En matière de cloud public, on dit souvent aux organisations qu’elles peuvent protéger leur environnement cloud avec un pare-feu et une approche Security Group Configuration. Mais au-delà, il n’y a pas de visibilité. Aucune vue sur les nombreuses erreurs de configuration dans le cloud. Ports non sécurisés en cours d’utilisation, réseaux trop permissifs, etc. On parle ici de sécurité Inter-VPC. À ce stade, l’entreprise a sécurisé le périmètre de son cloud privé virtuel.
Mais que se passe-t-il si l’on souhaite vraiment tout sécuriser à l’intérieur et à l’extérieur de son cloud ? Pour commencer, il faut avoir une visibilité sur ce qu’il se passe. Rappelons-nous que l’on ne peut pas protéger ce que l’on ne peut pas voir. Vous devez comprendre ce qui parle à quoi et qui parle à qui.
Les dernières informations de CISA indiquent que la plupart des acteurs malveillants ont accès aux environnements cloud via des attaques de phishing en raison d’une mauvaise sécurité informatique et en exploitant les flux de trafic de sortie et d’entrée pour accéder aux données sensibles. Cela contourne complètement les défenses de son périmètre et permet aux mauvais acteurs d’explorer le réseau en cherchant à élever leurs privilèges et finalement à exfiltrer les données. Ce problème est encore aggravé par la vitesse des changements dans les environnements cloud. Les changements de pare-feu classiques nécessitent un processus d’approbation qui est souvent manuel et implique plusieurs niveaux d’autorisation avec différentes personnes responsables à différents niveaux : réseau, cloud, opérations, sécurité, etc.
Tout cela signifie que l’entreprise a perdu une grande partie de la vitesse et de l’agilité promises par le cloud. Ce n’est qu’une partie de l’histoire. L’utilisation de méthodologies de sécurité héritées pour sécuriser un environnement cloud hautement agile augmente également le coût d’utilisation du cloud, car des compétences supplémentaires sont nécessaires. Ces coûts sont associés à l’investissement en personnel ou à la formation pour sécuriser le cloud. Pour certaines organisations, le verrouillage des fournisseurs devient ainsi une réalité.
Afin de lutter contre ces menaces, les organisations ont besoin de visibilité, de garde-corps et d’action. Elles peuvent alors voir ce qui parle à quoi et qui parle à qui dans le cloud. Ces trois points sont essentiels. Il s’agit de la sécurité intra-VPC. Grâce à cette compréhension des déploiements hybrides ou multicloud, il est possible de commencer à mettre en œuvre une sécurité efficace. Alors, quel type de sécurité choisir ? Inter-VPC pour protéger le périmètre ou Intra-VPC pour garantir que tous les éléments du cloud sont sécurisés, à l’intérieur comme à l’extérieur ? Au final, les deux sont nécessaires pour assurer la sécurité de son environnement de cloud hybride.
Par Stéphane HAURAY chez TUFIN
