Immutable Infrastructure Security

Définition

L'Immutable Infrastructure Security désigne les bénéfices de sécurité apportés par le paradigme de l'infrastructure immuable — où les serveurs et containers ne sont jamais modifiés après leur déploiement initial mais remplacés par de nouveaux artefacts lors de chaque mise à jour ou correctif. En DevSecOps, l'infrastructure immuable est considérée comme une pratique de sécurité fondamentale car elle élimine structurellement plusieurs classes de risques associés aux modifications de systèmes en production. Le principe de l'infrastructure immuable s'applique particulièrement aux containers Docker et aux instances de machines virtuelles : au lieu de se connecter en SSH à un serveur pour appliquer un patch de sécurité, l'équipe rebuild l'image de base avec le patch appliqué, redéploie l'image mise à jour, et supprime les anciennes instances. Les systèmes existants ne sont jamais modifiés en place — ils sont remplacés. Les bénéfices de sécurité de l'infrastructure immuable sont multiples. L'élimination de la Configuration Drift : puisque les instances ne sont jamais modifiées après déploiement, il ne peut pas y avoir de dérive progressive de configuration entre l'état déclaré et l'état réel. L'auditabilité complète : chaque instance en production correspond à une image connue et versionnée, dont la composition est documentée dans un SBOM, rendant l'audit de la composition de l'infrastructure trivial. La réponse aux incidents simplifiée : en cas de suspicion de compromission d'une instance, la réponse correcte est "terminer l'instance compromise et redéployer depuis l'image immuable connue" — pas une investigation forensique complexe de l'état mutant du serveur. La cohérence des environnements : les environnements de dev, staging, et prod utilisent exactement la même image, éliminant les écarts de configuration qui créent des "ça marche en dev mais pas en prod". Les défis de l'infrastructure immuable incluent la gestion des données persistantes (les bases de données ne peuvent pas être immuables — elles nécessitent des volumes persistants avec des politiques de backup distinctes) et la durée des déploiements (rebuilder et redéployer une image complète est plus lent qu'appliquer un patch en place).