Mauvaises configurations cloud courantes

Les mauvaises configurations sont la principale cause des fuites de données dans le cloud. Contrairement aux vulnérabilités traditionnelles sur site, qui nécessitent l’exploitation de bogues logiciels, les mauvaises configurations cloud sont souvent provoquées par l’organisation elle-même et facilement exploitables par quiconque sur Internet.

Les compartiments S3 avec un accès public en lecture exposent toutes les données qui y sont stockées sur Internet. Les attaquants recherchent les compartiments ouverts à l’aide d’outils comme GrayhatWarfare. Prévention : activez S3 Block Public Access au niveau du compte, activez S3 Object Ownership et auditez régulièrement les stratégies des compartiments.

Les groupes de sécurité qui autorisent 0.0.0.0/0 sur le port 22 (SSH), le port 3389 (RDP) ou des ports administratifs créent des surfaces d’attaque considérables. Limitez les règles entrantes à des plages CIDR spécifiques. Utilisez AWS Systems Manager Session Manager plutôt qu’un accès SSH ouvert.

Le partage accidentel d’instantanés RDS en mode public expose l’intégralité du contenu de la base de données. Les instantanés automatisés sont privés par défaut, mais les partages manuels peuvent exposer des données sensibles. Vérifiez la visibilité des instantanés avec describe-db-snapshots --include-public.

Les développeurs enregistrent des clés d’accès AWS, des mots de passe de bases de données et des jetons d’API dans des dépôts Git. Les attaquants analysent GitHub/GitLab avec des outils comme TruffleHog et GitLeaks. Prévention : utilisez des gestionnaires de secrets, des crochets de prévalidation git-secrets et une analyse des secrets à l’échelle de l’organisation.

Sans CloudTrail activé dans toutes les régions, les appels d’API ne sont pas enregistrés. Les attaquants exploitent les lacunes de journalisation pour agir sans être détectés. Activez CloudTrail à l’échelle de l’organisation et envoyez les journaux vers un compartiment S3 d’un compte de sécurité distinct, avec S3 Object Lock pour empêcher les falsifications.

IMDSv1 permet à tout processus exécuté sur une instance EC2 d’interroger le service de métadonnées sans authentification, ce qui rend possibles les attaques SSRF visant à dérober les identifiants de l’instance. Imposez IMDSv2 (avec jeton obligatoire) sur toutes les instances afin d’exiger une authentification orientée session.

Les groupes de sécurité autorisent généralement tout le trafic sortant. Cela permet l’exfiltration de données et les communications de commande et de contrôle depuis des instances compromises. Utilisez un filtrage du trafic sortant au moyen de groupes de sécurité, d’ACL réseau ou d’une appliance pare-feu afin de limiter les connexions sortantes aux destinations connues.

Les tableaux de bord Kubernetes, les grappes Elasticsearch, les instances MongoDB et les notebooks Jupyter laissés exposés sans authentification sur des adresses IP publiques sont régulièrement compromis. Toute interface de gestion doit exiger une authentification et être restreinte au niveau du réseau.

Les événements de données S3 et les événements de gestion CloudTrail ne suffisent pas à enregistrer les actions au niveau des objets (GetObject, PutObject). Activez S3 Server Access Logging et les événements de données S3 de CloudTrail pour les compartiments sensibles afin de détecter les tentatives d’exfiltration de données.

Les règles AWS Config avec correction automatique (au moyen de documents SSM Automation ou de Lambda) peuvent corriger automatiquement les violations : rendre les compartiments privés, fermer les règles des groupes de sécurité ou mettre les identifiants en quarantaine, réduisant ainsi le délai d’exposition de plusieurs jours à quelques minutes.

Quel est le principal risque lié au maintien d’IMDSv1 sur des instances EC2 ?

Les mauvaises configurations cloud — compartiments publics, groupes de sécurité permissifs, identifiants codés en dur et journaux manquants — sont la cause la plus courante des compromissions cloud. L’analyse automatisée, l’application de garde-fous et la surveillance continue sont des mesures défensives essentielles.