Configuration Drift Security

Définition

La Configuration Drift Security (sécurité par rapport à la dérive de configuration) traite spécifiquement les implications de sécurité du Configuration Drift — la dégradation progressive de l'état de sécurité d'un système à mesure que sa configuration diverge des standards et politiques de sécurité établis. Dans les environnements gérés manuellement ou sans contrôle strict IaC/GitOps, la dérive de configuration est inévitable et peut conduire à l'affaiblissement progressif de la posture de sécurité. La dérive de configuration de sécurité se manifeste de nombreuses façons. Des règles de firewall "temporairement" ouvertes lors d'un dépannage et jamais fermées. Des configurations TLS affaiblies (TLS 1.0 réactivé pour un client legacy, jamais désactivé ensuite). Des permissions IAM élargies en urgence et jamais réduites. Des paramètres de logging de sécurité modifiés pour des tests de performance et jamais restaurés. Des patches de sécurité non appliqués sur des systèmes "stables". Chacune de ces dérives, prise individuellement, peut sembler mineure, mais leur accumulation crée progressivement des brèches de sécurité significatives. La gestion de la Configuration Drift Security nécessite une combinaison d'approches préventives et détectives. Côté prévention : l'Infrastructure as Code (IaC) avec GitOps empêche les modifications manuelles en dehors du flux Git, le Immutable Infrastructure (remplacement plutôt que modification) élimine structurellement la dérive, et les pipelines CI/CD appliquant la configuration de sécurité à chaque déploiement assurent la convergence vers l'état désiré. Côté détection : les CSPM (Cloud Security Posture Management) comme Wiz, Prisma Cloud, ou AWS Security Hub scannent continuellement la configuration des ressources cloud et alertent sur les dérives par rapport aux benchmarks CIS, les scans de conformité réguliers (CIS Benchmarks, DISA STIG), et les outils de drift detection IaC (Terraform Drift Detection, Driftctl) mesurent et alertent sur les écarts. La gouvernance de la Configuration Drift Security inclut la définition d'une "baseline de sécurité" (configuration minimale de sécurité acceptable pour chaque type de ressource), l'audit régulier des dérives par rapport à cette baseline, et un processus d'exception documenté pour les dérogations légitimes.