Les risques majeurs de la sécurité cloud native

En 2021, l’économie numérique des données représente de l’ordre de 20% du budget de relance européen qui s’élève à 750 milliards d’euros.

Cette économie, basée sur les algorithmes des plateformes numériques et les données d’usage des industries, fonde son existence sur une gamme de technologies, dites cloud native. Ces technologies sont cloud natives parce qu’elles prennent naissance dans les infrastructures de services cloud qu’elles considèrent comme un prérequis. Portabilité, interopérabilité et partage des données sont les mots-clés des architectures techniques virtualisées portant ces services. Prenons un exemple d’actualité : la 5G. La capacité des opérateurs télécoms à déployer des plateformes numériques pour gérer leurs infrastructures réseaux virtualisées, les seules pertinentes pour les services 5G, est un enjeu stratégique.

Pour s’en convaincre, les livres blancs D’ERICSSON et de NOKIA et l’étude de cas RAKUTEN devraient convenir. Enfin, pour se sentir réellement impliqué, notons qu’un opérateur français des télécommunications souligne, en décembre 2020, dans son plan stratégique 2020-2025, l’importance cruciale de ces applications et infrastructures logicielles en microservices pour assurer son existence et sa compétitivité. Les technologies ne sont pas innovantes, mais incontournables, robustes et éprouvées. La Cloud Native Computing Foundation expose un riche catalogue en 2021 : GIT, HELM, ARGO, KUBERNETES, KUBE EDGE, HARBOR, FALCO.

La communauté de développeurs GitHub, créée en 2008, dispose de plus de 68 millions d’utilisateurs. Docker Hub, créé en 2013, propose une bibliothèque de plus de 100000 images de conteneurs. Un conteneur, rappelons-le, est une petite machine virtuelle complète, qui doit être branchée sur un système d’exploitation hôte pour fonctionner. Netflix, créé en 1997, dispose de plus de 600 services en production et déploie 100 fois par jour; Uber, créé en 2009, a plus de 1000 services et déploie plusieurs milliers de fois par semaine; WeChat, créé en 2011, a environ 3000 services en production et déploie 1000 fois par jour. Aujourd’hui l’agilité et les pratiques DevOps représentent l’ordinaire des ingénieurs. L’automatisation, l’Intelligence Artificielle, les analyses Big data aident au management des développements et à celui de ces infrastructures logicielles complexes pour lesquelles la cybersécurité est un pilier de la confiance.

Les risques techniques majeurs des conteneurs d’applications sont entièrement décrits, depuis 2017, par le National Institute of Standards and Technology, le NIST, une agence du département du Commerce des États-Unis dont le but est de promouvoir l’économie en développant des technologies, la métrologie et des standards de concert avec l’industrie. Le guide de la sécurité des conteneurs d’applications, qu’elle édite, documente les menaces prépondérantes. Il est devenu une référence obligatoire.

Les conteneurs d’applications font l’objet d’une gestion des risques classique :, il s’agit d’identifier, d’éliminer les risques inacceptables puis de gérer les risques résiduels de ces actifs. Les risques, par définition, concernent les répercussions des menaces et des opportunités, des imprévus, des incertitudes sur l’atteinte à la disponibilité, à l’intégrité, à la confidentialité des conteneurs. Ces objectifs de sécurité, nommés DIC, se conjuguent avec les objectifs d’usage de l’actif. En l’occurrence un conteneur vise à la portabilité, l’interopérabilité et au partage des données. L’application est constituée d’un ensemble de conteneurs qui portent chacun un microservice. Donc, la sécurité de l’application implique la sécurité de chaque conteneur, la sécurité des communications entre les conteneurs et la sécurité de l’infrastructure qui apporte les ressources pour alimenter et gérer les conteneurs. Le guide du NIST propose une liste de recommandations auxquelles se conformer. Il peut cependant exister d’autres risques majeurs de sécurité qui dépendent du contexte métier. Donc, la conformité au guide de sécurité et l’analyse des risques spécifiques se complètent.

Les 23 principaux risques NIST pour les conteneurs

Les risques de déploiements et de production

Nous nous concentrerons sur les risques de sécurité du déploiement continu des images (Docker Share-Run), stockées dans un registre externe d’images de base (Docker Hub) ou dans un registre interne d’images parentes (Mirantis/Docker Hub Enterprise, Harbor) vers un orchestrateur (Kubernetes). Ces risques sont abordés de façon à rester agnostique à l’égard des technologies. Les recommandations sont autant pertinentes pour IBM/RedHat Openshift que Docker Kubernetes Service (DKS), dans une optique de sécurisation du passage de la station de développement aux serveurs en production.

Remarque : les risques qui concernent l’intégration continue des images logicielles (Docker Build-Share), à partir d’ajouts ou de fusions de code sur la branche principale (Git push/merge) d’un dépôt de code source (GitHub) vers les registres précités ne sont pas abordés ici.

Auteur de l'article :

THIERRY
Coordinateur Veille, Risque, Incident De Sécurité