Protection des données dans le cloud : les bonnes pratiques à l'ère du tout partagé

A l'ère du tout partagé, les cybercriminels mettent au point des attaques à l'impact grandissant, et ce sur tous types de comptes, qu'ils soient humains ou non, et donc qu'il s'agisse de comptes d'administration, applicatifs ou de comptes de services. Il est donc primordial de bien comprendre les avantages d'une optimisation de la gestion des différents types de comptes, ainsi que les causes des attaques et les bonnes pratiques en la matière pour réduire la surface d'attaque.

Des attaques cyber à l’impact grandissant

Dans notre monde hyperconnecté, on le sait, le cloud a aboli les frontières. On y utilise toutes sortes de services, qu’on soit sur site en entreprise, ou que l’on se connecte en télétravailleur ou comme partenaire business. Dans ce contexte, on comprend aisément qu’il est nécessaire de garantir la sécurité des accès pour préserver les données sensibles d’une organisation. Contrairement à ce que pensent les entreprises, ce travail essentiel n’est pas forcément titanesque : il est cependant indispensable.

Différents types de comptes existent : humains et donc d’administration ou business, ou non humains et donc applicatifs et assimilables à des comptes de services. Quel que soit l’endroit où les comptes existent, ils sont utilisés par tout le monde, dans des environnements on premise ou cloud. Le cloud a vocation à continuer de progresser, et avec lui les attaques qui y sont liées.

Les chiffres à cet égard sont éloquents. Les attaques liées au cloud ont progressé de pas moins de 24% par rapport aux autres types de brèches. Selon McAffee, 27% des organisations qui utilisent le SaaS ont été victimes d’attaques. Et plus de 75% impliquent des comptes à privilèges, qu’il convient tout particulièrement de protéger efficacement.

Une gestion des comptes à privilèges appliquée au cloud

On désigne en tant que “compte à privilège” (ou Privileged Account) les comptes disposant de permissions élevées, les autorisant par exemple à effectuer des changements dans la configuration des systèmes. Il s’agit donc de permissions très fortes, qui constituent une cible privilégiée pour les hackers car ils peuvent être considérés comme de véritables clés du royaume, pouvant résulter en un contrôle total de l’infrastructure.

Dans un contexte où le risque zéro n’existe pas, il est de plus en plus difficile de garantir la sécurisation des accès : la gestion des comptes à privilèges doit reposer sur un processus continu de protection adapté au cloud. Ce dernier implique en effet un accès spécifique aux infrastructures, aux serveurs et aux applications hébergées par un tiers selon une consommation qui correspond aux besoins réels de l’entreprise.

Or, la manière de sécuriser le cloud et le on premise sont très différents. Pour bien comprendre la différence, prenons l’exemple d’une voiture. “On premise”, on la protège en la garant dans notre propre garage, et la sécurité peut alors se limiter à simplement fermer la porte du garage sans autre mesure de sécurité (portières déverrouillées et vitres ouvertes par exemple). En revanche, dans le cloud, il s’agirait de la garer dans un parking public : on aborde dès lors une toute autre manière de sécuriser son véhicule, qu’il est nécessaire de verrouiller, voire d’assortir d’une alarme et de tout autre type de technique dissuasive pour les cambrioleurs - c’est-à-dire les hackers. On premise ou dans le cloud, la porte d’entrée est donc différente pour accéder à une application ou à un serveur.

Pour autant, malgré les risques d’attaques, les bénéfices de l’utilisation du cloud sont évidents : haute disponibilité, géo-redondance, “pay as you go”, réduction du temps de maintenance des services, applications toujours à jour et immédiatement opérationnelles, meilleure sécurité qu’en premise, contrôles de sécurité plus solides car renforcés par rapport à un client hébergeant son serveur on premise…

Certes, mais les challenges sont eux aussi conséquents : conformité aux normes, confidentialité des données, “multitenancy” (capacité à séparer les instances entre les différents consommateurs de services), analyse d’incidents… Autant de points de vigilances naturels dès lors que les données sont exportées sur une infrastructure tierce.

Garantir une meilleure gestion des accès et une sécurisation renforcée du cloud

La cause principale des attaques tient à une explication simple : la faible gestion des accès, et notamment des comptes à privilèges. Les mots de passe, utilisés le plus souvent par défaut, sont facilement identifiables et compromis. Les attaques de type DDos ont pour but de saturer les accès à l’infrastructure cloud et à priver les comptes légitimes de la possibilité de s’y connecter. Le constat est encore pire en ce qui concerne les comptes partagés entre utilisateurs, qui impliquent une grande responsabilité dans la répartition des accès, souvent protégés uniquement par mot de passe sans second facteur d’authentification. Et c’est sans compter sur le “shadow IT”, avec des employés qui utilisent leurs propres services cloud (SharePoint, Dropbox) pour stocker des fichiers appartenant à l’entreprise.

Pour sécuriser efficacement le cloud, il faut donc comprendre la notion de besoins et d’accès, et se poser les bonnes questions quant à la nature, la nécessité et la mise en œuvre de comptes privilèges. Comment s’y connecter ? Comment gérer ces comptes ? Quelle visibilité sur l’ancienneté des mots de passe ? Quel risque associé à la compromission des comptes ?

Une fois les réponses apportées à ces questions, il est nécessaire de respecter des contrôles certes simples mais piliers de la gestion des comptes à privilèges : stockage de ces comptes (chiffrement avancé, clés uniques), contrôle d’accès via des authentifications fortes, création de logs d’audit, gestion de mots de passe….

Pour bien faire, il faut cependant que cette gestion chronophage, à l’origine d’une réelle cyberfatigue, soit retirée des épaules des administrateurs au profit de solutions de type “Privileged Access Management” ou PAM, assurant une rotation régulière des mots de passe et donc une protection plus fréquente sur la base d’une automatisation, d’une différenciation dans les différents niveaux d’accès et d’une implémentation phasée pour accompagner le changement en douceur.

La bonne pratique ultime consiste à appliquer le principe de “least privilege” : les utilisateurs ne doivent avoir le niveau de permissions minimales d’accès qu’aux services dont ils ont réellement besoin, pour effectuer leurs tâches quotidiennes. Ensuite, dans une logique de “Just In Time Elevation”, une autorisation pouvant être accordée de manière ponctuelle et spécifique pour une application, mais ensuite rétablie en fonction d’un contrôle complet sur l’ensemble des permissions.

Finalement, la clé réside bel et bien dans le fait de se concentrer sur l’automatisation, la rotation des mots de passe, l’intégration des outils, mais aussi la flexibilité et l’interopérabilité entre solutions. Il est possible de rendre la sécurité facile d’usage : pourquoi attendre l’irréparable pour s’en préoccuper ?