Cloud : protéger Cloud modernes contre les cybermenaces

Les attaquants disposent de deux moyens d'attaque pour compromettre les ressources cloud : accéder aux systèmes à l'intérieur du périmètre du réseau de l'entreprise, ou compromettre les informations d'identification d'un compte d'administrateur disposant de capacités d'administration à distance ou d'un accès administratif au CSP.

Lorsque la visibilité est disponible dans l'infrastructure cloud , il est beaucoup plus facile de détecter les comportements des attaquants dans les systèmes et services compromis qui fonctionnent clairement en dehors des spécifications attendues.

Différences entre la sécurité des réseaux et la sécurité des cloud

Les environnements Cloud modifient les hypothèses fondamentales sur la manière de détecter les menaces et d'y répondre.

L'inventaire hautement dynamique des charges de travail cloud signifie que les systèmes vont et viennent en quelques secondes. Lorsque des erreurs de configuration du système sont introduites au cours d'une construction, elles peuvent être exacerbées et amplifiées lorsque l'automatisation reproduit les erreurs sur de nombreuses charges de travail. Le partage des responsabilités avec le fournisseur de services cloud crée des lacunes potentielles dans la détection des menaces au cours du cycle de vie de l'attaque.

Dans le cloud , tout passe par une méthode d'accès aux données API, et les approches traditionnelles de surveillance du flux de trafic ne s'appliquent plus.

Outre les défis liés à la détection et à la réponse aux menaces, le rythme de l'innovation dans l'cloud laisse les entreprises constamment à la traîne. L'intensification de la concurrence signifie que les entreprises se concentrent davantage sur la livraison de fonctionnalités en premier lieu et sur l'externalisation des capacités non essentielles - souvent au détriment de la sécurité de l'information.

L'explosion des services cloud signifie que le concept de périmètre a disparu et que l'utilisation de contrôles périmétriques devient futile. La croissance de nouvelles infrastructures et d'outils de déploiement se traduit par de nouveaux environnements avec de nouveaux modèles de sécurité et de nouvelles surfaces d'attaque.

Pourquoi l'identité est-elle devenue le nouveau périmètre de cloud ?

La sécurité d'entreprise traditionnelle partait du principe que les utilisateurs et les systèmes évoluaient au sein d'un réseau d'entreprise fiable, protégé par des pare-feu et des défenses périmétriques. Cloud a radicalement bouleversé ce modèle. L'accès Cloud s'effectue via des identités, des API et des consoles cloud depuis pratiquement n'importe quel endroit, ce qui fait des identités des utilisateurs la principale frontière de sécurité, plutôt que le réseau lui-même.

Les attaquants parvenant de plus en plus souvent à se procurer des identifiants légitimes par le biais phishing, du vol de jetons, du « password spraying » ou de comptes administratifs compromis, ils contournent souvent complètement les défenses périmétriques. Une fois authentifiés, leurs activités malveillantes peuvent passer pour un comportement administratif tout à fait normal.

C'est pourquoi cloud moderne cloud met fortement l'accent sur la protection des identités, le principe du « privilège minimal », l'authentification continue, l'analyse comportementale et la surveillance cloud afin de détecter toute activité suspecte. Il est désormais plus important de détecter le comportement des identités après l'authentification que de simplement vérifier si la connexion a bien abouti.

La complexité des outils de sécurité pour cloud

Les outils proposés par les FSC sont complexes et encore nouveaux pour de nombreuses entreprises locataires, ce qui entraîne des erreurs de configuration accidentelles. Enfin, la pénurie d'expertise en matière de sécurité s'amplifie avec toutes les nouvelles fonctionnalités et tous les nouveaux services.

Plus important encore, l'introduction de multiples capacités d'accès et de gestion crée une variabilité qui ajoute un risque important aux déploiements de cloud . Il est difficile de gérer, de suivre et d'auditer les actions administratives lorsque les utilisateurs peuvent accéder aux ressources cloud depuis l'intérieur ou l'extérieur de l'environnement de l'entreprise.

Sans une stratégie de gestion des comptes à privilèges bien pensée qui inclut des rôles bien séparés pour obtenir un accès administratif à partir d'endroits approuvés uniquement, les organisations sont susceptibles de faire un usage abusif des informations d'identification et des privilèges administratifs.

Traditionnellement, l'accès à un serveur nécessitait une authentification au périmètre de l'organisation et une surveillance pouvait être mise en œuvre à l'intérieur du réseau privé pour suivre les accès administratifs. Les systèmes de gestion cloud sont accessibles depuis l'internet public via une interface web ou une API. Sans protection appropriée, l'entreprise locataire pourrait immédiatement exposer les joyaux de la couronne.

