Vulnérabilités de l'infrastructure cloud

1. Violation de la confidentialité des données;
2. Configuration incorrecte et contrôle des modifications inadéquat;
3. Absence de stratégies de sécurité dans le cloud et l'architecture de sécurité;
4. Manque d'identification, séparation des droits et procédures de contrôle d'accès;
5. Piratage et vol de comptes;
6. Menaces internes

Menace 1. Violation de la confidentialité des données

• Attaque ciblée
• Erreur humaine
• Vulnérabilités des applications
• Absence de mesures de sécurité

• Grande surface d'attaque grâce aux ressources partagées et partagées
• Les fournisseurs de services cloud deviennent souvent une cible attrayante pour les pirates en raison de la popularité et de l'énorme quantité de données stockées.
• Il y a une répartition des responsabilités lorsque le client est responsable de la sécurité des données et que le fournisseur de cloud n'est responsable que de la disponibilité de l'infrastructure et des outils.

• Protection en profondeur - création d'une protection dans le cloud client;
• Principe du moindre privilège;
• Introduction de procédures de surveillance et de journalisation dans le cloud;
• Un plan de réponse aux incidents fiable et éprouvé;
• Le chiffrement peut aider à protéger les données, mais affecte négativement les performances du système.

Menace 2. Configuration incorrecte et contrôle inadéquat

• Stockage dans le cloud public
• Bases de données cloud non sécurisées
• Sauvegardes protégées de manière inappropriée
• NAS ouvert connecté à Internet

• Description complète du cycle de vie de l'infrastructure
• Gestion flexible et proactive du cloud
• Cryptage des données confidentielles
• Journalisation des modifications de configuration

Menace 3. Absence de stratégie de sécurité et d'architecture de sécurité dans le cloud

• L'architecture cloud sécurisée nécessite de nouvelles fonctionnalités et de nouveaux outils.
• Les organisations doivent apprendre de nouvelles technologies en matière d'adoption du cloud.

• De nouvelles technologies, donc sophistiquées, sont utilisées;
• Un nouveau modèle de sécurité du cloud hybride est nécessaire;
• Un juste équilibre est nécessaire entre l'innovation et le contrôle;
• Il n'y a ni architecture ni documentation de référence.

• Assurez-vous que votre architecture de sécurité est alignée sur les buts et objectifs de votre entreprise.
• Concevoir et implémenter un cadre d'architecture de sécurité.
• Assurez-vous que le modèle de menace est constamment mis à jour.
• Assurez une visibilité continue de l'état de sécurité réel.

Menace 4. Identification, séparation des droits et procédures de contrôle d'accès inadéquates

• Protection inadéquate des informations d'identification.
• Absence de rotation automatique régulière des clés cryptographiques, des mots de passe et des certificats.
• Manque de systèmes de contrôle d'accès d'identité évolutifs.
• Refus d'utiliser l'authentification multifacteur et les mots de passe forts.

• Lire, filtrer, modifier et supprimer des données
• Obtenez des privilèges de gestion et de contrôle
• Regarder les données transmises
• Introduisez un malware en le déguisant tel qu'il a été acquis à partir de sources légitimes

• Utiliser des informations d'identification de sécurité temporaires (rôles AWS IAM) au lieu de clés d'accès à long terme
• N'insérez pas de clés d'accès directement dans le code. Utilisez différentes clés pour différentes applications.
• Changer les clés périodiquement
• Supprimer les clés d'accès inutilisées
• Configurez l'authentification multifacteur pour vos tâches les plus importantes.

Menace 5. Piratage et vol de compte

• Mesures inadéquates de contrôle d'identité et d'accès (IAM).
• Manque de journaux, de surveillance et d'alertes au niveau du compte.
• Manque de protection dans le cloud client (protection approfondie)
• Manque de protection contre le phishing et l'exploitation des informations d'identification volées.

• Il est susceptible d'obtenir des comptes et des services de service cloud.
• L'incertitude provient du modèle de prestation de services cloud.
• Les données et les applications résident dans des services cloud disponibles via un compte cloud ou un abonnement.
• /
• ,

• ,
• IAM : , , , .
• IP-,

6.

• Limitez le rayon de l'impact potentiel à l'aide des stratégies d'identité et d'accès (IAM) et des moindres privilèges.
• Empêcher «un comportement d'initié involontaire».
• Offrir aux employés un environnement de travail sécurisé par défaut
• Gestion, initialisation et protection automatisées de la configuration.
• Présentation de nouvelles capacités de surveillance et de découverte pour les environnements cloud (SaaS / PaaS / Iaas).
• Élaborez un plan de continuité des activités.