Cloud Cost Security

Définition

Cloud Cost Security (ou Security FinOps) est l'intersection entre la gestion des coûts cloud (FinOps) et la sécurité cloud, reconnaissant que certaines attaques et incidents de sécurité se manifestent en premier lieu par des pics de coûts cloud inattendus, et que certaines pratiques de sécurité ont un impact sur les coûts cloud. Les attaques de Cryptojacking (crypto-minage) sur les comptes AWS compromis représentent la menace la plus directe : un attaquant ayant compromis des credentials IAM lance des dizaines ou centaines d'instances EC2 GPU (p3.16xlarge à 24$/heure, soit 576$/heure pour 24 instances) pour miner des cryptomonnaies. La facture peut atteindre des dizaines de milliers de dollars en quelques heures. AWS facture ces coûts même en cas de compromission, bien qu'un processus de contestation existe pour les incidents documentés. Les signaux de sécurité détectables via la surveillance des coûts incluent : pics soudains de facturation EC2/GPU (cryptojacking), création d'instances dans des régions inhabituelles (attaquant utilisant des régions sans surveillance SIEM), volume anormal de transfert de données sortant (exfiltration de données facturée au Go par AWS), et provisionnement de ressources non standards (grands stockages S3, instances NAT Gateways dans de nouvelles régions). Les contrôles FinOps réduisant aussi les risques de sécurité incluent : les AWS Budget Alerts configurés pour alerter à 80% du budget mensuel (détection précoce du cryptojacking), les Service Control Policies désactivant les types d'instances non utilisés ou les régions non autorisées (limitation de la surface d'attaque ET des coûts potentiels), et les AWS Cost Anomaly Detection (service ML détectant les dépenses anormales) comme signal complémentaire aux alertes GuardDuty. La gouvernance des accès IAM a un impact direct sur les coûts : un développeur avec des permissions ec2:RunInstances sans restrictions peut accidentellement ou malicieusement lancer des flottes d'instances coûteuses. Les guardrails IAM (désactiver les types d'instances coûteux comme les p3.* ou les x1e.* pour les environnements non-ML) protègent à la fois contre les coûts excessifs et contre les attaquants utilisant le compte pour du cryptomining.