouvernance en matière de sécurité pour tous les services et applications cloud, du développement à l'exécution
• Configuration correcte des activités et opérations effectuées dans le cloud pour une sécurité optimale
• Définition des droits de gestion des identités et des accès (IAM) pour tous les utilisateurs du cloud
• Sécurisation des données, applications et autres ressources
• Description des procédures de mise à jour et d'application des correctifs, ainsi que des rôles et responsabilités
• Maintien de la conformité avec les réglementations sectorielles et gouvernementales pertinentes
• Intégration des pratiques, outils et technologies de sécurité du cloud à l'architecture et à la stratégie de sécurité plus larges de l'entreprise

L'architecture de sécurité du cloud est un composant essentiel de toute stratégie de sécurité du cloud, laquelle assure la protection de tous les éléments d'un environnement cloud, y compris l'infrastructure cloud, les données cloud et les applications cloud.

Pourquoi l'architecture de sécurité du cloud est-elle importante ?

De nombreuses entreprises qui migrent vers le cloud font passer la sécurité au second plan. Elles se retrouvent ainsi exposées à des risques et menaces spécifiques à l'environnement cloud contre lesquels les mesures et outils de sécurité traditionnels sur site n'offrent aucune protection.

Bien que de nombreuses entreprises déploient ensuite une série de solutions isolées pour améliorer la sécurité dans le cloud, cette approche disparate peut limiter considérablement la visibilité, et par conséquent compromettre la possibilité d'atteindre un niveau de sécurité élevé.

Les entreprises qui ont migré vers le cloud ou qui sont en train de le faire doivent développer une stratégie de sécurité complète, spécialement conçue pour le cloud, qui s'intègre à la stratégie et aux solutions de sécurité globales de l'entreprise.

Quatre éléments essentiels de l'architecture de sécurité du cloud

L'architecture de sécurité du cloud est composée de l'ensemble du matériel, des logiciels et de l'infrastructure permettant d'assurer la sécurité dans l'environnement cloud. En voici quatre éléments essentiels :

Gestion du niveau de sécurité du cloud (CSPM) : une solution CSPM se concentre sur les API de sécurité cloud dans le but d'empêcher les erreurs de configuration, ainsi que sur l'intégration de la sécurité dans le pipeline CI/CD.

Plateforme de protection des workloads cloud (CWPP) : une plateforme de protection des workloads cloud assure la protection à l'exécution et la gestion continue des vulnérabilités des conteneurs cloud.

Solution CASB (Cloud Access Security Broker) : une solution CASB est conçue pour améliorer la visibilité sur les endpoints, notamment l'identité des personnes qui accèdent aux données et les modalités d'utilisation de celles-ci.

Sécurité des applications cloud : ce type de sécurité couvre les stratégies, les outils, les technologies et les règles au niveau des applications afin d'offrir une visibilité continue sur toutes les activités cloud et de protéger les applications cloud tout au long du cycle de développement.

L'architecture de sécurité du cloud et le modèle de responsabilité partagée

Selon le modèle de responsabilité partagée, la responsabilité de la sécurité et de la conformité est partagée entre le client et le fournisseur de services cloud. Dans ce modèle, les fournisseurs de services cloud tels qu'Amazon AWS, Microsoft Azure et Google GCP doivent surveiller l'environnement pour y détecter les menaces de sécurité ciblant l'infrastructure sous-jacente du cloud et intervenir en cas de besoin. De leur côté, les utilisateurs finaux, notamment les particuliers et les entreprises, sont responsables de la protection des données et des autres ressources qu'ils stockent dans un environnement public, hybride ou multicloud.

Malheureusement, ce point peut être mal compris et amener certains à penser que les workloads cloud sont totalement protégés par le fournisseur de services cloud. Les utilisateurs exécutent alors sans le savoir dans un cloud public des workloads qui ne sont pas entièrement protégés, permettant ainsi aux cyberadversaires de cibler le système d'exploitation et les applications pour s'introduire. Même les workloads sécurisés peuvent devenir une cible lors de leur exécution, étant donné leur vulnérabilité aux exploits zero day.

