Parce que… c’est l’épisode 0x341!

Shameless plug

• 10 au 13 août 2023 - DEFCON
• 25 au 27 août 2023 - Blue Team Con
• 29 au 31 août 2023 - Google Next ‘23
• 21 au 23 novembre 2023 - European Cyber Week
• février 2024 - SéQCure
• Formation Crise et résilience
  • Ateliers et conférences (Auto évaluation)
  • Formation PCA 2022
  • 4 Guides pour survivre à une CyberCrise
  • Formation PCA en ligne

Description

Bienvenue dans l’univers de la sécurité offensive avec “belle sécurité”. Le domaine couvre tout ce qui concerne les tests de sécurité et le piratage éthique. Ce secteur, quoique vaste, est essentiel pour comprendre les nuances des tests d’intrusion dans l’informatique nuagique.

La tendance actuelle montre que de nombreuses entreprises migrent leurs ressources vers le cloud, notamment en raison de ses avantages en matière de flexibilité et de coût. Cependant, cette migration se fait souvent sans une connaissance approfondie des défis de sécurité qui y sont associés. En effet, les attaquants s’intéressent de plus en plus aux environnements cloud, y voyant des points d’entrée potentiels vers des réseaux internes ou des données sensibles.

Il est essentiel de comprendre le modèle de sécurité partagée propre au cloud. Ce modèle stipule que, bien que le fournisseur de cloud (comme Azure, AWS ou GCP) soit responsable de certains aspects de la sécurité, la responsabilité finale incombe à l’entreprise utilisatrice. Les différentes offres cloud, comme IaaS, PaaS et SaaS, ont chacune leurs spécificités et risques associés en termes de sécurité.

La gestion des accès est primordiale. Des erreurs comme l’absence de MFA (authentification multi-facteurs) peuvent offrir aux attaquants une porte ouverte. De plus, la gestion des équipements et des identités est essentielle, d’autant plus que les attaques basées sur l’identité sont de plus en plus courantes dans le monde du cloud.

Il est intéressant de noter que même si les environnements cloud sont basés sur des serveurs physiques traditionnels, la méthodologie d’approche est différente. Les tests d’intrusion dans le cloud nécessitent une compréhension approfondie des spécificités de l’environnement cible, car une simple erreur de configuration peut être exploitée par des attaquants.

Les tests d’intrusion, qu’ils soient en mode Black Box, Grey Box ou White Box, varient selon les informations disponibles pour l’attaquant. C’est dans ce contexte que les outils comme Truffaut, qui se concentrent sur la détection d’entropie, peuvent s’avérer utiles pour identifier les secrets ou les tokens d’accès.

Il est également crucial d’être conscient de la persistance des attaques. Par exemple, un refresh token valide pendant 90 jours peut permettre à un attaquant de maintenir un accès non autorisé pendant une longue période. Les attaques sophistiquées, comme le ransomware, exploitent également les fonctionnalités natives des services cloud pour infliger des dommages.

En conclusion, l’informatique nuagique offre d’énormes avantages aux entreprises, mais elle présente également des défis uniques en matière de sécurité. La clé est de comprendre ces défis, de s’équiper des outils et des connaissances appropriés, et de toujours rester un pas en avance sur les attaquants potentiels.

Notes

• À venir

Collaborateurs

• Nicolas-Loïc Fortin
• Clément Cruchet

Crédits

• Montage par Intrasecure inc
• Locaux virtuels par Riverside.fm

Tags: aws, azure, gcp, iaas, iam, mfa, onprem, paas, saas