Drift Detection Code

Définition

La Drift Detection (détection de dérive) en Code/Infrastructure est le processus de détection des écarts entre l'état déclaré souhaité d'un système (défini dans le code IaC, les manifestes Kubernetes, ou les configurations versionées dans Git) et l'état réel observé en production. Dans un paradigme GitOps ou Infrastructure as Code (IaC), toute dérive représente soit une modification non autorisée (risque de sécurité), soit une application incomplète d'un changement planifié. La dérive peut survenir pour plusieurs raisons. Des modifications manuelles "d'urgence" effectuées directement dans la console cloud ou via kubectl sans passer par le processus GitOps. Des actions automatiques de systèmes tiers (autoscalers, auto-healing, réponses aux incidents automatisées) modifiant des ressources en dehors du flux GitOps. Des bugs dans les systèmes d'automatisation appliquant partiellement un changement. Ou, dans le pire cas, une compromission de sécurité où un attaquant a modifié la configuration d'une ressource. Du point de vue de la sécurité, la détection de dérive est un contrôle crucial : une règle de firewall supprimée, un RBAC Kubernetes modifié, ou un paramètre de chiffrement désactivé manuellement constituent des dérives de sécurité critiques qui doivent être détectées et corrigées immédiatement. Sans détection de dérive, une compromission de configuration peut persister indéfiniment. Les outils de détection de dérive incluent : ArgoCD (Sync Status "OutOfSync" pour les ressources Kubernetes divergeant des manifestes Git), Terraform Cloud Drift Detection (qui compare l'état Terraform avec l'infrastructure réelle à intervalles réguliers), AWS Config (qui détecte les modifications de ressources AWS par rapport aux règles de configuration attendues), et Flux CD (qui reconcilie continuellement l'état du cluster avec les manifestes Git). La réponse à une dérive peut être automatique (réconciliation vers l'état désiré) ou manuelle (alerte vers les équipes de sécurité pour investigation).