Fiche 05 — Sécurité cloud (Azure, AWS, GCP/Workspace, Kubernetes)

1. Fondamentaux

Modèles de service et responsabilité partagée ⭐

IaaS PaaS SaaS
Données, identités, config Client Client Client
Application Client Partagé Fournisseur
OS / middleware Client Fournisseur Fournisseur
Hyperviseur, physique, réseau Fournisseur Fournisseur Fournisseur

Phrase à placer : « Le cloud déplace la responsabilité, il ne la supprime pas. Dans tous les modèles, le client reste responsable de ses données, de ses identités et de sa configuration — et c’est précisément là que se produisent la quasi-totalité des incidents. »

Les 5 causes récurrentes d’incidents cloud

  1. Mauvaise configuration (bucket S3/blob public, base exposée, security group 0.0.0.0/0).
  2. Identités et secrets : clés d’accès dans du code/Git, comptes de service surprivilégiés, absence de MFA sur les comptes admin, tenant mal cloisonné.
  3. Absence de journalisation / de visibilité (CloudTrail désactivé, logs non centralisés).
  4. Shadow IT / shadow cloud : abonnements créés hors gouvernance.
  5. Chaîne CI/CD : pipeline avec des droits d’admin permanents, IaC non revue.

2. Le socle de sécurité cloud à recommander (indépendant du fournisseur)

  1. Gouvernance & landing zone : hiérarchie d’organisation (Management Groups Azure / AWS Organizations OU / GCP folders), séparation prod / hors-prod / sandbox, comptes/abonnements dédiés, nommage et tagging obligatoire (owner, criticité, données).
  2. Garde-fous préventifs : Azure Policy, AWS SCP + Control Tower, GCP Organization Policy → interdire les régions non autorisées, l’IP publique, le stockage non chiffré, les rôles trop larges. Preventive > detective.
  3. Identité : SSO fédéré depuis l’IdP d’entreprise, zéro compte local, MFA/phishing-resistant, accès juste-à-temps (PIM / IAM Identity Center + permission sets), pas de clés d’accès longue durée → OIDC federation pour la CI/CD, workload identity pour les apps.
  4. Réseau : segmentation par VPC/VNet + subnets, NSG/Security Groups en deny par défaut, private endpoints / PrivateLink / Private Service Connect pour les services managés, sortie maîtrisée (NAT + proxy/firewall egress), WAF devant les fronts, protection DDoS.
  5. Données : chiffrement au repos (CMK/BYOK dans Key Vault / KMS / Cloud KMS), TLS en transit, classification, DSPM pour découvrir la donnée sensible dérivée, rétention & suppression, blocage de l’accès public au stockage au niveau organisation.
  6. Détection : logs de plan de contrôle (Azure Activity Log / AWS CloudTrail / GCP Cloud Audit Logs) + logs de flux + logs applicatifs → centralisation (SIEM), CSPM (Defender for Cloud / Security Hub / Security Command Center), CWPP sur les workloads.
  7. Résilience : sauvegardes immuables et hors du compte de production, multi-AZ/région selon RTO, tests de restauration, protection contre la suppression (resource lock, MFA delete).
  8. Automatisation : tout en IaC (Terraform/Bicep/CloudFormation) + revue de code + scan IaC (Checkov, tfsec, KICS) + policy as code (OPA/Rego, Conftest).