Pour les entreprises qui utilisent un modèle cloud ou effectuent la transition vers le cloud, il est important de mettre au point et de déployer une stratégie de sécurité globale spécialement conçue pour protéger des ressources basées sur le cloud.

Architectures de sécurité du cloud par modèle de services

Il existe trois modèles principaux de services cloud, qui relèvent tous du modèle de responsabilité partagée :

• SaaS (Software-as-a-Service) : le modèle SaaS est un modèle de fourniture de services logiciels dans le cadre duquel le fournisseur héberge dans le cloud une application à laquelle les utilisateurs ont accès dans le cadre d'un abonnement.
• PaaS (Platform-as-a-Service) : le modèle PaaS est un modèle de fourniture de services de plateforme qui peut être acheté et utilisé pour développer, exécuter et gérer des applications. Dans le modèle de plateforme cloud, le fournisseur fournit à la fois le matériel et les logiciels généralement utilisés par les développeurs d'applications. Le fournisseur de services est également responsable de la sécurité de la plateforme et de son infrastructure.
• IaaS (Infrastructure-as-a-Service) : le modèle IaaS est un modèle de fourniture de services d'infrastructure dans le cadre duquel un fournisseur met à disposition un large éventail de ressources informatiques telles que des serveurs virtualisés et des équipements de stockage et réseau sur Internet. Dans ce modèle, l'entreprise est responsable du maintien de la sécurité de tout ce qu'elle possède ou installe sur l'infrastructure, par exemple les systèmes d'exploitation, les applications et les middlewares.

Trois principes de sécurité essentiels pour une architecture cloud

La sécurité d'une architecture cloud repose sur trois principes essentiels : l'accès, l'intégrité et la disponibilité.

1. Accessibilité : il s'agit de s'assurer que les services, données et autres ressources hébergés dans le cloud ne sont accessibles qu'aux utilisateurs et terminaux autorisés et authentifiés.
2. Intégrité : il s'agit de s'assurer que le système et les applications fonctionnent de manière cohérente et efficace.
3. Disponibilité : il s'agit de s'assurer que le système est disponible pour les utilisateurs, notamment les collaborateurs et les clients, et protégé contre les attaques liées au service, telles que les attaques par déni de service (DoS) ou par déni de service distribué (DDoS).

Principales menaces pour l'architecture de sécurité du cloud

Les entreprises qui s'appuient sur le cloud ou prévoient de le faire doivent avoir conscience du fait que les mesures de sécurité traditionnelles existantes ne protégeront pas les services, applications ou ressources hébergés dans le cloud. Elles doivent impérativement concevoir et implémenter une stratégie de sécurité complète pour se protéger d'une panoplie de menaces en expansion constante et d'attaques de plus en plus sophistiquées visant l'environnement cloud.

Selon une récente étude menée par CrowdStrike et Enterprise Strategy Group (ESG) auprès de 383 professionnels de l'informatique et de la sécurité des informations (Infosec), seulement 12 % des entreprises ont déclaré n'avoir subi aucun cyberincident ciblant leurs applications ou leur infrastructure natives au cloud au cours de l'année écoulée.

Voici quelques-uns des défis de sécurité courants liés aux environnements cloud auxquels les équipes de sécurité sont confrontées :

Cohérence

D'après notre enquête, le défi le plus souvent cité en matière de sécurité des applications natives au cloud est le maintien de la cohérence de la sécurité entre le datacenter et l'environnement de cloud public dans lequel les applications natives au cloud sont déployées. Ces silos de sécurité contribuent à l'absence de contrôles et règles centralisés. Cette réalité est exacerbée par une mauvaise compréhension du modèle de menace pour les applications et l'infrastructure natives au cloud, ainsi que par un manque de visibilité sur l'infrastructure de cloud public qui héberge les applications natives au cloud.

