Cloud-Native Security

Définition

La Cloud-Native Security désigne l'ensemble des pratiques, outils, et architectures de sécurité conçus spécifiquement pour les applications et infrastructures cloud-native — applications déployées en containers, orchestrées par Kubernetes, utilisant des services managés cloud, et construites selon les principes des microservices et des APIs. Contrairement à la sécurité traditionnelle qui sécurisait des serveurs physiques stables, la Cloud-Native Security doit protéger des environnements dynamiques (des milliers de containers éphémères, des centaines de microservices, des configurations modifiées en continu par les pipelines CI/CD). Les quatre dimensions de la Cloud-Native Security sont souvent décrites par le framework "4C" (Cloud, Cluster, Container, Code). La sécurité Cloud couvre les configurations du fournisseur cloud (IAM, VPC, Security Groups, S3 bucket policies), vérifiées par les CSPM (Cloud Security Posture Management). La sécurité Cluster couvre la configuration Kubernetes (RBAC, Network Policies, Admission Controllers, etcd encryption), vérifiée par des benchmarks comme CIS Kubernetes. La sécurité Container couvre la sécurité des images (scan de vulnérabilités, configurations minimales, utilisateurs non-root), vérifiée par Trivy, Grype, et les scanners d'images de registre. La sécurité Code couvre les pratiques de développement sécurisé (SAST, SCA, secrets management, dependency management). La CNCF (Cloud Native Computing Foundation) maintient le Security TAG (Technical Advisory Group) qui publie des whitepapers et des bonnes pratiques de sécurité cloud-native, couvrant notamment le Cloud Native Security Whitepaper (2022) qui formalise les approches de sécurité pour les organisations adoptant les technologies cloud-native. L'approche Zero Trust est fondamentale à la Cloud-Native Security : dans un environnement cloud-native où les containers communiquent via des réseaux non-fiables et où les identités des workloads changent à chaque redémarrage, le modèle de confiance basé sur l'adresse IP n'est plus valide. Les Service Meshes (Istio, Linkerd) avec mTLS automatique, et les systèmes de Workload Identity (SPIFFE/SPIRE, IRSA), implémentent le Zero Trust au niveau des workloads cloud-native.