Cloud Detection and Response (CDR)

cloud

Définition

Le Cloud Detection and Response (CDR) désigne une catégorie d'outils et de pratiques de détection et réponse aux incidents conçue spécifiquement pour les environnements cloud, par opposition aux solutions EDR ou NDR pensées pour les postes de travail et les réseaux on-premise. Le CDR analyse en continu les journaux d'activité cloud-native — AWS CloudTrail, Azure Activity Log, GCP Cloud Audit Logs, ainsi que les logs des services managés (S3, RDS, Kubernetes) — pour reconstituer les chaînes d'attaque propres au cloud : abus de rôles IAM, escalade de privilèges via des politiques mal scopées, exfiltration de données depuis un bucket mal configuré, ou mouvement latéral entre comptes cloud via des identités fédérées. Il s'appuie souvent sur le framework MITRE ATT&CK for Cloud pour cartographier les techniques observées et sur l'analyse comportementale (UEBA) pour repérer les écarts par rapport aux baselines d'usage normal des API. Des solutions comme Wiz, Sysdig Secure, Lacework ou les modules CDR de CrowdStrike combinent cette télémétrie avec le contexte de posture (CSPM) et de charge de travail (CWPP) pour prioriser les alertes selon l'exposition réelle. Le CDR répond à un enjeu spécifique : la vitesse et l'éphémérité des ressources cloud, où une instance compromise peut disparaître avant qu'une investigation traditionnelle ne s'achève.

Description

Le Cloud Detection and Response (CDR) est la capacité de détection et réponse aux incidents spécifique aux environnements cloud, analysant les logs cloud-native, les comportements d'API, les activités IAM et les mouvements latéraux entre services pour identifier les compromissions en temps réel.

Contexte cloud

Les sources de données CDR couvrent CloudTrail/Azure Activity Log/GCP Audit Logs, les VPC Flow Logs, les logs de conteneurs et les activités IAM. Le framework MITRE ATT&CK Cloud (IaaS, SaaS, Office 365, Azure AD) fournit le référentiel tactique pour mapper les détections aux techniques d'attaque connues.

Points clés

Technique ATT&CK Cloud T1537 : détecter les transferts de données vers des comptes de stockage externe via les logs S3 Access et CloudTrail GetObject massifs
Outils CDR spécialisés : Lacework, Sysdig Secure, Falco (open-source) pour les workloads Kubernetes/conteneurs
Runbook de réponse cloud : isoler l'instance (quarantine SG), révoquer les credentials IAM temporaires, capturer les logs avant toute modification

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis