Défis en matière de sécurité du cloud hybride et du multicloud

L'exécution des charges de travail sur AWS, Azure, GCP et l'infrastructure sur site offre à votre organisation une flexibilité opérationnelle accrue. Néanmoins, cela crée également de sérieux défis en matière de sécurité du cloud, en particulier dans les environnements multi-cloud ou cloud hybride.

Chaque environnement possède son propre modèle d'identité, son propre langage politique, sa propre approche de la journalisation et son propre cadre de contrôle, ce qui complique la mise en place d'une gouvernance cohérente.

Les équipes de sécurité jonglent souvent avec des configurations contradictoires, comme les valeurs par défaut du chiffrement natif du cloud, les paramètres de fédération des identités cloud et les schémas de journalisation.

Ces différences créent des risques, notamment des lacunes dans la couverture et un risque accru de négligence et d'erreur humaine.

Une mauvaise configuration dans AWS peut ne pas avoir d'impact immédiat, mais si elle se connecte à une identité Azure sur-autorisée ou à un partage de fichiers sur site mal configuré, l'exposition peut s'aggraver.

Cette complexité s'accroît au fur et à mesure que les équipes se développent. Avec des pipelines DevOps, des outils et des postures de sécurité différents d'un environnement à l'autre, les mauvaises configurations du cloud et des identités deviennent plus difficiles à détecter et à corriger. Il en résulte une surface d'attaque fragmentée où les mouvements latéraux sont plus faciles pour les attaquants.

Si AWS, Azure et GCP proposent des principes de sécurité similaires, leur mise en œuvre varie.

AWS s'appuie sur des politiques de gestion des identités et des accès (IAM), Azure utilise le contrôle d'accès basé sur les rôles (RBAC) et GCP gère l'accès par le biais de comptes de service et de permissions au niveau des ressources.

Ces différences conduisent à des risques spécifiques aux prestataires.

• AWS peut autoriser des permissions génériques telles que s3:*, introduisant un large accès aux données.
• Azure peut autoriser des objets utilisateur périmés ou un accès conditionnel insuffisamment renforcé.
• GCP utilise souvent par défaut des comptes de service permissifs qui s'alignent rarement sur le principe du moindre privilège.

Le risque lié au cloud hybride augmente lorsque les services font le lien entre ces plateformes. Par exemple, une fonction GCP peut tirer des données télémétriques d'une machine virtuelle Azure à l'aide d'une clé API stockée dans un gestionnaire de secrets non géré.

Si un attaquant compromet la clé, il accorde l'accès aux systèmes des deux clouds.

Dans le modèle de responsabilité partagée, votre fournisseur d'infrastructure cloud s'occupe de l'infrastructure, mais vous sécurisez des éléments tels que les identités, les charges de travail et les configurations.

Les problèmes de sécurité du cloud hybride découlent fréquemment d'une dérive de la configuration et d'une mise en œuvre incohérente des identités.

Parmi les problèmes les plus courants :

• Accès sans restriction au stockage, aux conteneurs ou aux API.
• Privilèges IAM excessifs, comptes de service périmés ou clés d'accès orphelines.
• Flux de trafic non surveillés entre les nuages ou entre les systèmes en nuage et sur site.
• Lacunes dans l'application de l'AMF ou la fédération SSO
• Chevauchement des définitions de rôles dans les différents environnements

Dans la pratique, ces défauts se combinent. Un bac de stockage dans AWS pourrait être laissé ouvert à l'internet. Rien que cela est risqué. Mais si un principal de service Azure disposant de privilèges administratifs inutilisés y accède et que les deux parties n'ont pas activé les journaux, les attaquants peuvent exfiltrer des données sans être détectés.

Les équipes ont du mal à vérifier les autorisations ou à révoquer les accès non utilisés en l'absence d'une gouvernance identités destités unifiée. Cela affaiblit votre capacité à empêcher l'élévation de privilèges ou le mouvement latéral lors d'un attaquant.

Pour garder une longueur d'avance sur les risques liés à l'informatique dématérialisée, vous devez disposer d'une visibilité claire sur chaque environnement, mais la plupart des équipes utilisent des outils déconnectés les uns des autres.

Ils passent d'un dashboard à l'autre, exécutent des scans différents pour chaque cloud et gèrent des politiques qui se chevauchent, ce qui crée des angles morts, ralentit les choses et ajoute du travail supplémentaire.

Renforcer la visibilité multi-cloud :

• Standardiser l'ingestion des logs à travers les clouds et envoyer les données à un SIEM centralisé
• Cartographier l'utilisation des rôles et des identités sur les différentes plateformes afin de détecter les autorisations excessives.
• Scanner les modèles d'infrastructure-as-code avant le déploiement pour éviter les dérives.
• Mettre en œuvre des pratiques unifiées de taggage et d'inventaire des assets dans les clouds et sur site.
• Utiliser des cadres de conformité partagés pour l'informatique en nuage tels que NIST CSF, ISO/IEC 27001 et FedRAMP pour guider la conception des politiques et l'établissement des rapports.

La visibilité unifiée est une nécessité pour réduire les risques liés au cloud hybride. Les auditeurs et les régulateurs attendent la preuve que vos contrôles du cloud fonctionnent de manière cohérente dans toutes les régions et sur toutes les plateformes. Sans un contexte qui s'étend aux nuages, il est difficile de prouver le chiffrement, la segmentation et les contrôles d'accès.

Une stratégie de sécurité du cloud solide applique des pratiques cohérentes dans tous les environnements, même si vos outils diffèrent.

Quelques suggestions de bonnes pratiques pour réduire les risques liés à l'informatique dématérialisée hybride :

• Adopter l'identité fédérée pour unifier le contrôle d'accès et réduire la dispersion des identifiants.
• Utiliser l'authentification unique (SSO) et l'accès conditionnel dans tous les environnements
• Vérifier les comptes de service, les rôles et les autorisations pour détecter les accès inutiles.
• Surveiller les combinaisons toxiques de mauvaises configurations, d'identités et de données sensibles.
• Mettre en œuvre Policy-as-code pour appliquer les mêmes règles d'exécution dans l'infrastructure cloud et sur site.
• Incorporer la télémétrie runtime pour corréler l'état de la configuration avec le comportement.

Cette approche renforce votre capacité à appliquer le principe du moindre privilège et réduit le bruit dans les pipelines de détection. Au lieu de courir après les alertes provenant de différents outils, votre équipe se concentre sur les véritables défis de la sécurité du cloud.

Vous cherchez des moyens de cartographier ces connexions en temps réel ? Découvrez comment la gestion de l'exposition dans le cyber-risque permet d'unifier le contexte des risques et de briser les chemins d'exploit avant que les attaquants ne puissent se déplacer latéralement.