Aller au contenu

Sécuriser les environnements cloud

1. Objectif du cours

Comprendre les risques spécifiques au cloud et maîtriser les mesures techniques et organisationnelles pour sécuriser des infrastructures IaaS/PaaS (ex. migration MediData vers AWS) tout en respectant les contraintes réglementaires du secteur médical.

2. Notions et définitions essentielles

  • Modèle de responsabilité partagée : le fournisseur protège "du" cloud (infrastructure physique, hyperviseur, réseau) ; le client protège "dans" le cloud (données, applications, configurations, accès).
  • Types de service : IaaS (infrastructure virtualisée), PaaS (plateforme d'exécution), SaaS (application prête à l'usage).
  • 3-2-1 (sauvegardes) : 3 copies, sur 2 supports différents, dont 1 externalisée géographiquement.
  • IAM : gestion des identités et des accès avec rôles, politiques et conditions contextuelles.
  • MFA : authentification multifacteur obligatoire pour accès privilégiés.
  • Chiffrement : distinction chiffrement côté serveur (fournisseur) vs côté client (maîtrise des clés).
  • SecNumCloud : qualification ANSSI garantissant sécurité, transparence et indépendance d’un fournisseur.

3. Fonctionnement et principes

  • Vulnérabilités liées à la nature cloud : virtualisation, mutualisation, complexité des configurations ; erreurs de paramétrage sont la principale source d'incidents.
  • Exposition de données : la plupart proviennent de ressources rendues publiques par inadvertance (buckets, bases accessibles, snapshots).
  • Principe du moindre privilège : construire des rôles fonctionnels, donner uniquement les permissions nécessaires, surveiller leur utilisation et les réviser périodiquement.
  • Ségrégation et segmentation réseau : isoler environnements (prod/dev/test) via VPC/sous-réseaux privés, groupes de sécurité et ACL pour limiter les mouvements latéraux.
  • Journalisation et analyse : centraliser logs (accès, réseau, système, applicatif) vers un SIEM et définir KPI (MTTD, MTTR, taux de faux positifs, couverture des actifs).

4. Commandes et manipulations

Non abordé dans ce cours

5. Sécurité et bonnes pratiques

  • Sélectionner des images officielles et vérifier leur intégrité avant déploiement.
  • Durcir OS selon guides (CIS), fermer ports inutiles, utiliser groupes de sécurité restrictifs et bastion pour l'administration.
  • SSH par certificats, désactiver l'authentification par mot de passe, gestion stricte du cycle de vie des clés.
  • Chiffrement systématique des données au repos et en transit ; pour données très sensibles, préférer chiffrement côté client et gestion propre des clés (ex. KMS).
  • Automatiser les correctifs et tests hors production, et déployer agents de surveillance (ex. Systems Manager).
  • Sauvegardes automatisées avec vérification régulière d'intégrité et tests de restauration (respect de la règle 3-2-1).
  • Mettre en place MFA pour comptes privilégiés, sessions temporaires avec durée limitée et re-authentification périodique.
  • Intégrer annuaire d'entreprise et fédération d'identité (SAML/OAuth/OpenID Connect), utiliser SCIM pour provisioning automatisé.
  • Compliance as code : intégrer contrôles de conformité dans les pipelines (ex. modules Terraform/CloudFormation).
  • Centraliser logs et alertes, calibrer règles pour réduire faux positifs et automatiser remédiation des incidents courants.

6. Points essentiels à retenir pour le TSSR

  • Le modèle de responsabilité partagée doit guider l'allocation des contrôles de sécurité.
  • Les erreurs de configuration représentent la majorité des violations ; l'audit initial et continu est indispensable.
  • Appliquer le principe du moindre privilège via rôles métiers et révisions périodiques.
  • MFA et sessions temporaires réduisent significativement le risque lié aux comptes privilégiés.
  • Chiffrement et gestion des clés sont cruciaux ; le chiffrement côté client offre un contrôle maximal.
  • Segmenter réseaux et isoler bases de données dans des sous-réseaux privés accessibles uniquement par frontaux.
  • Sauvegardes : automatisation + vérification d'intégrité + tests de restauration selon 3-2-1.
  • Centraliser journalisation (CloudTrail/Monitor) et intégrer dans un SIEM pour corrélation et détection.
  • Intégrer exigences réglementaires (RGPD, HDS) dès la conception (privacy by design).
  • Prioriser : journaux d'audit, chiffrement, sauvegardes, MFA et détection des menaces.

7. Tableau récapitulatif

Type de service Responsabilités client (exemples) Responsabilités fournisseur Contrôle du client
IaaS OS, applications, données, durcissement, correctifs Infrastructure physique, hyperviseur Élevé
PaaS Applications, données, sécurité applicative Infra + plateforme d'exécution Moyen
SaaS Données et paramètres applicatifs Infra + plateforme + application Faible
Chiffrement Choix du mode (client/serveur), gestion clés Fournit KMS et options Varie selon mode

8. Vérifications pratiques

  • Vérifier que la journalisation est activée (ex. CloudTrail) et que les logs sont chiffrés et centralisés.
  • Tester l'intégrité des sauvegardes et effectuer périodiquement une restauration complète.
  • Confirmer que les buckets S3 ne sont pas publics et que S3 Access Logging est actif.
  • Contrôler l'activation de MFA et la durée des sessions temporaires pour comptes privilégiés.
  • Vérifier que GuardDuty/outil de détection est activé et que les règles d'alerte critiques sont opérationnelles.
  • S'assurer que les volumes EBS et objets S3 sont chiffrés et que les clés KMS appropriées sont utilisées.
  • Exécuter des revues d'accès pour détecter permissions inutilisées et enregistrer les résultats.

9. Flashcards Anki

Quel risque est le plus critique et fréquent dans les environnements cloud? :: L'exposition accidentelle de données due à des erreurs de configuration. Que définit le modèle de responsabilité partagée? :: Le fournisseur assure la sécurité "du" cloud ; le client assure la sécurité "dans" le cloud. Quelle règle de sauvegarde cloud est recommandée? :: Règle 3-2-1 : 3 copies, sur 2 supports, dont 1 externalisée géographiquement. Quel pourcentage des violations cloud est attribué aux configurations erronées? :: Plus de 65%. Quel type de chiffrement privilégier pour des données hautement sensibles? :: Le chiffrement côté client. Citer un protocole de fédération d'identité mentionné dans le cours. :: SAML 2.0. Quelle protection devient obligatoire pour tous les accès privilégiés aux plateformes cloud? :: L'authentification multifactorielle (MFA). Nommer un outil AWS cité pour la détection des menaces. :: AWS GuardDuty. Quel type de log permet de tracer "qui fait quoi, quand et comment"? :: Log d’accès. Que garantit la qualification SecNumCloud? :: Que le fournisseur respecte des standards élevés de sécurité, transparence et indépendance vis-à-vis de législations extraterritoriales.