Denis Demontes

Le Cloud et la sécurité orientée événements (Event Driven Security)

D’après le Rapport Mandiant 2018, un attaquant passe en moyenne 175 jours à l’intérieur des réseaux de sa victime (en zone EMEA) avant qu’une première évidence de l’attaque soit trouvée, chiffre en augmentation par rapport à 2016 où la moyenne était de 106 jours. 56% de ces attaques ont été détectées en interne et 44% en externe.

Les Etats-Unis, eux, se portent mieux avec une diminution du temps moyen qui est passé de 106 jours à 99 jours entre 2016 et 2017.

Ces statistiques montrent que le périmètre de défense traditionnel (firewalls, antivirus, etc.), bien qu’indispensable, ne semble plus être suffisant pour protéger complètement les ressources (informations, données personnelles, etc.) des entreprises.

La prévention se révèle donc indispensable, mais une réaction rapide aux événements est également critique : en effet, il devient indispensable de réduire ce nombre de 175 jours à quelques heures, voire minutes.

Comment atteindre cet objectif ?

Les fournisseurs Cloud offrent un ensemble de services qui permettent de mettre en place de manière automatisée une surveillance réactive du périmètre Cloud, en complément de la défense traditionnelle.

Ainsi, la Sécurité Orientée Événements (Event Driven Security) consiste à réagir aussi rapidement que possible aux événements dans l’infrastructure cloud liés à la sécurité.

Ceci est possible en accédant en temps réel (ou quasi temps réel) à des données fiables, relatives à l’activité du réseau et infrastructure cloud, pour y réagir de manière automatisée.

La plupart des fournisseurs Cloud mettent à disposition dans leurs services les informations et les mécanismes (APIs, interfaces) qui permettent de déclencher ces actions automatisées de surveillances de l’infrastructure.

Les principes de la sécurité Orientée Événements

Les services s’exécutent dans la couche de gestion du Cloud (Management Plane): ils sont au-delà de la portée d’une intrusion ou d’un élément du réseau compromis par une attaque. Si un serveur est compromis, feriez-vous confiance à l’antivirus qui y est installé ?

Quand un événement arrive dans l’infrastructure Cloud que l’on souhaite surveiller, le service associé déclenche du code spécifiquement écrit pour cet événement (language python parmi d’autres) en lui passant les informations associées, lambda functionschez AWS et Background functions chez Google pour ne nommer que deux fournisseurs. Ces functions sont automatiquement authentifiées dans les services, et les droits d’accès sont configurés en fonction du périmètre d’action du code.

Typiquement, le code est associé à des événements enregistrés dans le système des logs (AWS CloudWatchCloudWatch Logs and CloudWatch EventsGoogle Logs), la messagerie (AWS SNSAWS SQSGoogle Messaging), les informations de télémétrie (AWS CloudTrail et Google StackDriver Logging) telles que utilisation CPU, RAM, etc.

Il est aussi possible de s’assurer de la conformité de l’implémentation de certaines règles, présentes dans les procédures de sécurité, en comparant les configurations réelles et en surveillant les changements avec ce qui a été défini dans le système de sécurité.
Par exemple, une surveillance peut être mise sur les droits d’accès pour les utilisateurs d’un groupe qu’uniquement des superutilisateurs autorisés peuvent modifier. Dès qu’un nouvel utilisateur est créé, on déclenche du code qui va vérifier que la personne qui l’a créé appartient bien au groupe autorisé (AWS Config et AWS Config Rules).

Conclusion

A l’aide de ces services et en particulier avec l’utilisation du code Serverless et son grand pouvoir de configuration, les implémentations cloud pourront mettre en place des actions automatiques en réponse à des événements dans leur infrastructure avec pour objectifs la détection d’incidents de sécurité, le renforcement des directives de sécurité, la conformité et l’audit, et finalement la diminution de la probabilité d’une attaque et/ou de son temps de détection.

Articles associés

IoT : et la sécurité ?

10 novembre 2020
L’internet des objets (IoT) se développe au sein des foyers et de plus en plus dans les entreprises. On y trouve des détecteurs de présence, des tablettes de réservation de salle, des écrans de signalétique, des lecteurs de badge etc. Ces dispositifs sont souvent reliés à d’autres composants du SI diffusant des informations nécessaires aux […]

Sécurité des clés de chiffrement dans le Cloud

22 juillet 2019
La protection des données, et en particulier celles dans le cloud, est capitale aujourd'hui, d'une part à cause des attaques récurrentes sur lesdites données (cf. l'affaire EquiFax) et d'autre part car de nouvelles régulations telles que le GDPR sont apparues et obligent les entreprises à garantir la confidentialité des données sensibles.
Partager cet article
Derniers articles

Un datacenter perdu : ça n’arrive pas qu’aux autres !

L’incident survenu chez OVH début mars a rappelé à beaucoup qu’un Datacenter n’était pas éternel. Pour rappel, un incendie a détruit un ensemble de salles, et par effet de bord, les autres salles ont dû être éteintes plusieurs jours, pour sécuriser l’opération des pompiers dans un premier temps, et ensuite le temps de reconstruire les […]

LE ou LA Wifi ? On ne sait pas trop mais c’est déjà la version 6

Comme vous l’aurez deviné, on ne va pas discuter ici de l’importance d’utiliser le pronom masculin ou féminin, mais bien de cette “version 6” qui chamboule tout – à commencer par sa nomenclature. Les puristes amateurs de l’apprentissage par cœur des références de RFC telles que les classiques 1145 ou 2549 (sacrés pigeons voyageurs !) déploreront […]

Petit déjeuner table ronde: Pourquoi et comment sécuriser son environnement OT en 2021 ? Rendez-vous le jeudi 18 mars à 9H00

La gestion des mises à jour : Une ligne de défense négligée

EternalBlue (MS17 – 010) est un exploit utilisant une faille de sécurité présente dans la première version du Protocole SMB. Cette vulnérabilité a permis au ransomware ‘WannaCry’ de se propager. En cause, le fait que des utilisateurs Windows n’avaient toujours pas installé le correctif de sécurité publié le 14 mars 2017. Cette cyber-attaque met en […]