Evaluation de securite cloud
Evaluation de votre securite cloud et de vos configurations
La sécurité de votre fournisseur de services cloud n'est pas synonyme de votre sécurité
Microsoft, Amazon et Google exploitent certaines des infrastructures les mieux protégées au monde. Mais cela ne tient pas compte de la manière dont votre organisation les a configurées.
Dans le cadre du modèle de responsabilité partagée, le fournisseur assure la sécurité de la plateforme. Tout ce que vous mettez en place par-dessus, notamment les identités et les autorisations, la conception du réseau, l’exposition du stockage, la gestion des secrets et la configuration des charges de travail, relève de votre responsabilité. C’est d’ailleurs là que prend naissance la quasi-totalité des incidents liés au cloud : non pas dans une vulnérabilité de la plateforme, mais dans une configuration qui semblait logique prise isolément et qui s’est transformée en vecteur d’attaque une fois combinée à trois autres éléments.
Une évaluation de la sécurité dans le cloud porte sur la partie de la chaîne dont vous êtes responsable.
Les plateformes que nous évaluons
La plupart des organisations n'utilisent pas un seul cloud. Nous évaluons les environnements hyperscale, européens et privés, ainsi que les connexions qui les relient.
Microsoft Azure
Abonnements, configuration des ressources, conception du réseau, stockage, gestion des clés et sécurité des charges de travail.
Microsoft 365
Configuration du locataire, paramètres d'Exchange Online, de SharePoint et de OneDrive relatifs à l'accès, au partage et à la collaboration.
Entra ID
Gestion des identités et des accès, attribution des rôles, accès conditionnel, méthodes d'authentification et accès privilégié.
Amazon Web Services
Comptes et organisations, IAM, stockage, segmentation du réseau et configuration des services.
Google Cloud Platform
Projets et politique d'organisation, IAM, contrôles relatifs au stockage et au réseau.
StackIT
Une infrastructure cloud européenne, évaluée avec le même niveau de rigueur que les hyperscalers.
Conteneurs et Kubernetes
Configuration en cluster, isolation des charges de travail, RBAC, registre et chaîne logistique, ainsi que les voies d'échappement du conteneur vers l'hôte ou le plan de contrôle.
Cloud privé et hybride
Y compris les connexions entre votre infrastructure sur site et vos locataires cloud.
StackIT et le cloud européen. Les organisations qui transfèrent leurs charges de travail vers des prestataires européens pour des raisons de souveraineté des données ne devraient pas avoir à accepter un niveau de garantie de sécurité inférieur pour y parvenir. Nous évaluons les environnements StackIT avec le même niveau de rigueur que les environnements Azure ou AWS.
Trois disciplines dans une seule évaluation
Un environnement cloud ne peut être appréhendé sous un seul angle. Une vérification de la configuration ne permet pas de détecter les failles de conception. Une analyse de l'architecture ne permet pas de cerner ce qui est réellement déployé. Un test d'intrusion réalisé sans l'un ou l'autre de ces éléments fait perdre du temps à redécouvrir l'environnement. Nous combinons ces trois approches au sein d'une seule mission, chacune d'entre elles enrichissant les autres.
- 01
Analyse de la configuration
Nous examinons l'état actuel de votre environnement à la lumière de critères de référence reconnus et des normes de sécurité publiées par chaque fournisseur de services cloud : structures d'identité et d'autorisations, contrôles réseau et de segmentation, exposition du stockage, couverture de la journalisation et de la surveillance, chiffrement et gestion des clés, ainsi que configuration des charges de travail. Cela permet de déterminer ce qui est déployé et où cela s'écarte des bonnes pratiques.
- 02
Analyse de l'architecture
La configuration vous indique ce qui existe. L'architecture vous indique si cela devrait exister. Nous examinons la conception de votre environnement : structure des locataires et des comptes, relations de confiance, segmentation entre les environnements, connexions entre le cloud et les infrastructures sur site, ainsi que l’emplacement de vos actifs les plus précieux par rapport à tout ce qui peut y accéder. Les défauts de conception ne se manifestent pas sous forme d’erreurs de configuration, et ce sont eux qui s’avèrent coûteux à corriger par la suite.
- 03
Tests d'intrusion au niveau de l'authentification et des applications
Ensuite, nous procédons aux tests. Nos testeurs effectuent des tests pratiques sur la couche d’authentification et la couche applicative au sein de votre environnement cloud : ils sondent les mécanismes d’authentification et d’autorisation, tentent d’obtenir une élévation de privilèges via les structures de permissions et de rôles, et enchaînent leurs découvertes pour mettre en évidence des voies d’attaque que les failles individuelles ne révèlent pas à elles seules. C’est à ce stade que l’évaluation cesse de se contenter de décrire votre environnement pour commencer à démontrer ce qu’un intrus pourrait y faire.
