La s\u00e9curit\u00e9 des applications cloud (AppSec) est le processus de protection des applications et des API h\u00e9berg\u00e9es dans des environnements cloud contre les menaces modernes. \u00c0 mesure que les entreprises adoptent des strat\u00e9gies ax\u00e9es sur le cloud, des pratiques AppSec robustes sont essentielles pour prot\u00e9ger les donn\u00e9es sensibles et garantir la conformit\u00e9 aux r\u00e9glementations telles que le RGPD et la CCPA.<\/p>\n\n\n\n
La s\u00e9curit\u00e9 des applications cloud diff\u00e8re de la s\u00e9curit\u00e9 des applications traditionnelle car les environnements cloud offrent des m\u00e9thodes uniques de d\u00e9ploiement des applications. Par exemple, les mod\u00e8les de service Platform as a Service (PaaS) permettent \u00e0 une entreprise de cr\u00e9er et d’ex\u00e9cuter une application dans un environnement enti\u00e8rement g\u00e9r\u00e9 par le fournisseur de services. Une compr\u00e9hension du fonctionnement des environnements cloud et des diverses solutions de s\u00e9curit\u00e9 disponibles pour eux est essentielle pour prot\u00e9ger correctement les applications bas\u00e9es sur le cloud.<\/p>\n\n\n\n
Cet article explore certains des principaux d\u00e9fis de s\u00e9curit\u00e9 des environnements cloud et les outils que les responsables informatiques peuvent utiliser pour les g\u00e9rer. Il explore \u00e9galement des informations importantes que les responsables devraient conna\u00eetre, y compris leurs responsabilit\u00e9s en mati\u00e8re de conformit\u00e9 et les principales tendances en mati\u00e8re de s\u00e9curit\u00e9 des applications cloud.<\/p>\n\n\n\n
Le mod\u00e8le de responsabilit\u00e9 partag\u00e9e en mati\u00e8re de s\u00e9curit\u00e9 cloud r\u00e9partit les responsabilit\u00e9s de s\u00e9curit\u00e9 entre le fournisseur de cloud et le client cloud. La division exacte des responsabilit\u00e9s d\u00e9pend du mod\u00e8le cloud utilis\u00e9 (SaaS, PaaS, IaaS, etc.).<\/p>\n\n\n\n
Par exemple, dans un mod\u00e8le IaaS, un client cloud peut d\u00e9ployer ses propres machines virtuelles (VM) dans un environnement g\u00e9r\u00e9. Dans ce sc\u00e9nario, le client est responsable de la s\u00e9curisation appropri\u00e9e de ses VM ainsi que des donn\u00e9es et des applications qu’il h\u00e9berge. En revanche, dans un d\u00e9ploiement SaaS \u2014 o\u00f9 le client utilise simplement un logiciel tiers \u2014 il est responsable de ses propres donn\u00e9es et de la configuration des param\u00e8tres disponibles dans cette application.<\/p>\n\n\n\n
Comprendre et mettre en \u0153uvre efficacement ce mod\u00e8le partag\u00e9 est vital pour minimiser les risques de s\u00e9curit\u00e9 dans le cloud.<\/p>\n\n\n\n
Les erreurs de configuration sont un d\u00e9fi courant dans les environnements cloud. Les fournisseurs de cloud mettent souvent \u00e0 la disposition de leurs utilisateurs divers param\u00e8tres de s\u00e9curit\u00e9 pour leur permettre de personnaliser leur exp\u00e9rience. Par exemple, les documents cloud peuvent \u00eatre d\u00e9finis comme priv\u00e9s par d\u00e9faut mais peuvent \u00eatre partag\u00e9s soit avec un destinataire sp\u00e9cifique par e-mail, soit rendus publics via le partage par lien.<\/p>\n\n\n\n
Une configuration incorrecte de ces param\u00e8tres peut rendre un d\u00e9ploiement dans le cloud vuln\u00e9rable aux attaques.\u00a0<\/p>\n\n\n\n
Par exemple, un bucket de stockage accessible au public contenant des donn\u00e9es sensibles de clients a conduit \u00e0 une violation majeure pour un d\u00e9taillant mondial.<\/p>\n\n\n\n
Cette menace est exacerb\u00e9e par le fait que les services cloud sont con\u00e7us pour \u00eatre faciles \u00e0 d\u00e9ployer. Le potentiel de shadow IT augmente le risque que ces ressources cloud non g\u00e9r\u00e9es soient mal configur\u00e9es.<\/p>\n\n\n\n
Bien que les interfaces de programmation d’applications (APIs) puissent \u00eatre h\u00e9berg\u00e9es n’importe o\u00f9, elles sont omnipr\u00e9sentes dans les environnements cloud. Les APIs peuvent faire partie de l’infrastructure web h\u00e9berg\u00e9e dans le cloud d’une organisation, connecter des microservices ou des applications conteneuris\u00e9es, ou permettre l’interaction avec des offres de Software as a Service (SaaS).<\/p>\n\n\n\n
