Sécurité du Cloud

Pourquoi C'est Important

L'adoption du cloud a redéfini le périmètre de sécurité. Avec plus de 90 % des entreprises utilisant des stratégies multi-cloud, sécuriser ces environnements n'est plus optionnel. Les violations cloud proviennent généralement du côté client : mauvaises configurations, gestion des identités faible, ou code non sécurisé.

La violation Capital One de 2019 a exposé 100 millions d'enregistrements à cause d'un pare-feu mal configuré. Le compromis de clés cloud Microsoft en 2023 a permis l'accès à des comptes email gouvernementaux.

Le Modèle de Responsabilité Partagée

Domaines Clés

Identité et Accès

IAM est le nouveau périmètre. Tout programme commence par une authentification forte (MFA), des rôles à privilège minimum et des revues d'accès régulières.

Configuration

Les mauvaises configurations sont la première source de violations. Les outils CSPM évaluent les ressources contre des benchmarks comme CIS, PCI DSS et SOC 2.

# Trouver les buckets S3 publics
aws s3api list-buckets --query 'Buckets[].Name' --output text | \
xargs -I {} aws s3api get-bucket-acl --bucket {}

Protection des Charges

Les plateformes CWPP protègent les VMs, conteneurs et fonctions serverless via scan de vulnérabilités, protection runtime et détection de malware.

Réseau et Données

VPCs, security groups, endpoints privés pour la segmentation. Chiffrement au repos et en transit, gestion des clés (AWS KMS, Azure Key Vault), DLP.

Outils Cloud-Native

• CSPM : Wiz, Prisma Cloud, Orca, Lacework
• CWPP : CrowdStrike Falcon Cloud, Aqua, Sysdig
• CNAPP : Wiz, Palo Alto Prisma, Microsoft Defender for Cloud
• IaC : Checkov, tfsec, Snyk

Meilleures Pratiques

1. MFA partout, surtout les comptes root.
2. Privilège minimum avec identifiants de courte durée.
3. Activer la journalisation (CloudTrail, Activity Logs).
4. Chiffrer par défaut avec des clés gérées par le client.
5. Scanner l'IaC avant déploiement.
6. Surveiller le drift de configuration.

Pièges Courants

Concepts Liés

• Zero Trust
• Gestion des Identités
• Conformité
• Cadre de Sécurité