Immutable Infrastructure

Définition

L'Immutable Infrastructure (infrastructure immuable) est un paradigme de gestion des systèmes informatiques dans lequel les composants d'infrastructure (serveurs, conteneurs, images) ne sont jamais modifiés après leur déploiement. Au lieu de patcher ou de configurer un serveur existant, chaque changement produit un nouvel artefact (une nouvelle image de conteneur, une nouvelle AMI) qui remplace entièrement le précédent. Ce paradigme a des implications profondes pour la sécurité DevSecOps. L'Immutable Infrastructure s'oppose à la "Mutable Infrastructure" traditionnelle où les administrateurs système se connectaient aux serveurs pour les configurer, patcher, et maintenir — chacun évoluant potentiellement différemment au fil du temps (Configuration Drift). Cette approche rendait difficile la reproductibilité des environnements, l'audit des configurations, et la détection des modifications non autorisées. Les bénéfices de sécurité de l'Immutable Infrastructure sont substantiels. La détection des compromissions est simplifiée : si un attaquant modifie un composant du système (en installant un rootkit, en ajoutant une backdoor, en modifiant un binaire), cette modification sera détectée lors du prochain cycle de déploiement qui replace l'image compromise par l'image originale connue et vérifiée. Les "living off the land" attacks (utilisation des outils légitimes du système par des attaquants) sont plus difficiles quand les images sont minimales (distroless, scratch) et que les binaires non nécessaires sont absents. La chaîne de confiance de l'Immutable Infrastructure commence par le code source (versionné dans Git), passe par le pipeline CI/CD qui construit l'artefact (image Docker, AMI) avec des tests de sécurité intégrés, signe cryptographiquement l'artefact (Cosign, Notary v2), et déploie uniquement les artefacts vérifiés. Cette chaîne garantit que ce qui s'exécute en production correspond exactement au code source approuvé et testé. Les pratiques complémentaires incluent : les images de conteneurs avec utilisateurs non-root, les systèmes de fichiers en lecture seule (readOnlyRootFilesystem: true dans Kubernetes), les politiques de sécurité des pods (Pod Security Standards) interdisant les conteneurs privilégiés, et le remplacement des mises à jour par des redeployments complets.