Runtime Security

Définition

La Runtime Security (sécurité en runtime) désigne l'ensemble des mécanismes de sécurité qui s'appliquent à l'exécution des applications en production, en complément des contrôles préventifs appliqués pendant le développement (SAST, DAST, SCA). Tandis que les contrôles de sécurité statiques et dynamiques cherchent à détecter les vulnérabilités avant le déploiement, la Runtime Security surveille et protège les applications qui s'exécutent, détectant les comportements anormaux et les attaques en temps réel. La Runtime Security opère à plusieurs niveaux de la stack technique. Au niveau kernel, des technologies basées sur eBPF (comme Falco, Tetragon, Cilium) interceptent les appels système pour détecter des comportements suspects : lancement de shells inattendus dans des conteneurs, accès à des fichiers de credentials, établissement de connexions réseau non autorisées, ou chargement de modules kernel malveillants. Au niveau applicatif, les agents RASP (Runtime Application Self-Protection) surveillent les appels aux APIs sensibles (requêtes SQL, exécution de commandes) depuis l'intérieur de l'application. Dans les environnements Kubernetes, la Runtime Security s'appuie sur plusieurs couches complémentaires. Seccomp profiles restreignent les appels système accessibles aux conteneurs (filtrage au niveau kernel). AppArmor/SELinux définissent des politiques de contrôle d'accès mandataire pour les processus conteneurisés. Les Pod Security Standards (Restricted, Baseline, Privileged) définissent des niveaux de sécurité pour les pods. Les Network Policies (Kubernetes native ou Cilium/Calico) contrôlent les flux réseau entre pods. La visibilité en runtime est indispensable pour détecter les menaces que les contrôles préventifs n'ont pas anticipées : zero-day exploits, attaques logic-based non détectables statiquement, et compromissions de la supply chain introduites dans des dépendances tierces après le déploiement. Les événements de runtime sont collectés et corrélés dans des SIEM pour la détection de patterns d'attaque multi-étapes. L'intégration de la Runtime Security dans les processus DevSecOps crée une boucle de feedback : les comportements anormaux détectés en production alimentent de nouvelles règles de détection, de nouveaux scénarios de Security Chaos Engineering, et de nouvelles Security User Stories pour renforcer les contrôles préventifs.