Cycle de vie des attaques dans le cadre de la sécurité de l'cloud

Les attaquants disposent de deux moyens d'attaque pour compromettre les ressources de l cloud .

La première est la méthode traditionnelle, qui consiste à accéder aux systèmes à l'intérieur du périmètre du réseau de l'entreprise, suivie d'une reconnaissance et d'une escalade des privilèges vers un compte administratif qui a accès aux ressources de cloud .

La seconde consiste à contourner toutes les mesures susmentionnées en compromettant simplement les informations d'identification d'un compte d'administrateur disposant de capacités d'administration à distance ou d'un accès administratif au CSP.

Cette variabilité des modèles d'accès administratif signifie que la surface d'attaque change avec de nouvelles menaces de sécurité via un accès non réglementé aux terminaux utilisés pour gérer les services cloud . Les appareils non gérés utilisés pour développer et gérer l'infrastructure exposent les organisations à des vecteurs de menace tels que la navigation sur le web et le courrier électronique.

Lorsque le compte administratif principal est compromis, l'attaquant n'a pas besoin d'escalader les privilèges ou de conserver l'accès au réseau de l'entreprise, car le compte administratif principal peut faire tout cela et plus encore. Comment l'organisation assure-t-elle une surveillance adéquate de l'utilisation abusive des privilèges administratifs du CSP ?

Meilleures pratiques en matière de sécurité de lCloud

Les organisations doivent examiner la manière dont l'administration du système et la propriété du compte cloud sont gérées. Combien de personnes gèrent le compte principal ?

1. Comment les mots de passe et l'authentification sont-ils effectués ?
2. Qui vérifie la sécurité de ce compte important ?
3. Qui est responsable en cas de problème de sécurité ?

Le CSP ou l'organisation locataire de l'cloud ? Au départ, cela semble dépendre du problème, mais certains FSC veulent confier cette responsabilité à l'organisation locataire.

Plus important encore, comment une organisation contrôle-t-elle l'existence et l'utilisation abusive d'informations d'identification administratives ? Il incombe au locataire de sécuriser le compte administratif.

Les FSC communiquent clairement sur le caractère critique de la protection et sur le fait qu'il s'agit d'une responsabilité qui incombe au locataire. Les FSC insistent fortement sur les conséquences d'une protection faible ou inexistante. Le manque de visibilité sur l'infrastructure de gestion du CSP signifie que les organisations locataires de l'cloud doivent identifier l'utilisation abusive de l'accès au CSP dans leur propre environnement lorsqu'il est utilisé comme moyen d'intrusion.

Comment fonctionne la détection cloud ?

La détection Cloud analyse en permanence cloud afin d'identifier les comportements malveillants avant qu'ils n'entraînent une perte de données ou une perturbation opérationnelle. Contrairement à la surveillance de sécurité traditionnelle, qui se concentre principalement sur les terminaux et le trafic réseau, la détection cloud examine les données télémétriques cloud, telles que l'activité des API, le comportement des identités, les communications entre les charges de travail, les modifications cloud et les actions administratives sur l'ensemble cloud .

cloud modernes génèrent chaque jour des millions d'événements, ce qui rend toute analyse manuelle impossible. Une détection efficace cloud consiste à corréler les signaux provenant cloud , des identités, des plans cloud , des services de stockage, des machines virtuelles, des conteneurs, des clusters Kubernetes et des fonctions sans serveur afin de distinguer les activités administratives légitimes des comportements malveillants.

Plutôt que de se fier uniquement aux indicateurs de compromission connus, la détection comportementale identifie les actions suspectes telles que l'escalade de privilèges, telle que décrite dans le MITRE ATT&CK , l'utilisation inhabituelle d'API, les modifications excessives d'autorisations, l'utilisation abusive d'identifiants, les déplacements impossibles, l'accès anormal à cloud sensibles et les transferts de données non autorisés. Cela permet aux équipes de sécurité de détecter des attaques sophistiquées qui utilisent cloud légitimes pour contourner les contrôles de sécurité traditionnels.

Les entreprises intègrent de plus en plus cloud aux solutions de détection réseau, de surveillance des identités, endpoint et aux plateformes SIEM afin d'améliorer la visibilité danscloud hybrides etcloud , tout en réduisant la « fatigue des alertes ».

Principales menaces pour la sécurité de l'cloud

En 2017, la Cloud Security Alliance (CSA) a mené une enquête pour compiler les opinions des professionnels sur ce qu'elle estimait à l'époque être les problèmes de sécurité les plus urgents dans l'informatique cloud .

