Nous tenons à noter que les menaces et vulnérabilités impliquées dans la migration vers le cloud sont en constante évolution et que celles énumérées ici ne sont en aucun cas exhaustives. Il est important de prendre en compte d’autres défis et risques associés à l’adoption du cloud spécifiques à leurs missions, systèmes et données.
Le modèle cloud du National Institute of Standards and Technology (NIST) fournit une définition du cloud computing et de la manière dont il peut être utilisé et déployé.
Le NIST identifie les caractéristiques et modèles suivants pour le cloud computing:
- Caractéristiques essentielles : libre-service à la demande, accès au réseau étendu, mise en commun des ressources, élasticité rapide et service mesuré
- Modèles de service : Modèles de déploiement de logiciels en tant que service (SaaS), de plates-formes en tant que service (PaaS) et d’infrastructures en tant que service (IaaS)
- : Cloud privé, cloud communautaire, cloud public et cloud hybride
Menaces, risques et vulnérabilités liés au cloud Computing
Les environnements Cloud connaissent – à un niveau élevé – les mêmes menaces que les environnements de centres de données traditionnels ; l’image des menaces est la même. C’est-à-dire que le cloud computing exécute des logiciels, que les logiciels présentent des vulnérabilités et que les adversaires tentent d’exploiter ces vulnérabilités. Cependant, contrairement aux systèmes de technologie de l’information dans un centre de données traditionnel, dans le cloud computing, la responsabilité de l’atténuation des risques résultant de ces vulnérabilités logicielles est partagée entre le CSP et le consommateur de cloud. Par conséquent, les consommateurs doivent comprendre la répartition des responsabilités et avoir confiance que le CSP s’acquitte de ses responsabilités. Sur la base de nos recherches documentaires et de nos efforts d’analyse, la liste suivante de vulnérabilités et de menaces cloud/sur site uniques et partagées a été identifiée. La figure ci-dessous détaille également l’image de la menace pour les plates-formes de cloud computing.
Menaces et risques uniques au Cloud
Les vulnérabilités suivantes résultent de la mise en œuvre par un CSP des cinq caractéristiques du cloud computing. Ces vulnérabilités n’existent pas dans les centres de données informatiques classiques.
#1 Les Consommateurs Ont une Visibilité et un contrôle réduits. Lors de la transition des actifs/opérations vers le cloud, les organisations perdent une certaine visibilité et un certain contrôle sur ces actifs/opérations. Lors de l’utilisation de services cloud externes, la responsabilité de certaines des stratégies et de l’infrastructure est transférée au CSP.
Le changement de responsabilité réel dépend du ou des modèles de services cloud utilisés, ce qui entraîne un changement de paradigme pour les agences en matière de surveillance de la sécurité et de journalisation. Les organisations doivent effectuer une surveillance et une analyse des informations sur les applications, les services, les données et les utilisateurs, sans utiliser la surveillance et la journalisation basées sur le réseau, disponibles pour l’informatique sur site.
#2 Le Libre-Service À La Demande Simplifie L’Utilisation Non Autorisée. Les EFPC facilitent la fourniture de nouveaux services. Les fonctionnalités de provisionnement en libre-service à la demande du cloud permettent au personnel d’une organisation de fournir des services supplémentaires à partir du CSP de l’agence sans son consentement informatique. La pratique consistant à utiliser un logiciel dans une organisation qui n’est pas prise en charge par le service informatique de l’organisation est communément appelée informatique fantôme.
En raison des coûts plus faibles et de la facilité de mise en œuvre des produits PaaS et SaaS, la probabilité d’utilisation non autorisée des services cloud augmente. Cependant, les services fournis ou utilisés à son insu présentent des risques pour une organisation. L’utilisation de services cloud non autorisés pourrait entraîner une augmentation des infections par des logiciels malveillants ou l’exfiltration de données, car l’organisation n’est pas en mesure de protéger les ressources dont elle ne connaît pas. L’utilisation de services cloud non autorisés diminue également la visibilité et le contrôle d’une organisation sur son réseau et ses données.
#3 Les API de gestion accessibles sur Internet peuvent être compromises. Les CSP exposent un ensemble d’interfaces de programmation d’applications (API) que les clients utilisent pour gérer et interagir avec les services cloud (également connu sous le nom de plan de gestion). Les organisations utilisent ces API pour provisionner, gérer, orchestrer et surveiller leurs actifs et leurs utilisateurs. Ces API peuvent contenir les mêmes vulnérabilités logicielles qu’une API pour un système d’exploitation, une bibliothèque, etc. Contrairement aux API de gestion pour l’informatique sur site, les API CSP sont accessibles via Internet les exposant plus largement à une exploitation potentielle.
Les acteurs des menaces recherchent des vulnérabilités dans les API de gestion. Si elles sont découvertes, ces vulnérabilités peuvent être transformées en attaques réussies et les ressources du cloud de l’organisation peuvent être compromises. À partir de là, les attaquants peuvent utiliser les actifs de l’organisation pour perpétrer d’autres attaques contre d’autres clients CSP.
