Introduction au renforcement du Cloud

Le stockage de données sensibles dans le cloud augmente considérablement votre surface d'attaque — et les adversaires saisissent les opportunités que présente l'adoption du cloud. En fait, une enquête 2022 Netwrix a révélé une augmentation de 10 % des attaques ciblant l'infrastructure cloud.

Le durcissement du cloud est le processus de réduction des risques pour vos systèmes cloud en établissant et en maintenant des configurations sécurisées et en identifiant et en atténuant d'autres vulnérabilités. Découvrez pourquoi le durcissement du cloud est essentiel pour la sécurité et la conformité réglementaire, et les principales menaces dans le cloud aujourd'hui. Puis découvrez les étapes à suivre pour renforcer votre cloud, quel que soit votre modèle de livraison (IaaS, PaaS ou SaaS) ou le type de cloud (public, privé ou hybride).

Comment le renforcement du Cloud contribue à améliorer la sécurité

Le durcissement du cloud consiste à sécuriser la configuration et les paramètres de votre système pour réduire les vulnérabilités informatiques et le risque de compromission. Une étape clé du durcissement est de supprimer tous les composants non essentiels des systèmes. En éliminant les programmes, fonctions de compte, applications, ports, permissions et accès non essentiels, vous offrez moins de voies d'entrée pour les attaquants et les logiciels malveillants dans votre environnement cloud.

Gardez à l'esprit, cependant, que le renforcement du cloud n'est pas un événement ponctuel — vous devez constamment surveiller tout écart par rapport à vos configurations de sécurité, ainsi que réviser et mettre à jour régulièrement vos références à mesure que le paysage des menaces change et que les meilleures pratiques évoluent.

Bien sûr, le renforcement du cloud n'est qu'une partie d'une stratégie de sécurité plus large, qui doit également inclure la mise en œuvre d'outils pour détecter et répondre rapidement aux menaces potentielles, et garantir que les systèmes peuvent être rapidement restaurés après un incident.

Comment le renforcement du Cloud aide à la conformité

Les gouvernements du monde entier ont établi des réglementations qui incluent des normes pour la sécurité des données — qui s'appliquent quel que soit l'endroit où les données sont hébergées. Voici les plus importantes à connaître :

• HIPAA (Health Information Portability and Accountability) est une norme américaine pour sécuriser les informations de santé protégées (PHI). Les sections de la Règle de Sécurité et de la Règle de Confidentialité dictent les mesures d'accès et les directives pour les transactions de soins de santé électroniques, et exigent que les organisations de soins de santé rapportent les violations de sécurité.
• PCI DSS (Payment Card Industry Data Security Standard) est conçu pour protéger les données des titulaires de carte. Il comprend des exigences pour l'authentification multi-facteurs (MFA) et le chiffrement des données, et oblige les organisations concernées à réaliser des tests d'intrusion pour l'amélioration de la sécurité.
• FERPA (Family Educational Rights and Privacy Act) traite de la confidentialité et de la sécurité des données des étudiants, y compris les informations personnelles identifiables (PII). Les exigences de FERPA couvrent des sujets tels que le chiffrement, l'utilisation, la redisclosure et la destruction des données.
• GDPR (Règlement Général sur la Protection des Données) est une norme de l'Union européenne qui s'applique aux organisations partout dans le monde qui stockent ou traitent les informations des résidents de l'UE. Ses dispositions concernent le stockage des données, l'utilisation, la conservation, l'accès et plus encore. 
• SOX (Loi Sarbanes-Oxley de 2002) aide à protéger le public contre les méfaits des entreprises en exigeant que toutes les entreprises publiques américaines atténuent le risque d'activités comptables et financières frauduleuses. Entre autres, SOX détaille les obligations liées à l'intégrité des données, l'audit, le contrôle d'accès et le contrôle des changements. 
• FISMA (Federal Information Security Management Act) exige que les agences gouvernementales fédérales américaines protègent les actifs et les informations en créant, mettant en œuvre et en respectant un plan de sécurité, qui doit être révisé annuellement. De plus, la loi oblige les agences concernées à utiliser uniquement des centres de données — y compris les fournisseurs de cloud — qui sont conformes à FISMA.
• ISO 27017 est une sous-section de l'ISO 27000 qui fournit des directives concernant les contrôles de sécurité de l'information applicables à la fourniture et à l'utilisation des services cloud. Elle aborde des sujets tels que les rôles et responsabilités partagés, le durcissement des machines virtuelles et l'alignement de la gestion de la sécurité pour les réseaux physiques et virtuels.

En plus des lois, les organisations peuvent devoir (ou choisir de) adopter un cadre de contrôle de la cybersécurité. En particulier, CCM (Cloud Controls Matrix) couvre des aspects critiques de la technologie cloud à travers 17 domaines, tels que la sécurité des applications et des interfaces, l'audit et l'assurance, la gestion des changements et de la configuration, et la gestion des menaces et des vulnérabilités.

Bien qu'une organisation puisse être soumise à plusieurs lois, la plupart d'entre elles sont basées sur les mêmes meilleures pratiques fondamentales, donc les mêmes contrôles de sécurité — tels que le renforcement du cloud — peuvent vous aider à atteindre la conformité avec de nombreuses exigences à la fois.