Le résultat ne se résume pas à trois rapports. Il s'agit d'une vue d'ensemble : ce qui est mal configuré, pourquoi la conception le permet et jusqu'où quelqu'un pourrait aller.
Dans le cloud, les pirates ne s'introduisent pas dans le système. Ils se connectent.
Les compromissions dans le cloud commencent rarement par l’exploitation d’une vulnérabilité. Elles commencent par une identité : une entité de service disposant de plus d’autorisations que ce que l’on se souvient avoir accordé, une politique d’accès conditionnel comportant une dérogation censée être temporaire, un système d’authentification obsolète toujours activé sur un protocole, une autorisation de consentement que personne n’a vérifiée, ou une chaîne d’attribution de rôles qui mène discrètement au statut d’administrateur global.
L'identité fait l'objet d'une attention particulière lors de chaque évaluation cloud CREDS. Nous cartographions les structures d’autorisations dans les instances Entra ID, AWS, IAM et GCP, IAM, recherchons les voies d’escalade via des combinaisons de rôles et de politiques, et vérifions si vos contrôles d’authentification sont efficaces dans la pratique et non pas seulement sur le papier.
Nos testeurs effectuent ce travail quotidiennement dans le cadre de missions red team, où l'identité constitue généralement la clé pour atteindre l'objectif. Cette expertise s'applique également ici.
Ce que vos outils de sécurité dans le cloud ne vous diront pas
La plupart des organisations disposent déjà d'une certaine visibilité : Microsoft Defender for Cloud, AWS Security Hub, Google Security Command Center ou un produit CSPM. Ces outils sont utiles, et nous n'allons pas reproduire ce qu'ils font déjà.
Ce qu’ils ne font pas, c’est mettre en évidence les conséquences. Ils évaluent les ressources au regard des règles, une par une. Ils ne mettent pas en relation un compte de service disposant de droits légèrement trop étendus, un réseau non segmenté et un conteneur de stockage exposé pour vous montrer que, combinés, ces trois éléments constituent une voie d’accès à vos données de production.
C'est là toute la différence entre une liste de résultats et une stratégie d'intervention. Un scanner vous indique ce qui ne va pas. Une évaluation vous indique ce qu'il convient de corriger en priorité, et pourquoi.
Outils de sécurité dans le cloud
Une évaluation CREDS
Évalue les ressources au regard des règles
Évalue les possibilités offertes par ces ressources lorsqu'elles sont combinées
Résultats classés par gravité
Résultats classés par ordre de priorité en fonction de la voie d'attaque démontrée
En continu, automatisé, basé sur des règles
Tests sur des sujets humains adaptés à votre architecture spécifique
Vous indique ce qui est mal configuré
Vous indique ce qu'une personne pourrait atteindre
Les critères d'évaluation
Les tests ne sont comparables que si leur critère d'évaluation est défini. Nous effectuons notre évaluation en nous référant à des repères publiés, aux normes de sécurité de chaque fournisseur de services cloud et à votre propre profil de risque.
Références CIS. Tests de performance spécifiques à chaque plateforme pour les modèles Azure, AWS, GCP et Microsoft 365.
Normes de sécurité des fournisseurs de services cloud. Notamment le « Microsoft Cloud Security Benchmark », le pilier « Sécurité » du modèle « Well-Architected » de AWS et les principes fondamentaux de sécurité de Google Cloud.
Directives du NIST. Dans la mesure où cela concerne l'identification, la gestion des clés et la journalisation.
Votre propre profil de risque. L'évaluation accorde une importance particulière aux environnements et aux données qui comptent pour votre entreprise ; elle ne se répartit pas de manière égale entre tous les éléments.
Listes de contrôle CREDS. Élaboré à partir de nos propres interventions, ce document aborde les problèmes qui reviennent régulièrement dans la pratique mais qui ne figurent encore dans aucune référence publiée.
Un environnement cloud évolue chaque semaine. Votre évaluation doit suivre le rythme.
Une évaluation ponctuelle de l'environnement cloud est exacte le jour où elle est réalisée, mais elle perd de sa pertinence dès la fin du mois. De nouvelles ressources sont déployées, des autorisations sont accordées pour débloquer un utilisateur, une dérogation à une politique est ajoutée et n'est jamais supprimée. L'environnement que vous avez évalué n'est plus celui que vous exploitez actuellement.