Visibilité

La migration vers le cloud est un phénomène relativement récent pour de nombreuses entreprises. Dès lors, certaines ne disposent pas d'une infrastructure de sécurité suffisamment mature pour opérer en toute sécurité dans un environnement multicloud. Par exemple, certains systèmes d'évaluation des vulnérabilités n'analysent pas toutes les ressources, comme les conteneurs présents dans un cluster dynamique. D'autres sont incapables de distinguer les risques réels des opérations normales, avec pour conséquence la génération d'un certain nombre de fausses alertes que l'équipe Infosec doit ensuite examiner.

Le cas échéant, les entreprises doivent développer les outils, les technologies et les systèmes nécessaires pour inventorier et surveiller l'ensemble des applications, workloads et autres ressources cloud. Elles doivent également éliminer toutes les ressources inutiles pour leurs activités afin de limiter la surface d'attaque.

Erreurs humaines et de configuration

La majorité des compromissions du cloud résultent d'une erreur humaine, telle qu'une erreur de configuration. Ces erreurs font des workloads cloud des cibles de choix faciles à identifier à l'aide d'un simple robot d'indexation. Dans le cloud, une sécurité périmétrique défaillante peut avoir de lourdes conséquences financières. De nombreuses compromissions signalées trouvent leur origine dans des compartiments S3 mal configurés utilisés comme point d'entrée.

D'après notre enquête, les erreurs de configuration du cloud les plus courantes au cours des 12 derniers mois sont les suivantes : mot de passe par défaut ou aucun mot de passe requis pour l'accès aux consoles de gestion (30 %) ; hébergement de workloads de serveur accessibles au public (27 %) ; comptes de service trop permissifs (25 %) ; et comptes utilisateur trop permissifs (25 %).

Mauvaise compréhension du « modèle de responsabilité partagée »

Comme expliqué ci-dessus, les fournisseurs de services cloud assument une responsabilité limitée en matière de sécurité. Dans les clouds publics, une grande partie de l'infrastructure sous-jacente est sécurisée par le fournisseur de services cloud. Cependant, tous les éléments de cette infrastructure, du système d'exploitation aux applications et aux données, relèvent de la responsabilité de l'utilisateur.

Shadow IT 

Le Shadow IT, c'est-à-dire les applications et l'infrastructure gérées et utilisées à l'insu de l'équipe informatique de l'entreprise, représente un autre problème majeur pour les environnements cloud. Le DevOps contribue également à ce problème dans la mesure où le blocage de l'entrée et de l'utilisation d'une ressource dans le cloud, qu'il s'agisse d'un workload ou d'un conteneur, est extrêmement faible. Les développeurs peuvent aisément créer des workloads à l'aide de leurs comptes personnels. Ces ressources non autorisées représentent une menace pour l'environnement, car elles sont souvent mal sécurisées, sont accessibles avec des mots de passe et des configurations par défaut et sont faciles à compromettre.

Absence d'une stratégie complète de sécurité du cloud

À l'heure de la migration des workloads vers le cloud, les administrateurs persistent à sécuriser ces ressources de la même manière que les serveurs hébergés dans des datacenters privés ou sur site. Malheureusement, les modèles de sécurité traditionnels de ces datacenters ne sont pas adaptés au cloud. Face aux attaques automatisées et sophistiquées qui font rage aujourd'hui, seule une solution de sécurité avancée et intégrée peut prévenir les compromissions. L'entreprise doit sécuriser l'ensemble de l'environnement informatique, y compris les environnements multiclouds ainsi que les datacenters de l'entreprise et les utilisateurs mobiles. Une approche homogène et intégrée offrant une visibilité complète et un contrôle granulaire à l'échelle de l'entreprise réduira les frictions, limitera les perturbations des activités et permettra aux entreprises d'adopter le cloud en toute confiance et en toute sécurité.