Cinq facteurs à considérer pour assurer votre sécurité infonuagique
Jack Mann, gestionnaire de produit technique principal, Cybersécurité – Bell
Lorsque vous passez au nuage, il est facile de supposer que votre fournisseur de services infonuagiques – qu’il s’agisse d’AWSMD, de Microsoft AzureMD, de GoogleMD Cloud ou de tout autre fournisseur – protégera vos données et vos charges de travail.
Cependant, ce n’est pas toujours le cas.
La sécurité infonuagique est en fait une responsabilité partagée. Bien que votre fournisseur soit responsable de la sécurité de l’infrastructure en nuage sous-jacente (les centres de données et le réseau physique) et des ressources informatiques, votre entreprise est responsable de la sécurité de toutes les données stockées sur cette infrastructure.
Il se peut que votre équipe n’ait pas d’expertise dans certains des nombreux domaines relevant de cette responsabilité, ce qui crée un risque important de lacunes dans votre sécurité infonuagique que les pirates informatiques pourraient exploiter. Dans cet article, je passe en revue les cinq secteurs critiques que les entreprises oublient souvent en matière de sécurité infonuagique, ainsi que les étapes à suivre pour bien gérer chacun d’eux.
1. Vos actifs et l’endroit où ils sont stockés
Les services en nuage offrent des ressources informatiques pratiquement illimitées auxquelles vous pouvez accéder au besoin, ce qui permet la création de nouvelles applications et la mise en œuvre de services à des vitesses impossibles à atteindre avec les ressources sur place seulement. Toutefois, comme les services en nuage permettent de mettre en place rapidement et facilement de nouvelles ressources informatiques, les entreprises perdent souvent la trace des différents actifs, services et systèmes qu’elles ont stockés ou construits dans le nuage – en particulier ceux qui ont été construits à des fins temporaires ou sur plusieurs nuages. Cet oubli est loin d’être anodin : des acteurs malveillants peuvent repérer et exploiter des actifs oubliés ou abandonnés qui ne sont pas configurés correctement ou qui n’ont pas fait l’objet de correctifs depuis longtemps.
Une plateforme de protection des applications natives en nuage (CNAPP) peut cerner les actifs dans l’ensemble de votre environnement en nuage. Vous pouvez ensuite analyser ce que vous avez, déterminer ce qui devrait ou non y être et sécuriser correctement le reste.
2. Les points faibles et les angles morts dans votre sécurité infonuagique
Y a-t-il des utilisateurs sur votre réseau qui disposent de plus d’autorisations que leur rôle ne l’exige? Est-ce que certains comptes ont la même combinaison de nom d’utilisateur et de mot de passe? Ce ne sont là que deux exemples d’angles morts et de points faibles en matière de sécurité infonuagique qui sont communs aux entreprises. Il est essentiel de cerner et de corriger ces failles avant que les mauvais acteurs puissent les exploiter.
Une évaluation de la posture de sécurité du nuage peut déceler les angles morts et les faiblesses de votre sécurité infonuagique et recommander des mesures pour les corriger. Dans le cas d’utilisateurs bénéficiant de privilèges excessifs ou de noms d’utilisateur/mots de passe dupliqués, la solution pourrait consister à mettre en œuvre une authentification et une autorisation plus robustes, ou à améliorer les processus de gestion des identités et des mots de passe.
3. Erreurs de configuration du nuage
Les erreurs de configuration sont l’une des principales sources de vulnérabilité pour les entreprises qui utilisent le nuage – et plus le nombre de services en nuage utilisés est élevé, plus le risque que l’un d’entre eux soit mal configuré est grand. Cette situation s’explique par le grand nombre d’options et de paramètres à prendre en considération lors de la configuration de vos services en nuage, ainsi que par le fait que chaque service en nuage fonctionne un peu différemment. Si vous utilisez plus d’un nuage – ce que la plupart des entreprises font – la probabilité de faire une erreur est beaucoup plus élevée.
Des erreurs peuvent se produire en raison d’une compréhension insuffisante, de laxisme ou de simples erreurs. Par exemple, lors de la configuration d’un pare-feu, quelqu’un peut accidentellement autoriser un trafic qui devrait être interdit. Quelle que soit la cause, les erreurs de configuration en nuage rendent votre entreprise vulnérable à l’exploitation et doivent être cernées et corrigées.
