Protéger intelligemment la migration vers un cloud hybride : la puissance des solutions de sécurité cloud natives

Le défi en matière de sécurité sur le cloud pourra être relevé avec des outils dédiés apportant de la visibilité et de la compréhension et une politique de sécurité homogène sur l'ensemble des clouds.

Le défi en matière de sécurité sur le cloud est inhérent aux rythmes de migrations rapides et aux lacunes des entreprises en matière de connaissances des infrastructures et des outils de protection dédiés. Avec un marché évoluant vers une approche beaucoup plus systémique et automatisée de la sécurité pour répondre aux enjeux de développement modernes toujours plus rapides, l'avenir de la sécurité du cloud est prometteur, mais reste encore assez abscons. En se dotant d’outils développés spécifiquement pour les environnements cloud, les entreprises gagneront en visibilité et en compréhension et auront la garantie que leur politique de sécurité soit homogène, quel que soit le lieu d’exécution d’une application.

Le nombre d'attaques ciblant les infrastructures cloud et leur degré de sophistication a augmenté de manière drastique au cours des deux dernières années. Ces attaques passent souvent inaperçues pendant de longues périodes : Tesla a par exemple mis 6 mois pour identifier une intrusion via sa console Kubernetes. Les chercheurs Aqua Nautilus dédiés à l’analyse du monde cloud ont constaté qu'un serveur cloud exécutant des conteneurs pouvait subir plusieurs tentatives d'attaque en moins d'une heure – des attaques avec des conséquences dévastatrices– allant du vol de puissance de calcul pour du crypto-mining à celui de mots de passe et de données.

Les environnements cloud étant fortement dynamiques et complexes, la sécurité doit débuter dès les premières étapes du développement des applications, avant même leur déploiement dans le cloud et continuer pendant leur exécution. Au-delà de renforcer la protection applicative, elle doit aussi identifier et prévenir toute modification de comportement avec des capacités de détection des intrusions en temps réel pendant tout le cycle de développement tout en répondant aux enjeux de configuration, aux vulnérabilités du code ou autres activités suspectes. Lorsqu’elle est intégrée à l’ensemble du processus de développement et de gestion des applications, la sécurité du cloud dépasse largement les contrôles de défense traditionnels. Elle offre une meilleure visibilité sur les applications distribuées et leurs workloads à l’inverse des applications monolithiques, véritables « boîtes noires » pour les outils de sécurité.

La complexité de la sécurité d’un cloud hybride

De nombreuses organisations se basent aujourd’hui sur plusieurs fournisseurs de cloud public et architectures de cloud privé. Associant les avantages des deux univers, ce cloud hybride est en effet le choix privilégié par 80% des entreprises sondées selon une étude Flexera State of the Cloud de 2021 leur offrant l’opportunité de choisir le cloud le plus approprié pour chaque application ou workload sans planification d'infrastructure à long terme et au gré de l’évolution des coûts et de leurs besoins. Parfois, des réglementations en vigueur exigent une infrastructure souveraine ou l’exécution d’applications spécifiques sur une infrastructure privée. C’est pourquoi de nombreuses organisations s’appuient sur un modèle hybride et choisissent même d’utiliser plusieurs fournisseurs de cloud public. Si les avantages sont indéniables, comment sécuriser des environnements de cloud privé et public dans un environnement mouvant de façon homogène et unifiée tout en partageant la co-responsabilité avec le fournisseur cloud ? De plus, plusieurs fournisseurs offrent des capacités similaires mais avec des outils de gestion différents. Il faut donc, là aussi, veiller à ce que les cloud soient sécurisés de manière uniforme. Enfin, la transition vers les différents CSP sans compromettre la sécurité est aussi un autre enjeu majeur à souligner.

Les outils de sécurité actuels sont limités

Il est important de savoir que les outils de sécurité qui ne sont pas cloud natifs sont limités en matière de protection. Tout d'abord, ils ne sont pas conçus pour s'adapter à des processus de développement accélérés. Alors qu’auparavant, les organisations publiaient des versions plusieurs fois par an, elles passent aujourd'hui à des rythmes quotidiens et continus. Cela nécessite donc une sécurité ciblée et automatisée en amont, dès les premières phases de développement, afin de ne pas ralentir les équipes. De plus, les environnements cloud sont complexes, ultradynamiques et les outils habitués à se "connecter" à une infrastructure fixe perdent donc en fiabilité. Si, par le passé, nous savions qu'il existait un serveur permanent pour une application dédiée, comme un serveur de messagerie par exemple, aujourd'hui, ce n’est plus le cas. Le cycle de vie moyen d’un conteneur est de quelques heures. Une base de données peut fonctionner sur une machine virtuelle à un instant T et sur une autre, une heure plus tard…

Collecter les données en temps réel sur tous les clouds (en mode public, privé ou multicloud) et assurer un monitoring et une protection en continu de chaque action effectuée par les outils d’orchestration et les utilisateurs ainsi que de toutes les activités au sein des conteneurs et des fonctions Serverless permettra d’offrir une visibilité exhaustive de l’ensemble de la kill chain et d’éliminer les angles morts dans le respect des règlementations en vigueur. Une réponse holistique aux défis de la sécurité du cloud.