Principales menaces pour la sécurité du Cloud public

The cloud security threats that cybersecurity professionals are most concerned about, according to a 2022 survey, are:

• Mauvaise configuration des plateformes cloud (62%)
• Exfiltration de données (51%)
• APIs et autres interfaces non sécurisées (52%)
• Accès non autorisé (50%)
• Détournement de services, de comptes ou de trafic (44%)
• Partage de données externes (39%)
• Cyberattaques parrainées par des États étrangers (37%)

Renforcement dans différents modèles de Cloud

Le durcissement du cloud est toujours recommandé. Cependant, la répartition des responsabilités entre votre organisation et le fournisseur de services cloud (CSP) pour sa mise en œuvre varie en fonction du modèle de cloud : IaaS, PaaS ou SaaS.

Infrastructure en tant que Service (IaaS)

IaaS implique la location de composants d'infrastructure de base auprès d'un CSP, tels que des machines virtuelles sur Azure ou EC2, ou EBS sur AWS. Avec IaaS, le renforcement de la sécurité du cloud est principalement de votre ressort. Alors que le CSP) s'occupera de la sécurité physique et des mises à jour du firmware, vous êtes responsable de la configuration de vos composants virtuels provisionnés. En particulier, vous êtes responsable de :

• Identity and data governance, y compris la gestion des accès utilisateurs et le contrôle des changements
• Configuration et renforcement des systèmes d'exploitation
• Chiffrement des données
• Paramètres au niveau de l'application
• Contrôles d'accès réseau tant au niveau du réseau qu'au niveau des composants individuels
• Tests de sécurité
• Audit et journalisation

PaaS (Platform as a Service)

Dans le modèle PaaS, l'organisation contrôle la plateforme et les ressources d'exécution pour développer, tester et déployer des applications. Des exemples incluent Red Hat OpenShift, AWS Elastic Beanstalk et Google App Engine.

Dans ce modèle d'exploitation cloud, le CSP est responsable du renforcement du système d'exploitation, des intergiciels et de l'environnement d'exécution puisque ceux-ci sont gérés par le. Toutefois, votre organisation reste responsable de :

• Gouvernance de l'identité et des données, y compris la gestion des accès utilisateurs et le contrôle des changements
• Protection des clients et des Endpoint
• Contrôles réseau au niveau du réseau
• Paramètres au niveau de l'application
• Tests de sécurité
• Audit et journalisation

SaaS (Software as a Service)

Dans le modèle SaaS, qui inclut Microsoft 365 et Salesforce, tous les composants sont gérés par le CSP, ce qui leur transfère encore plus de responsabilités. Cependant, la responsabilité de votre organisation n'est pas négligeable ; elle comprend la configuration :

• Gestion des comptes utilisateurs et des règles d'accès
• Paramètres au niveau de l'application
• Journalisation et audit

Modèles de déploiement cloud

Votre choix de cloud deployment model — privé, public ou hybride — influence également votre planification de la sécurité du cloud.

Cloud privé

Un cloud privé dessert une seule organisation, avec des services maintenus sur un réseau privé. En conséquence, votre organisation a un contrôle total sur l'infrastructure. Ce modèle de déploiement offre une grande flexibilité et des opportunités de personnalisation, mais nécessite également plus de ressources et d'expertise pour gérer et maintenir.

Parce que vous êtes le propriétaire, vous avez la responsabilité complète des éléments suivants :

• Déploiement et maintenance du matériel et des logiciels
• Assurer la sécurité physique de votre infrastructure
• Mettre en œuvre des contrôles de sécurité appropriés pour se protéger contre les menaces et les attaques

Cloud public

Dans un modèle de cloud public, un CSP possède et opère toute l'infrastructure et le logiciel de support, et les services sont fournis via Internet. Puisqu'un cloud public fonctionne comme un environnement multi-locataire, il offre généralement des coûts plus bas et une meilleure évolutivité qu'un cloud privé. Cependant, votre organisation a moins de contrôle sur l'infrastructure et dépend des mesures de sécurité mises en œuvre par le fournisseur.

En conséquence, vous devez vous assurer que les engagements de sécurité du CSP et la conformité réglementaire correspondent à vos besoins en matière de sécurité et de conformité. En particulier, il vous incombe de :

• Examinez minutieusement les engagements de sécurité du fournisseur
• Lisez et comprenez la conformité réglementaire et d'audit du CSP
• Comprenez clairement la répartition des responsabilités.

Cloud hybride

Un cloud hybride est une combinaison de clouds publics et privés. Sans surprise, il peut donc être le plus complexe à sécuriser. En particulier, en plus de gérer les préoccupations de sécurité pour chaque type de cloud, vous devez vous assurer que des politiques de sécurité cohérentes sont appliquées sur tous vos clouds, et que tout changement de la posture de sécurité dans un cloud est répliqué dans les autres clouds. Par exemple, si un changement de sécurité est effectué sur une image utilisée dans votre cloud privé, ce changement est-il également poussé vers le cloud public ?