Nous considérons donc cette évaluation comme un point de départ, et non comme une conclusion.
L'évaluation initiale
Une mission complète : analyse de la configuration, revue de l'architecture et tests d'intrusion pratiques sur l'ensemble de vos environnements cloud. Cela permet de déterminer votre situation réelle et d'élaborer une feuille de route pour les mesures correctives.
Bilan mensuel, avec le soutien de ART
Une fois la référence établie, notre plateforme ART effectue des analyses mensuelles de vos environnements cloud, incluses dans l'évaluation. Entre deux évaluations complètes, cela signifie que vous identifiez les écarts de configuration dès qu'ils surviennent, plutôt que de ne les découvrir qu'à l'occasion de la prochaine analyse annuelle ; les ressources nouvelles ou modifiées sont évaluées dès leur apparition ; et la mise en conformité par rapport à la référence est vérifiée, plutôt que simplement supposée.
Le point de référence vous indique où vous en êtes. Les bilans mensuels vous permettent de savoir si vous en êtes toujours là.
Les bilans mensuels sont inclus dans l'évaluation ; il ne s'agit pas d'un abonnement distinct.
Vous n'attendez pas dans le noir
Notifications quotidiennes de début et de fin
Vous êtes informé du début et de la fin de chaque session d'évaluation quotidienne, ce qui permet à votre équipe de toujours savoir si le trafic vers votre environnement provient de nous ou d'un tiers.
Les résultats présentant un risque élevé sont communiqués immédiatement
Si nous détectons un problème grave dans votre environnement, vous en serez informé dès que nous l'aurons confirmé, et non pas dans le rapport.
Nous réorientons l'évaluation avec vous
Une évaluation est une démarche dont la durée est limitée ; il faut donc toujours choisir à quoi consacrer les heures restantes. À mesure que les résultats apparaissent, nous discutons avec votre équipe des priorités à définir pour la suite. Une structure d'autorisations qui semble intéressante dans un abonnement donné rend souvent un autre domaine plus digne d'être examiné que ne le prévoyait le plan initial.
Ce que vous recevez
Un projet de rapport, qui fait l'objet de discussions avant d'être finalisé. Afin qu'un malentendu concernant votre environnement soit corrigé tant qu'il est encore possible de le faire.
Le rapport complet. Chaque résultat, son impact, la manière de le reproduire et des recommandations spécifiques en matière de remédiation.
Analyse du chemin d'attaque. Les parcours tracés dans votre environnement par l'ensemble des constatations individuelles, ce qui constitue généralement l'élément qui modifie les priorités en matière de remise en état.
Une analyse de l'architecture. Aborder les problèmes liés à la conception que les contrôles de configuration ne permettent pas de mettre en évidence.
Un résumé à l'intention de vos parties prenantes. Un compte rendu accessible destiné aux personnes chargées de valider le travail plutôt qu'à celles qui l'effectuent.
Une feuille de route de remise en état classée par ordre de priorité. Classés en fonction de ce qui permet réellement de réduire les risques.
Vos résultats, regroupés en un seul endroit
Les résultats sont publiés sur le portail client CREDS, où votre équipe peut les exploiter directement, sans avoir à les retranscrire à partir d'un document. Les résultats sont accompagnés d'une évaluation de leur impact et de conseils de correction ; des nouveaux tests peuvent être demandés une fois les corrections mises en œuvre, et les résultats sont intégrés aux outils que vos ingénieurs utilisent déjà, notamment Jira et ServiceNow.
Lorsque des revues mensuelles ART sont mises en place, leurs résultats s'affichent sur le même portail ; ainsi, la situation de référence et tout ce qui suit s'inscrivent dans une seule chronologie.
Questions concernant les évaluations de sécurité dans le cloud
Quelles plateformes cloud évaluez-vous ?
S'agit-il d'un audit de configuration ou d'un test d'intrusion ?
Nous utilisons déjà Defender for Cloud ou Security Hub. Qu'est-ce que cela apporte de plus ?
Cette évaluation va-t-elle perturber notre environnement de production ?
Évaluez-vous Microsoft 365 de la même manière que Azure ?
À quelle fréquence devrions-nous procéder à une réévaluation ?
Combien de temps dure une évaluation ?
Pourriez-vous tester la connexion entre notre environnement cloud et notre environnement sur site ?
Découvrez ce qui est réellement accessible dans votre cloud
Indiquez-nous quelles plateformes vous utilisez et comment votre environnement est structuré, et nous définirons le périmètre d'une évaluation adaptée à vos besoins.