Agentless Scanning

Définition

Le scanning agentless est une approche d'analyse de sécurité cloud qui inspecte les workloads (VMs, conteneurs, bases de données) sans déployer d'agent logiciel sur les ressources cibles. Au lieu d'un agent, les outils agentless accèdent aux snapshots de volumes (disques), aux images de conteneurs dans les registres, et aux APIs cloud pour analyser la configuration et les vulnérabilités des ressources. L'approche agentless est particulièrement adaptée aux environnements cloud pour plusieurs raisons. Elle ne nécessite pas de modifier les workloads existants (idéal pour les applications legacy ou les appliances qui n'acceptent pas d'agents tiers). Elle réduit l'overhead de performance (pas d'agent consommant CPU et mémoire sur chaque instance). Elle permet une couverture immédiate dès l'onboarding sans processus de déploiement d'agents dans des centaines ou milliers d'instances. Le mécanisme technique du scanning agentless dans les clouds publics repose sur les snapshots de volumes. La solution CSPM/CWPP crée un snapshot du volume EBS/Azure Disk/GCP Persistent Disk de l'instance cible, le monte dans une instance d'analyse dédiée dans le même compte ou région, analyse le filesystem, les packages OS, les applications, et les configurations, puis supprime le snapshot. Tout ce processus est transparent pour l'instance cible. Les limites du scanning agentless incluent : la détection uniquement des menaces au repos (pas de détection runtime des comportements malveillants en cours d'exécution), une latence de détection (le scan est périodique, pas en temps réel), et l'impossibilité d'analyser les processus en mémoire ou les communications réseau actives. Pour la détection runtime, un agent reste nécessaire (Falco, Sysdig, Aqua Defender). Les solutions CSPM/CWPP majeures proposent aujourd'hui une approche hybride : scanning agentless pour la visibilité et la posture, avec un agent optionnel pour la protection runtime des workloads les plus critiques.