#4 La Séparation Entre Plusieurs Locataires Échoue. L’exploitation des vulnérabilités du système et des logiciels au sein de l’infrastructure, des plates-formes ou des applications d’un CSP prenant en charge la multi-location peut entraîner une incapacité à maintenir la séparation entre les locataires. Cet échec peut être utilisé par un attaquant pour accéder à partir de la ressource d’une organisation aux actifs ou aux données d’un autre utilisateur ou organisation. La multi-location augmente la surface d’attaque, ce qui augmente les risques de fuite de données en cas d’échec des contrôles de séparation.
Cette attaque peut être réalisée en exploitant des vulnérabilités dans les applications, l’hyperviseur ou le matériel du CSP, en subvertissant les contrôles d’isolation logique ou les attaques sur l’API de gestion du CSP. À ce jour, il n’y a pas eu de défaillance de sécurité documentée de la plate-forme SaaS d’un CSP qui a permis à un attaquant externe d’accéder aux données des locataires.
Aucun rapport d’attaque basée sur un échec de séparation logique n’a été identifié ; cependant, des exploits de preuve de concept ont été démontrés.
#5 La suppression des données est incomplète. Les menaces associées à la suppression de données existent car le consommateur a une visibilité réduite sur l’endroit où ses données sont physiquement stockées dans le cloud et une capacité réduite à vérifier la suppression sécurisée de ses données. Ce risque est préoccupant car les données sont réparties sur un certain nombre de périphériques de stockage différents au sein de l’infrastructure du CSP dans un environnement multi-locatif. De plus, les procédures de suppression peuvent différer d’un fournisseur à l’autre. Les organisations peuvent ne pas être en mesure de vérifier que leurs données ont été supprimées en toute sécurité et que les restes de données ne sont pas disponibles pour les attaquants. Cette menace augmente à mesure qu’une agence utilise davantage de services CSP.
Menaces et risques dans le Cloud et sur site
Les risques suivants s’appliquent aux centres de données informatiques dans le cloud et sur site que les organisations doivent traiter.
#6 Les informations d’identification sont volées. Si un attaquant accède aux informations d’identification cloud d’un utilisateur, il peut avoir accès aux services du CSP pour fournir des ressources supplémentaires (si les informations d’identification autorisent l’accès au provisionnement), ainsi que cibler les actifs de l’organisation. L’attaquant pourrait tirer parti des ressources de cloud computing pour cibler les utilisateurs administratifs de l’organisation, d’autres organisations utilisant le même CSP ou les administrateurs du CSP. Un attaquant qui accède aux informations d’identification cloud d’un administrateur CSP peut être en mesure d’utiliser ces informations d’identification pour accéder aux systèmes et aux données de l’agence.
Les rôles d’administrateur varient entre un CSP et une organisation. L’administrateur CSP a accès au réseau, aux systèmes et aux applications CSP (selon le service) de l’infrastructure du CSP, tandis que les administrateurs du consommateur n’ont accès qu’aux implémentations cloud de l’organisation. Essentiellement, l’administrateur CSP dispose de droits d’administration sur plusieurs clients et prend en charge plusieurs services.
#7 Le verrouillage du fournisseur Complique le Passage à D’Autres CSP. Le verrouillage des fournisseurs devient un problème lorsqu’une organisation envisage de transférer ses actifs/opérations d’un CSP à un autre. L’organisation découvre que le coût / l’effort / le temps de planification nécessaires au déménagement est beaucoup plus élevé que prévu initialement en raison de facteurs tels que les formats de données non standard, les API non standard et la dépendance aux outils propriétaires d’un CSP et aux API uniques.
Ce problème augmente dans les modèles de services où le CSP assume plus de responsabilités. À mesure qu’une agence utilise davantage de fonctionnalités, de services ou d’API, l’exposition aux implémentations uniques d’un CSP augmente. Ces implémentations uniques nécessitent des modifications lorsqu’une capacité est déplacée vers un CSP différent. Si un CSP sélectionné fait faillite, cela devient un problème majeur car les données peuvent être perdues ou ne peuvent pas être transférées à un autre CSP en temps opportun.
#8 Une Complexité accrue Met Le Personnel informatique À Rude Épreuve. La migration vers le cloud peut introduire de la complexité dans les opérations informatiques. La gestion, l’intégration et l’exploitation dans le cloud peuvent nécessiter que le personnel informatique existant de l’agence apprenne un nouveau modèle. Le personnel informatique doit avoir la capacité et le niveau de compétence nécessaires pour gérer, intégrer et maintenir la migration des actifs et des données vers le cloud, en plus de ses responsabilités actuelles en matière d’informatique sur site.
Les services de gestion des clés et de chiffrement deviennent plus complexes dans le cloud. Les services, techniques et outils disponibles pour enregistrer et surveiller les services cloud varient généralement d’un CSP à l’autre, ce qui augmente encore la complexité. Il peut également y avoir des menaces/risques émergents dans les implémentations de cloud hybride en raison de la technologie, des politiques et des méthodes de mise en œuvre, ce qui ajoute de la complexité. Cette complexité accrue entraîne un potentiel accru de failles de sécurité dans les implémentations cloud et sur site d’une agence.
