Cloud Security Posture Management (CSPM)

Infrastructure as Code Security — CSPM préventif

Le CSPM réactif (détecter les misconfigurations après le déploiement) est complété par le CSPM préventif : analyser les templates Infrastructure as Code (Terraform, CloudFormation, Bicep, Pulumi) avant qu'ils ne soient appliqués. Des outils comme Checkov, Terrascan, tfsec (open-source), et Snyk IaC analysent statiquement les configurations IaC pour détecter les misconfigurations avant le déploiement. Un template Terraform qui crée un bucket S3 public ou un groupe de sécurité qui ouvre le port 22 au monde entier est détecté et bloqué dans le pipeline CI/CD avant qu'il ne soit jamais déployé. Cette approche "Shift Left" de la sécurité cloud est plus efficace que le CSPM réactif : mieux vaut empêcher la misconfiguration que la détecter après coup. La combinaison IaC Security (préventif) + CSPM (réactif pour les changements hors-IaC) fournit une couverture complète.

CIEM — gestion des droits excessifs dans le cloud

Le CIEM (Cloud Infrastructure Entitlement Management) est la composante IAM du CSPM, focalisée sur l'identification et la réduction des droits excessifs dans les environnements cloud. Le problème est massif : dans la plupart des environnements AWS/Azure/GCP, les utilisateurs et les services ont des droits beaucoup plus étendus que ce qu'ils utilisent réellement (AdministratorAccess accordé par défaut, rôles cloud trop permissifs). Un utilisateur avec AdministratorAccess sur AWS qui se fait voler ses credentials donne un accès total à toute l'infrastructure cloud. CIEM analyse les droits accordés vs les droits effectivement utilisés (à partir des logs CloudTrail/Activity Log) et recommande des réductions de droits pour appliquer le principe du moindre privilège. AWS IAM Access Analyzer, Ermetic (racheté par Tenable), CloudKnox (racheté par Microsoft), et Sonrai Security sont des solutions CIEM. La combinaison CSPM + CIEM est de plus en plus intégrée dans les plateformes CNAPP.

Cloud Security vs Shared Responsibility Model

Le modèle de responsabilité partagée (Shared Responsibility Model) des providers cloud définit clairement qui est responsable de quoi en matière de sécurité. Le provider cloud (AWS, Azure, GCP) est responsable "de" la sécurité du cloud : sécurité physique des datacenters, hyperviseurs, réseau physique, et des services managés (RDS, DynamoDB). Le client est responsable "dans" le cloud : sécurité des données (chiffrement, contrôle d'accès), configuration correcte des services (groupes de sécurité, IAM, paramètres de confidentialité S3), gestion des comptes et des accès, et sécurité du code des applications. Le CSPM aide les organisations à s'acquitter de leur responsabilité "dans" le cloud en automatisant la vérification des configurations. Une erreur courante : penser que "le cloud est sécurisé" et déléguer la sécurité au provider — le modèle de responsabilité partagée ne fonctionne que si les deux parties s'acquittent de leurs responsabilités respectives.