Sur les 12 problèmes identifiés, cinq étaient liés à la gestion des informations d'identification et aux méthodes permettant de compromettre ces informations afin d'accéder aux environnements cloud des fins malveillantes. Ces cinq problèmes, par ordre de gravité selon les résultats de l'enquête, sont les suivants :

1. Gestion insuffisante des identités, des titres et des accès

Absence de systèmes évolutifs de gestion de l'accès à l'identité, non-utilisation de l'authentification multifactorielle, faiblesse des mots de passe et absence de rotation automatisée permanente des clés cryptographiques, des mots de passe et des certificats.

2. Interfaces et API non sécurisées

De l'authentification et du contrôle d'accès au cryptage et à la surveillance des activités, ces interfaces doivent être conçues pour protéger contre les tentatives accidentelles et malveillantes de contournement des politiques.

3. Détournement de compte

Les attaquants peuvent écouter les activités et les transactions des utilisateurs, manipuler les données, renvoyer des informations falsifiées et rediriger vos clients vers des sites illégitimes.

4. Initiés malveillants

Un employé actuel ou ancien, un contractant ou un autre partenaire commercial qui a ou avait un accès autorisé au réseau, aux systèmes ou aux données d'une organisation et qui a intentionnellement outrepassé ou abusé de cet accès d'une manière qui a affecté négativement la confidentialité, l'intégrité ou la disponibilité des informations ou des systèmes d'information de l'organisation.

5. Diligence raisonnable insuffisante

L'absence de diligence raisonnable expose une entreprise à une myriade de risques commerciaux, financiers, techniques, juridiques et de conformité qui compromettent sa réussite.

> Téléchargez notre livre blanc sur la détection des menaces dans l Cloud pour découvrir notre analyse complète d'une véritable attaque Cloud .

La sécurisation des environnements cloud n'est pas une option mais un impératif critique pour les entreprises qui cherchent à protéger leurs données et à maintenir leur résilience opérationnelle. Vectra AI propose des solutions de sécurité cloud de pointe conçues pour répondre aux besoins uniques des entreprises modernes, de la détection et de la réponse aux menaces à la conformité et à la protection des données. Contactez-nous pour découvrir comment notre expertise peut vous aider à naviguer dans les complexités de la sécurité du cloud et à garantir que vos actifs cloud sont entièrement protégés.

Quelles technologies sont utilisées pour sécuriser cloud ?

Cloud repose sur la combinaison de plusieurs technologies qui permettent d'assurer une visibilité globale sur les identités, les charges de travail, cloud , les applications et les données sensibles. Aucune solution ne permet à elle seule de protéger tous les aspects d'un cloud , d'où la nécessité de mettre en place des architectures de sécurité à plusieurs niveaux.

Parmi les technologies courantes cloud , on peut citer :

• Cloud et réponse Cloud (CDR) pour identifier cloud actives cloud

• Gestion de la postureCloud (CSPM) pour détecter les risques liés à la configuration

• Gestion des droits d'accès Cloud (CIEM) pour la gestion cloud

• Plateformes de protection Cloud (CWPP) destinées à sécuriser les machines virtuelles, les conteneurs et les charges de travail

• Plateformes de protection des applications Cloud(CNAPP) pour cloud unifiée

• Gestion de la posture de sécurité des données (DSPM) pour identifier l'exposition cloud sensibles cloud

• Détection et réponse aux menaces liées à l'identité (ITDR) pour détecter les compromissions d'identité

Ensemble, ces technologies aident les entreprises à améliorer cloud , à réduire les risques et à détecter les activités des attaquants tout au long du cycle de vie cloud .

Quel est l'avenir de cloud ?

Cloud continue d'évoluer parallèlement cloud lui-même. Les entreprises adoptent de plus en pluscloud , Kubernetes, des applications sans serveur, l'intelligence artificielle et cloud autonomes, ce qui accroît à la fois la surface d'attaque et la complexité de la protection cloud .

Les futures stratégies cloud mettront l’accent sur une visibilité continue sur l’ensemble de cloud , des identités, des applications, des API et des charges de travail basées sur l’IA, y compris les applications utilisant l’IA générative. La détection centrée sur l’identité, l’analyse comportementale, la détection des menaces en temps réel, ainsi que la détection des menaces et les opérations de sécurité assistées par l’IA prendront de plus en plus d’importance, à mesure que les attaquants automatiseront cloud à l’aide de l’intelligence artificielle et cloud compromises.

Les organisations qui associent cloud à la protection des identités, à la détection comportementale et à la surveillance continue seront mieux à même de détecter les attaques sophistiquées tout en favorisant cloud sécurisée cloud au sein d'environnements d'entreprise en constante évolution.

‍