Traitement en cloud : une sécurité à ne pas négliger

Introduction

Les déploiements en mode cloud ne présentent pas tous les mêmes défis en matière de sécurité. Et cela ne serait-ce qu’en raison des différences de niveau de responsabilité – et donc de contrôle – sur les couches basses de la pile d’infrastructure qu’il peut y avoir entre un IaaS, permettant de commander des machines virtuelles (VM), un environnement d’exécution de conteneurs, ou un autre d’exécution de fonctions serverless.

Pour autant, comme le souligne Neil MacDonald, analyste de Gartner, il est nécessaire de maintenir une visibilité et un contrôle consistants, sur l’ensemble des traitements réalisés en mode cloud, quelle qu’en soit la taille ou la localisation. Pour lui, même l’approche consistant à s’appuyer uniquement sur des solutions de protection des hôtes (EPP) afin de protéger les traitements sur serveur – et donc VM – ne suffit pas. Pour lui, d’ici à 2022, 60 % de ces traitements utiliseront le contrôle applicatif au lieu de l’antivirus. Et c’est tout l’enjeu des plateformes de protection des traitements cloud (CWPP, ou Cloud Workload Protection Platform).

Neil MacDonald explique ainsi que les CWPP « protègent les traitements contre les attaques, où qu’ils s’exécutent et quel que soit leur niveau de granularité ». Ils apportent aussi un niveau de contrôle et de visibilité cohérent, pour les déploiements multiclouds et hybrides.

Des tendances convergentes

Le besoin auquel visent à répondre ces plateformes a de multiples origines. Il faut ainsi compter avec l’adoption croissante des IaaS pour le déploiement de traitements. Et là, les solutions de CWPP s’avèrent finalement plus faciles à intégrer que des solutions traditionnelles combinant réseau et hôtes.

En outre, les flux réseau sont massivement chiffrés. Pour y détecter et intercepter les menaces, il est possible de jouer sur des stratégies de déchiffrement en cours de route, de type « man-in-the-middle ». Mais l’approche présente des risques certains. En définitive, le meilleur endroit pour analyser le trafic réseau est peut-être encore là où il est traité en clair. Et cela vaut tout particulièrement pour le trafic dit « est-ouest, de service à service, dans les architectures basées sur les microservices », relève Neil MacDonald.
Et c’est sans compter avec le besoin de contrôle de la sécurité et de l’intégrité des traitements durant leur exécution : « les applications nativement cloud nécessitent des solutions conçues pour répondre aux besoins de protection des systèmes basés sur le cloud », résume l’analyste.

Les éditeurs de solutions de protection des hôtes ont bien compris cette situation. Des acteurs tels que Check Point, McAfee, Sophos, Trend Micro, ou même FireEye et Palo Alto Networks ont pris le virage, avec force rachats, de la protection des traitements cloud. Et cela vaut aussi pour VMware, entre autres.

Plusieurs niveaux de contrôle

Neil MacDonald identifie huit couches de contrôle relevant des CWPP. La première, la plus basse, est aussi la plus critique : elle touche au durcissement, à la gestion des configurations et des vulnérabilités, notamment en supprimant des images les services qui ne sont pas nécessaires à la production du traitement voulu.

La seconde relève des capacités de communication et de l’exposition sur le réseau, avec notamment le recours à la microsegmentation : le but consiste là à limiter l’étendue des tiers avec lesquels un traitement est susceptible de communiquer, afin de limiter les possibilités d’attaque.

Viennent ensuite le contrôle d’intégrité – au démarrage et durant l’exécution – et le contrôle applicatif, avec des mécanismes de liste blanche, ou encore la prévention d’exploitation de vulnérabilités et la protection de la mémoire vive. À cela s’ajoutent l’EDR (Endpoint detection and response) et la surveillance comportementale, ainsi que la prévention d’intrusion au niveau de l’hôte (HIPS) et enfin la recherche de maliciels sur les fichiers.

Étudier les offres méticuleusement

Neil MacDonald relève que certains éditeurs essaient de couvrir l’ensemble de ces couches de contrôle quand d’autres préfèrent se concentrer sur quelques-unes uniquement. Mais les critères de choix ne s’arrêtent pas là. Il faut également compter avec la diversité des traitements supportés, les capacités analytiques proposées, les possibilités d’intégration – en termes de consoles et d’administration, mais également dans les processus de développement –, les politiques de licences et leur flexibilité et enfin les recouvrements potentiels avec d’autres domaines comme le pare-feu applicatif (WAF), l’équilibrage de charge, mais aussi la gestion de la posture de sécurité cloud (CSPM, Cloud Secure Posture Management).

Dans ce dernier domaine, les mouvements se sont récemment multipliés. Aqua Security s’est ainsi engagé sur ce segment de marché, de même que Zscaler, notamment. Il faut dire que la simplicité et la rapidité avec laquelle peuvent être déployées des ressources cloud augmentent le risque de défauts de configuration dangereux. Et l’histoire a eu l’occasion de faire la démonstration de la réalité de ce risque.

1Savoir-

Les bases de sécurité des traitements en cloud

2Appliquer-

Les outils de sécurisation des traitements cloud

3Surveiller-

Contrôler sa posture de sécurité cloud