L’ANSSI fait le point sur la sécurité du cloud et livre ses recommandations

Dans un communiqué paru jeudi, l’Agence nationale de la sécurité des systèmes d'information note que le cloud est devenu omniprésent, mais qu’il est « nécessaire de connaître les menaces et de mesurer les risques qui accompagnent son utilisation ». Elle propose donc un rapport (PDF) servant deux objectifs : réaliser un état de la menace et fournir une liste de recommandations élémentaires.

Si le cloud est devenu si utilisé, ce n’est pas un hasard pour l’agence : il apporte des opportunités et un effet levier. Mais ces mêmes apports sont autant de vecteurs pour de nouvelles attaques et problématiques de sécurité, avertit l'ANSSI. Toutes les entités faisant appel au cloud sont concernées, qu’elles aient déplacé l’intégralité de leur environnement dans le nuage ou qu’elles en contrôlent encore une partie sur site (on premise).

Réussir une attaque contre une infrastructure cloud peut permettre aux acteurs malveillants de faire coup double. Les données hébergées représentent bien sûr un intérêt, mais ils peuvent également tenter une latéralisation. De là, selon les opportunités disponibles, les pirates peuvent aussi atteindre des accès vers les clients de l’entreprise attaquée. Finalités lucratives, espionnage et déstabilisation sont autant de moteurs.

Montée en compétences et failles humaines

Selon l’ANSSI, le cloud fait aussi bien partie de la vie des entreprises que de celles des pirates. Certains groupes s’en sont faits une spécialité. Mango Sandstorm, Scattered Spider, Nobelium, Storm-0558 et Storm-0501 sont cités en exemples.

Il y a plusieurs conséquences. Tout d’abord, une grande expertise technique, qui permet de savoir précisément à quoi on s’attaque pour y chercher des brèches. Cette expertise peut inclure la connaissance de failles de sécurités, les vulnérabilités de type 0-day étant toujours très recherchées. Cependant, ces mêmes connaissances peuvent servir à mettre sur pied des infrastructures cloud conçues pour l’attaque.

Pour l’ANSSI, il s’agit « d’une des tendances grandissantes ». Il n’y a pas toujours besoin de posséder soi-même le matériel, car les pirates peuvent louer l’infrastructure chez un opérateur de cloud classique. Dans tous les cas, ces méthodes « complexifient la détection en dissimulant les activités malveillantes au sein du trafic légitime des utilisateurs de ces plateformes ».

Contrairement à ce que l’on pourrait penser cependant, les failles de sécurité – même 0-day – ne représentent pas la majorité des accès initiaux. L'agence cite ainsi une étude de Thales selon laquelle elles ne concernent « que » 28 % des compromissions. 31 % d’entre elles viennent d’erreurs humaines et de problèmes de configuration. Chez Google, plus de 51 % des compromissions seraient dues « à l’exploitation d’interface cloud sans mots de passe ou dotées d’un mot de passe faible ».

Des responsabilités partagées

L’ANSSI souligne également qu’en fonction de la configuration de la solution cloud adoptée, les responsabilités sont partagées entre clients et fournisseurs de solutions cloud (CSP). Dans le cas des données, par exemple, il en va toujours de celle des clients. Même constat pour tout ce qui touche aux installations sur site.

En revanche, dès que l’on s’avance vers des niveaux plus avancés de passage dans le cloud, tout dépend des besoins du client. Dans une offre IaaS (Infrastructure as a Service), le CSP est responsable de l’infrastructure, donc des serveurs, réseaux et unités de stockage. Avec les offres PaaS (Platform as a Service), le CSP ajoute à ses responsabilités le système d’exploitation. Enfin, les offres les plus complètes, dites SaaS (Software as a Service), reprennent les éléments précédents et y ajoutent tout l’applicatif. Plus on « grimpe » dans les offres, plus le fournisseur a de responsabilités.

C’est du moins la théorie, comme le précise d’ailleurs l’ANSSI. En pratique, ces découpages sont loin d’être aussi simples. « En effet, il est possible depuis plusieurs années de bâtir un système d’information ou une application en « kit », reposant sur l’empilement et l’assemblage de briques disponibles sur étagère, où chacune d’entre elles fournit un service spécialisé « clé en main » en fonction du niveau de délégation recherché (par ex. base de données, front-end, back-end, pipeline de traitements, stockage, lacs de données, tableaux de bords, gestion des identités, etc) », indique l’ANSSI.

Conséquence de cette souplesse, un même client peut se servir « à la carte » chez plusieurs CSP. L’infrastructure créée est une combinaison de services en provenance de fournisseurs multiples. L’Agence de sécurité met d’ailleurs en garde : ce type d’assemblage peut rendre les erreurs de configuration plus fréquentes, à cause de la multiplicité des interfaces.

Une grande surface d’attaque

Même quand cette multiplicité est réduite, la surface d’attaque reste vaste, note l’ANSSI, qui donne une liste d’exemples. En premier lieu, « les interfaces de gestion, telles que les portails Web et les API ».

Ces dernières sont régulièrement pointées du doigt pour des défauts de sécurité. On se souvient que l’année dernière, des rapports de Cloudflare et Akamai allaient justement dans ce sens. Les deux prestataires avaient noté une explosion des attaques basées sur des faiblesses dans des interfaces de programmation insuffisamment protégées. Les deux entreprises avertissaient également du problème des « API fantômes », des composants clés de communication dont personne ne se souvient, avec tous les dangers associés. Il était recommandé aux entreprises de tenir un inventaire à jour.

L’ANSSI liste les autres vecteurs principaux : les failles de sécurité bien sûr, les mauvaises pratiques de gestion des accès et des identités (mots de passe faibles, absence de MFA…), les erreurs de configuration dans les services cloud (notamment les permissions excessives), ainsi que les dépendances à des tiers.

Les recommandations de l'ANSSI

L’agence termine son rapport par une liste de recommandations, tant pour les fournisseurs de solutions cloud que pour leurs clients.

Elle enjoint ainsi les premiers à se pencher d’abord sur la mise en œuvre de son guide d’hygiène numérique, en tant que socle élémentaire. Vient ensuite l’application des bonnes pratiques de développement : analyses de risques sur les applications, identification et gestion rigoureuse des dépendances, tests de sécurité dans des « configurations réalistes », et enfin protection et analyse du cycle de vie des secrets.

L’ANSSI recommande également de cartographier et limiter la surface exposée des services, de cloisonner le système de gestion de l’infrastructure utilisée par les clients, de sécuriser les postes des développeurs associés, de s’approcher autant que possible du référentiel SecNumCloud, de réaliser régulièrement des sauvegardes ou encore de proposer différents mécanismes de protection, que ce soit contre les attaques par déni de service ou les destructions de ressources.

Côté clients, l’agence a aussi une liste de conseils, dont l’assurance que des contacts techniques sont toujours joignables. Les recommandations, générales, restent proches de celles formulées pour les CSP, avec par exemple la mise en œuvre d’une politique de cloisonnement entre les systèmes et un audit de l’exposition des services cloud. L’ANSSI recommande chaudement la mise en place d’un plan de continuité et de reprise d’activité (PCA/PRA).

Sans surprise, l’agence pousse une nouvelle fois son référentiel SecNumCloud dans le choix d’offres cloisonnées pour les activités sensibles. Chiffrement des données clients, cloisonnement des clients entre eux, protection des moyens d’accès et contre les lois extraterritoriales sont ainsi au rendez-vous. « Pour le traitement et l’hébergement de données sensibles, il est recommandé de privilégier les services conformes au référentiel SecNumCloud », ajoute l’agence.