Les solutions CNAPP peuvent analyser votre environnement en nuage et comparer vos configurations aux pratiques exemplaires pour chaque service que vous utilisez. Pour vous aider à prioriser vos efforts de remédiation, les outils CNAPP les plus efficaces classent les problèmes potentiels en fonction de leur gravité et de l’activité plus générale des cybermenaces, par exemple si un type particulier de mauvaise configuration a été une cible populaire pour les cybercriminels ces derniers temps.
4. Vulnérabilités de la sécurité infonuagique
Chaque jour, des vulnérabilités entraînent des milliers de risques pour la sécurité de l’infonuagique, c’est-à-dire des erreurs ou des défauts dans le logiciel sous-jacent que les pirates peuvent exploiter. Certaines sont des vulnérabilités du jour zéro – celles qui viennent d’être découvertes par des pirates informatiques et qui n’ont jamais été décelées par des analystes de la sécurité. D’autres existent depuis un certain temps, mais ne sont devenues que récemment des cibles tendance parmi les cybercriminels, ou n’ont pas encore été exploitées (ou largement exploitées). Un exemple récent est la vulnérabilité découverte dans Log4j, un outil d’enregistrement à code source ouvert intégré à de nombreuses applications et de nombreux services. Les auteurs de menaces ont exploité la vulnérabilité pour voler des données, installer des logiciels d’exploration de cryptomonnaie et lancer des rançongiciels sur des systèmes compromis partout dans le monde. De nombreuses entreprises se sont efforcées de trouver chaque instance de Log4j sur leurs réseaux pour éviter de tomber dans les mêmes pièges.
Les bons outils peuvent grandement simplifier ce processus en vous montrant exactement où se trouvent les composants vulnérables et à quel point l’environnement dans lequel ils se trouvent est essentiel à vos activités. Vous pouvez ainsi mettre certains segments du système hors ligne en toute sécurité pendant que vous résolvez les problèmes, ce qui fait que les pirates ne pourront pas les exploiter entre-temps. Cerner les systèmes critiques qui doivent être corrigés peut réduire la charge de travail immédiate et permettre d’affecter les ressources aux points les plus préoccupants.
5. Charges de travail éphémères
Une charge de travail éphémère est une charge de travail qui s’exécute pendant une courte période. Par exemple, un outil de calcul d’hypothèque sur un site Web de services financiers peut être configuré comme une charge de travail éphémère, son code sous-jacent n’étant exécuté que lorsqu’un utilisateur demande un calcul. Ces charges de travail sont tout aussi vulnérables et ouvertes à l’exploitation. Comme les charges de travail éphémères ne sont pas toujours exécutées, celles qui ont été exploitées peuvent passer inaperçues lors des analyses de sécurité régulièrement programmées.
La surveillance continue est la seule façon de détecter et de sécuriser adéquatement les charges de travail éphémères. Il faut donc aller au-delà des outils qui analysent votre environnement de temps à autre en faveur d’une solution plus évoluée qui assure une surveillance 24 heures sur 24, 7 jours sur 7 dans votre environnement en nuage.
Améliorez votre sécurité infonuagique avec Bell
Une compréhension claire de ce que vous êtes responsable de sécuriser est essentielle pour protéger votre entreprise dans le nuage, ainsi que pour mettre en œuvre le bon outil et le bon service CNAPP. Fournie par notre équipe de services professionnels d’experts, une évaluation de la posture de sécurité du nuage (CSPA) de Bell peut vous donner un aperçu complet des angles morts, des points faibles, des erreurs de configuration et d’autres vulnérabilités dans votre environnement multinuage.
Pour une surveillance continue, la protection de la posture de sécurité du nuage (CSPP) de Bell offre une analyse et des rapports continus par notre équipe de Services gérés, protégeant ainsi votre environnement en nuage tout en vous permettant de focaliser votre attention sur votre entreprise.
Pour en savoir plus sur la façon dont Bell peut vous aider à assurer la sécurité de votre entreprise dans le nuage, communiquez avec un représentant de Bell.