Contrôles de sécurité de Trusted Advisor

AWS Trusted Advisor examine votre compte au regard des bonnes pratiques AWS et fournit des recommandations classées par priorité.

Il couvre cinq catégories : optimisation des coûts, performances, sécurité, tolérance aux pannes et limites des services. Pour l’examen, l’accent est mis sur les vérifications de sécurité.

Les vérifications de sécurité de Trusted Advisor mettent en évidence des paramètres courants présentant des risques, notamment :

• Les compartiments S3 dont les autorisations sont ouvertes.
• Les groupes de sécurité dont les ports sont accessibles sans restriction (par exemple 0.0.0.0/0 pour SSH).
• L’utilisation d’IAM et l’activation ou non de la MFA sur le compte racine.

Le niveau de détail de Trusted Advisor dépend de votre offre de support.

• Les offres Basic et Developer donnent accès à un ensemble de vérifications essentiel.
• Les offres Business et Enterprise débloquent l’ensemble complet des vérifications dans toutes les catégories.

Les niveaux de support supérieurs donnent accès à davantage de vérifications de sécurité.

Chaque vérification affiche un état : vert (aucun problème), jaune (à examiner) ou rouge (action recommandée).

En approfondissant l’analyse, vous découvrez les ressources concernées et la correction suggérée. Trusted Advisor constitue ainsi une analyse rapide de l’état de santé, et non un outil d’investigation approfondie.

Les vérifications sont actualisées selon un calendrier, et vous pouvez les actualiser manuellement après avoir effectué des modifications.

Trusted Advisor peut envoyer des récapitulatifs hebdomadaires par e-mail et s’intégrer à EventBridge. Un changement d’état peut ainsi déclencher une alerte ou un flux de travail automatisé.

Une vérification de sécurité particulièrement importante confirme si la MFA est activée pour l’utilisateur racine.

Le compte racine peut tout faire : il doit être protégé par la MFA et rarement utilisé. Trusted Advisor signale l’absence de MFA sur le compte racine par un résultat rouge nécessitant une correction immédiate.

Bien qu’elles ne relèvent pas strictement de la sécurité, les vérifications des limites des services sont importantes pour la résilience.

Atteindre une limite pendant un incident, par exemple ne plus pouvoir lancer d’instances de remplacement, peut prolonger une panne. Trusted Advisor vous avertit lorsque vous approchez des quotas afin que vous puissiez demander leur augmentation suffisamment tôt.

Les deux services mettent en évidence les mauvaises configurations, mais ils diffèrent :

• Trusted Advisor fournit des vérifications générales des bonnes pratiques au niveau du compte, dans cinq catégories.
• Security Hub effectue des vérifications approfondies selon des normes de sécurité et regroupe les résultats de nombreux services de sécurité.

Security Hub est l’outil le plus approfondi et spécifiquement axé sur la sécurité.

Avec le plan de support approprié, Trusted Advisor propose une vue organisationnelle qui regroupe les vérifications de tous les comptes.

Une équipe centrale peut voir en un seul endroit quels comptes disposent de groupes de sécurité ouverts ou n’ont pas activé la MFA pour le compte racine, ce qui facilite la gouvernance à grande échelle.

Trusted Advisor inclut une vérification qui analyse les dépôts de code publics à la recherche de clés d’accès IAM exposées et associées à votre compte.

Si un développeur valide accidentellement une clé dans un dépôt public, cette vérification peut le signaler afin que vous la révoquiez et la renouveliez avant qu’un attaquant ne l’exploite. Il s’agit d’un précieux signal d’alerte précoce contre une cause très courante de compromission.

Utilisez Trusted Advisor pour effectuer une vérification rapide de l’état conforme aux bonnes pratiques, notamment pour les mauvaises configurations classiques comme les compartiments S3 ouverts, les groupes de sécurité trop permissifs et l’absence de MFA pour le compte racine.

C’est la solution à privilégier lorsqu’un scénario demande une liste rapide de recommandations proposées par AWS plutôt qu’une analyse approfondie.

Choisissez l’outil adapté à la tâche.

Vous avez appris comment Trusted Advisor vérifie les bonnes pratiques.

• Sa catégorie de sécurité signale les compartiments ouverts, les groupes de sécurité trop permissifs et l’absence de MFA pour le compte racine.
• Le niveau de détail dépend du plan de support ; les niveaux supérieurs débloquent toutes les vérifications.
• Il propose une vue organisationnelle et des alertes EventBridge.