Recommandations pour le renforcement du Cloud

Utilisez les CIS Benchmarks

Pour aider les organisations à établir des configurations sécurisées, le Centre de la sécurité sur Internet (CIS) fournit les CIS benchmarks. Ces guides de configuration de sécurité couvrent un large éventail de technologies, y compris les systèmes d'exploitation, les network devices, les serveurs et les logiciels de bureau — ainsi que les fournisseurs de cloud. En mettant en œuvre les CIS benchmarks, vous pouvez réduire les vulnérabilités de sécurité basées sur la configuration dans vos actifs numériques.

Une excellente manière de commencer est de renforcer les images de serveur de votre organisation en utilisant les directives de durcissement CIS ou en achetant des images durcies CIS auprès des places de marché AWS, Azure ou Google Cloud. Ensuite, intégrez votre antivirus, la détection de changement et d'autres solutions de sécurité, dans les images renforcées.

Mettez en œuvre les meilleures pratiques de sécurité

Pour renforcer davantage votre environnement cloud contre les menaces, mettez en œuvre les pratiques suivantes :

• Privilège minimal — Accordez à chaque serveur les permissions et privilèges minimaux nécessaires pour exécuter sa fonction prévue. Cela aide à limiter les dommages qui pourraient être causés par des acteurs malveillants ou des erreurs accidentelles.
• Accès minimal — Restreindre l'accès aux serveurs cloud depuis le réseau et installer uniquement les composants du système d'exploitation et les applications nécessaires sur chaque instance. Cela rendra plus difficile pour les acteurs malveillants d'accéder à des informations sensibles.
• Configuration et gestion des changements — Créez une configuration de serveur de base et suivez toutes les déviations par rapport à cette base.
• Audit des journaux — Configurez chaque actif pour générer et stocker de manière sécurisée les données de journal concernant toutes les tentatives d'accès et tous les changements.
• Audit de conformité et reporting — Mettez en place les contrôles de sécurité appropriés et assurez-vous de pouvoir fournir la preuve de la conformité aux auditeurs.
• Gestion des vulnérabilités— Évaluez régulièrement vos environnements cloud pour détecter les vulnérabilités et appliquez rapidement les correctifs et mises à jour de sécurité.
• Segmentation du réseau — Divisez les environnements cloud en segments plus petits et isolés pour limiter l'impact potentiel d'un incident de sécurité.
• Chiffrement — Chiffrez les données au repos et les données en transit pour les protéger contre les accès non autorisés.

Conclusion

Les avantages des services cloud sont considérables, incluant des économies de coûts, une scalabilité facile et des fonctionnalités puissantes. Mais vous devez toujours garantir la sécurité de vos données et applications. En utilisant les informations ci-dessus, vous pouvez aider votre organisation à mieux sécuriser ses environnements cloud pour stimuler la croissance de l'entreprise.

FAQ

1. Comment renforcer l'infrastructure cloud ?

Sécurisez les configurations et les paramètres du système pour réduire leur vulnérabilité aux compromissions. Supprimez tous les programmes et utilitaires non essentiels pour réduire les opportunités d'attaque sur vos systèmes.

2. Quelles sont les techniques de durcissement de réseau ?

Les meilleures pratiques de sécurité de base incluent l'accès minimal, le privilège minimal, la gestion des configurations, la gestion des changements et l'audit & la journalisation.

3. Qu'est-ce que le durcissement d'hôte dans la sécurité ?

Le durcissement d'hôte implique la suppression des composants, programmes, comptes, applications, services, ports, permissions et accès non essentiels d'un hôte pour réduire ses vulnérabilités. Le durcissement d'hôte peut également inclure :

• Désactiver les services réseau non nécessaires et appliquer l'authentification pour ceux qui sont conservés.
• Installation et configuration d'un pare-feu hôte.
• Rendre les applications disponibles uniquement aux utilisateurs qui en ont besoin et seulement lorsqu'ils en ont besoin.
• Faire en sorte que les utilisateurs fonctionnent avec des privilèges inférieurs et n'accorder des privilèges de niveau supérieur que selon les besoins.
• Tester régulièrement les systèmes pour détecter les faiblesses et y remédier.
• Renforcer les mots de passe forts et la rotation des mots de passe.
• Automatisation des mises à jour et des améliorations de sécurité régulières.

4. Quels sont les avantages du renforcement du cloud ?

Le durcissement du cloud offre une large gamme d'avantages, y compris :

• Réduire la surface d'attaque de votre infrastructure cloud
• Améliorer la posture de sécurité globale de votre organisation
• Aider à garantir la conformité avec les réglementations et normes
• Minimiser le risque de data breaches et d'accès non autorisé
• Réduire le coût des incidents de sécurité et des éventuelles amendes de conformité
• Améliorer l'efficacité et la performance des systèmes basés sur le cloud

5. À quelle fréquence le durcissement du cloud doit-il être effectué ?

Le durcissement du cloud doit être effectué régulièrement, dans le cadre d'un programme de sécurité et de conformité continu. Il est important de revoir et de mettre à jour régulièrement votre configuration et vos pratiques de sécurité pour garantir que votre infrastructure cloud reste sécurisée.