Denis Demontes

Le Cloud et la sécurité orientée événements (Event Driven Security)

D’après le Rapport Mandiant 2018, un attaquant passe en moyenne 175 jours à l’intérieur des réseaux de sa victime (en zone EMEA) avant qu’une première évidence de l’attaque soit trouvée, chiffre en augmentation par rapport à 2016 où la moyenne était de 106 jours. 56% de ces attaques ont été détectées en interne et 44% en externe.

Les Etats-Unis, eux, se portent mieux avec une diminution du temps moyen qui est passé de 106 jours à 99 jours entre 2016 et 2017.

Ces statistiques montrent que le périmètre de défense traditionnel (firewalls, antivirus, etc.), bien qu’indispensable, ne semble plus être suffisant pour protéger complètement les ressources (informations, données personnelles, etc.) des entreprises.

La prévention se révèle donc indispensable, mais une réaction rapide aux événements est également critique : en effet, il devient indispensable de réduire ce nombre de 175 jours à quelques heures, voire minutes.

Comment atteindre cet objectif ?

Les fournisseurs Cloud offrent un ensemble de services qui permettent de mettre en place de manière automatisée une surveillance réactive du périmètre Cloud, en complément de la défense traditionnelle.

Ainsi, la Sécurité Orientée Événements (Event Driven Security) consiste à réagir aussi rapidement que possible aux événements dans l’infrastructure cloud liés à la sécurité.

Ceci est possible en accédant en temps réel (ou quasi temps réel) à des données fiables, relatives à l’activité du réseau et infrastructure cloud, pour y réagir de manière automatisée.

La plupart des fournisseurs Cloud mettent à disposition dans leurs services les informations et les mécanismes (APIs, interfaces) qui permettent de déclencher ces actions automatisées de surveillances de l’infrastructure.

Les principes de la sécurité Orientée Événements

Les services s’exécutent dans la couche de gestion du Cloud (Management Plane): ils sont au-delà de la portée d’une intrusion ou d’un élément du réseau compromis par une attaque. Si un serveur est compromis, feriez-vous confiance à l’antivirus qui y est installé ?

Quand un événement arrive dans l’infrastructure Cloud que l’on souhaite surveiller, le service associé déclenche du code spécifiquement écrit pour cet événement (language python parmi d’autres) en lui passant les informations associées, lambda functionschez AWS et Background functions chez Google pour ne nommer que deux fournisseurs. Ces functions sont automatiquement authentifiées dans les services, et les droits d’accès sont configurés en fonction du périmètre d’action du code.

Typiquement, le code est associé à des événements enregistrés dans le système des logs (AWS CloudWatchCloudWatch Logs and CloudWatch EventsGoogle Logs), la messagerie (AWS SNSAWS SQSGoogle Messaging), les informations de télémétrie (AWS CloudTrail et Google StackDriver Logging) telles que utilisation CPU, RAM, etc.

Il est aussi possible de s’assurer de la conformité de l’implémentation de certaines règles, présentes dans les procédures de sécurité, en comparant les configurations réelles et en surveillant les changements avec ce qui a été défini dans le système de sécurité.
Par exemple, une surveillance peut être mise sur les droits d’accès pour les utilisateurs d’un groupe qu’uniquement des superutilisateurs autorisés peuvent modifier. Dès qu’un nouvel utilisateur est créé, on déclenche du code qui va vérifier que la personne qui l’a créé appartient bien au groupe autorisé (AWS Config et AWS Config Rules).

Conclusion

A l’aide de ces services et en particulier avec l’utilisation du code Serverless et son grand pouvoir de configuration, les implémentations cloud pourront mettre en place des actions automatiques en réponse à des événements dans leur infrastructure avec pour objectifs la détection d’incidents de sécurité, le renforcement des directives de sécurité, la conformité et l’audit, et finalement la diminution de la probabilité d’une attaque et/ou de son temps de détection.

Articles associés

Sécurité des clés de chiffrement dans le Cloud

22 juillet 2019
La protection des données, et en particulier celles dans le cloud, est capitale aujourd'hui, d'une part à cause des attaques récurrentes sur lesdites données (cf. l'affaire EquiFax) et d'autre part car de nouvelles régulations telles que le GDPR sont apparues et obligent les entreprises à garantir la confidentialité des données sensibles.

Le Cloud et la sécurité orientée événements (Event Driven Security)

4 juin 2018
D’après le Rapport Mandiant 2018, un attaquant passe en…
Partager cet article
Derniers articles

Les technologies réseaux au service de l’IoT

L’IoT (Internet of Things = objets connectés) est de plus en plus présent dans notre quotidien via des objets connectés à notre téléphone, notre PC… Actuellement, les objets les plus courants sont les montres et les capteurs portables, mais la tendance est au développement de ces objets (frigo, cafetière, balance pour ne citer que ceux-là). […]

CAT8 : le câblage du futur pour les Datacenter ?

Aujourd’hui, les Datacenter ont besoin de débits de plus en plus élevés, d’une grande flexibilité et de pouvoir effectuer des migrations à moindre coût. À cause de la virtualisation, des applications mobiles, du « Big Data », des nouveaux modes de travail, de la convergence réseau et service, et du streaming vidéo et audio, les […]

“Zero Trust”, la bonne résolution post-confinement ?

Ce n’est un secret pour personne, la cyber-criminalité a été particulièrement onéreuse pour les entreprises en 2019, qui ont vu le coût moyen des incidents (ou cyber-attaques) passer de 3 M€ à 4,6 M€. Entre les ransomware, virus, malwares, chevaux de Troie (trojans) et diverses campagnes de phishing, il y a fort à faire pour […]

La continuité d’activité face à la pandémie

  Le Coronavirus ou COVID-19, qui touche une grande partie des pays en ce moment, met à l’épreuve les services informatiques et les infrastructures de toutes les sociétés. Les Plans de Continuité d’Activité (PCA), quand il y en a !, sont tous testés grandeur nature actuellement, et parfois dans une situation non prévue, ou dont la […]