#9 Les Initiés Abusent De L’Accès Autorisé. Les initiés, tels que le personnel et les administrateurs des organisations et des FSC, qui abusent de leur accès autorisé aux réseaux, systèmes et données de l’organisation ou des FSC, sont particulièrement bien placés pour causer des dommages ou exfiltrer des informations.
L’impact est probablement pire lors de l’utilisation de l’IaaS en raison de la capacité d’un initié à fournir des ressources ou à effectuer des activités néfastes qui nécessitent des analyses médico-légales pour la détection. Ces capacités d’analyse judiciaire peuvent ne pas être disponibles avec les ressources cloud.
#10 Les données stockées sont perdues. Les données stockées dans le cloud peuvent être perdues pour des raisons autres que des attaques malveillantes. La suppression accidentelle de données par le fournisseur de services cloud ou une catastrophe physique, telle qu’un incendie ou un tremblement de terre, peut entraîner la perte permanente des données client. Le fardeau d’éviter la perte de données ne repose pas uniquement sur les épaules du fournisseur. Si un client crypte ses données avant de les télécharger sur le cloud mais perd la clé de chiffrement, les données seront perdues. En outre, une compréhension inadéquate du modèle de stockage d’un CSP peut entraîner une perte de données. Les agences doivent envisager la récupération de données et se préparer à la possibilité d’acquérir leur CSP, de modifier leurs offres de services ou de faire faillite.
Cette menace augmente à mesure qu’une agence utilise davantage de services CSP. Récupérer des données sur un CSP peut être plus facile que de les récupérer dans une agence, car un SLA désigne les pourcentages de disponibilité / disponibilité. Ces pourcentages devraient faire l’objet d’une enquête lorsque l’agence choisit un PSC.
#11 La chaîne d’approvisionnement du CSP est compromise. Si le CSP sous-traite des parties de son infrastructure, de ses opérations ou de sa maintenance, ces tiers peuvent ne pas satisfaire / soutenir les exigences que le CSP est engagé à fournir à une organisation. Une organisation doit évaluer comment le CSP applique la conformité et vérifier si le CSP transmet ses propres exigences à des tiers. Si les exigences ne sont pas imposées à la chaîne d’approvisionnement, la menace pour l’agence augmente.
Cette menace augmente à mesure qu’une organisation utilise davantage de services CSP et dépend des CSP individuels et de leurs politiques de chaîne d’approvisionnement.
#12 Une Diligence Raisonnable Insuffisante Augmente Le Risque De Cybersécurité. Les organisations qui migrent vers le cloud font souvent preuve d’une diligence raisonnable insuffisante. Ils transfèrent les données vers le cloud sans en comprendre toute la portée, les mesures de sécurité utilisées par le CSP et leur propre responsabilité de fournir des mesures de sécurité. Ils prennent la décision d’utiliser les services cloud sans bien comprendre comment ces services doivent être sécurisés.
Conclusion et perspectives
Il est important de se rappeler que les fournisseurs de services de sécurité utilisent un modèle de responsabilité partagée en matière de sécurité. Le CSP accepte la responsabilité de certains aspects de la sécurité. D’autres aspects de la sécurité sont partagés entre le CSP et le consommateur. Enfin, certains aspects de la sécurité restent de la seule responsabilité du consommateur. Une sécurité cloud efficace dépend de la connaissance et du respect de toutes les responsabilités des consommateurs. L’incapacité des consommateurs à comprendre ou à assumer leurs responsabilités est l’une des principales causes d’incidents de sécurité dans les systèmes basés sur le cloud.
Dans cet article de blog, nous avons identifié cinq menaces uniques sur le cloud et sept menaces sur le cloud et sur site auxquelles les entreprises sont confrontées lorsqu’elles envisagent de migrer leurs données et leurs actifs vers le cloud. Dans le prochain article de cette série, nous explorerons une série de bonnes pratiques visant à aider les organisations à déplacer en toute sécurité des données et des applications vers le cloud.
Ressources supplémentaires
Lisez le prochain article de cette série, Meilleures pratiques pour la sécurité dans le Cloud.
Pour plus d’informations sur la sécurité du cloud computing, veuillez visiter les sites suivants:
Le Programme fédéral de gestion des risques et des autorisations (FedRAMP) est un programme pangouvernemental qui fournit une approche normalisée de l’évaluation de la sécurité, de l’autorisation et de la surveillance continue des produits et services infonuagiques.
La Cloud Security Alliance s’efforce de promouvoir l’utilisation des meilleures pratiques pour garantir la sécurité dans le Cloud Computing et de dispenser une formation sur les utilisations du Cloud Computing pour aider à sécuriser toutes les autres formes d’informatique
La page de l’Agence de l’Union européenne pour la sécurité des réseaux et de l’information (ENISA) sur la sécurité du cloud.