Les APIs sont une cible privil\u00e9gi\u00e9e pour les cybercriminels et sont souvent moins s\u00e9curis\u00e9es que leurs homologues d’applications web. Puisque ces APIs sont con\u00e7ues pour interagir avec des applications, elles sont bien adapt\u00e9es aux attaques automatis\u00e9es telles que le credential stuffing. En m\u00eame temps, les entreprises peuvent avoir du mal \u00e0 g\u00e9rer la s\u00e9curit\u00e9 des APIs en raison d’un manque de visibilit\u00e9 et du potentiel de shadow IT.<\/p>\n\n\n\n
\u00c0 mesure que les entreprises d\u00e9placent des donn\u00e9es plus sensibles vers le cloud, les violations de donn\u00e9es dans le cloud deviennent plus courantes. Les erreurs de configuration de la s\u00e9curit\u00e9 cloud repr\u00e9sentent un risque significatif pour les donn\u00e9es si, par exemple, les disques cloud sont accidentellement configur\u00e9s pour \u00eatre accessibles au public ou si des comptes cloud se voient attribuer des acc\u00e8s inutiles.<\/p>\n\n\n\n
Les entreprises peuvent \u00e9galement avoir du mal \u00e0 avoir une visibilit\u00e9 sur leurs donn\u00e9es sensibles stock\u00e9es dans le cloud. Les applications SaaS peuvent contenir des donn\u00e9es d’entreprise, les employ\u00e9s peuvent stocker des informations sensibles dans des comptes cloud personnels, et les syst\u00e8mes de sauvegarde cloud peuvent g\u00e9n\u00e9rer des caches inconnus et non s\u00e9curis\u00e9s d’informations priv\u00e9es. Ce manque de visibilit\u00e9 augmente la difficult\u00e9 de s’assurer que les donn\u00e9es cloud sont correctement g\u00e9r\u00e9es et s\u00e9curis\u00e9es.<\/p>\n\n\n\n
Les environnements cloud sont en dehors du p\u00e9rim\u00e8tre r\u00e9seau traditionnel, ce qui les rend directement accessibles depuis Internet public. Cela rend la s\u00e9curit\u00e9 des comptes particuli\u00e8rement importante puisque les contr\u00f4les d’acc\u00e8s peuvent \u00eatre tout ce qui se dresse entre les violations de donn\u00e9es et d’autres cyberattaques.<\/p>\n\n\n\n
Les environnements cloud font face aux m\u00eames risques de s\u00e9curit\u00e9 des comptes que tout autre syst\u00e8me informatique, tels que des mots de passe faibles et des permissions excessives. Cependant, un manque de compr\u00e9hension des environnements cloud peut aggraver le probl\u00e8me. Par exemple, un utilisateur peut se voir accorder un acc\u00e8s \u00e9tendu alors qu’il n’a besoin que d’utiliser une seule application.<\/p>\n\n\n\n
Les menaces internes peuvent inclure des actions intentionnelles et malveillantes d’un initi\u00e9 de confiance ou des risques de s\u00e9curit\u00e9 introduits par n\u00e9gligence ou accidents. Bien que la premi\u00e8re soit toujours une possibilit\u00e9, les fuites de donn\u00e9es accidentelles sont particuli\u00e8rement courantes dans les environnements cloud.<\/p>\n\n\n\n
Les services cloud sont con\u00e7us pour \u00eatre faciles \u00e0 utiliser, et cela se fait souvent au d\u00e9triment de la s\u00e9curit\u00e9. Si les employ\u00e9s peuvent facilement configurer leur propre environnement cloud ou rendre un document ou un dossier h\u00e9berg\u00e9 dans le cloud accessible au public, le risque que des informations sensibles soient expos\u00e9es \u00e0 des utilisateurs non autoris\u00e9s augmente consid\u00e9rablement.<\/p>\n\n\n\n
Les applications h\u00e9berg\u00e9es dans le cloud font face \u00e0 une vari\u00e9t\u00e9 de menaces de s\u00e9curit\u00e9 diff\u00e9rentes. Les organisations peuvent utiliser diverses solutions pour faire face \u00e0 ces menaces et atteindre leurs objectifs de s\u00e9curit\u00e9 internes et leurs responsabilit\u00e9s en mati\u00e8re de conformit\u00e9.<\/p>\n\n\n\n
CSPM<\/a> Les solutions garantissent que les environnements cloud sont configur\u00e9s correctement, aidant les organisations \u00e0 \u00e9viter les vuln\u00e9rabilit\u00e9s qui m\u00e8nent \u00e0 des violations. Ces outils surveillent en permanence les environnements cloud pour des param\u00e8tres non s\u00e9curis\u00e9s et g\u00e9n\u00e8rent une alerte ou prennent des mesures correctives si un probl\u00e8me est identifi\u00e9.<\/p>\n\n\n\n Les outils CWPP sont con\u00e7us pour am\u00e9liorer la s\u00e9curit\u00e9 des charges de travail bas\u00e9es sur le cloud, telles que les applications conteneuris\u00e9es. Ces solutions offrent une protection en temps d’ex\u00e9cution et surveillent les vuln\u00e9rabilit\u00e9s potentielles dans ces charges de travail.<\/p>\n\n\n\nPlateforme de protection des charges de travail cloud (CWPP)<\/h3>\n\n\n\n
Broker de s\u00e9curit\u00e9 d’acc\u00e8s au cloud (CASB)<\/h3>\n\n\n\n