Comment effectuer une analyse de sécurité GCP pour détecter une mauvaise configuration ?

L'infrastructure basée sur le nuage offre une souplesse, une capacité d'adaptation, des performances élevées et une rentabilité remarquables.

En adoptant un service comme Google Cloud Platform (GCP), les entreprises s'affranchissent des coûts substantiels liés à l'investissement et à la maintenance d'un centre de données interne et de son infrastructure. Toutefois, les méthodes de sécurité traditionnelles, conçues pour les environnements sur site, s'avèrent insuffisantes pour garantir une protection optimale dans les environnements virtualisés.

Contrairement à un centre de données physique où la sécurité périmétrique protège l'ensemble des installations et des ressources, la nature décentralisée et dynamique du cloud exige une approche différente. Cette architecture, avec ses technologies et emplacements variés, a souvent pour conséquence une surface d'attaque élargie.

Plus précisément, les erreurs de configuration au niveau des plateformes et composants du cloud créent des points d'exposition qui augmentent les risques de sécurité latents. Il arrive que, lors du développement d'un logiciel, les développeurs laissent des accès à des données ouvertes, sans les refermer avant la mise en production de l'application.

Il est donc impératif, en complément des meilleures pratiques de sécurité, de s'assurer de configurations adéquates et de mettre en place une surveillance, une visibilité et une conformité continues.

De nombreux outils sont heureusement disponibles pour renforcer la sécurité, en détectant et en corrigeant les erreurs de configuration, en offrant une vue d'ensemble de la posture de sécurité de GCP et en identifiant puis en éliminant d'autres vulnérabilités.

Mise à jour : Pour le scanneur de sécurité AWS, vous pouvez consulter cet article.

Google Cloud Security Command Center (SCC)

Le Google Cloud SCC est un système intégré de tableau de bord et d'analyse des risques. Il permet aux clients de GCP de comprendre leur position en matière de sécurité et d'adopter des mesures correctives pour protéger leurs ressources et actifs depuis une interface unique.

Cloud SCC (Security Command Center) procure une visibilité sur les actifs qui fonctionnent dans l'environnement cloud de Google et sur les mauvaises configurations à risque, ce qui permet aux équipes de minimiser leur exposition aux menaces. De plus, cet outil de gestion des risques liés à la sécurité et aux données aide les clients de GCP à appliquer les meilleures pratiques en matière de sécurité.

Le centre de commande de base est constitué de plusieurs outils de sécurité proposés par Google. Il s'agit cependant d'une plateforme flexible qui s'intègre avec une large variété d'outils tiers afin d'améliorer la sécurité et d'accroître la couverture en matière de composants, risques et pratiques.

Fonctionnalités :

• Visualisation et résolution des erreurs de configuration, comme les pare-feu et les règles IAM.
• Détection, réaction et prévention des menaces et des problèmes de conformité.
• Identification des principales vulnérabilités et des risques, comme le contenu mixte ou l'injection flash, avec des possibilités d'exploration des résultats.
• Identification des ressources exposées au public, comme les machines virtuelles, les instances SQL, les buckets et les jeux de données.
• Découverte et inventaire des actifs, identification des vulnérabilités, des données sensibles et des anomalies.
• Intégration avec des outils tiers afin d'améliorer l'identification et le traitement des terminaux compromis, des attaques réseau, des attaques DDoS, des violations de politique et de conformité, des vulnérabilités de sécurité des instances et des menaces.

Le centre de commande de sécurité est une solution modulable afin de répondre aux besoins de chaque organisation. L'outil s'intègre à différents outils de sécurité de Google, comme Cloud Data Loss Prevention et Web Security Scanner, mais aussi à des solutions de sécurité tierces comme McAfee, Qualys et CloudGuard.

Forseti

Forseti est une solution open source qui améliore la visibilité sur votre environnement GCP, vous aide à résoudre les vulnérabilités et à surveiller la conformité et les politiques. Il est composé de différents modules de base qui peuvent être facilement activés, configurés et exécutés de façon indépendante.

Des modules complémentaires existent afin de renforcer les capacités de Forseti et de personnaliser son utilisation.

Fonctionnalités :

• Surveillance des ressources GCP afin de s'assurer que les mesures de sécurité comme les contrôles d'accès sont en place et protégées contre les modifications non autorisées.
• Inventaire des ressources et suivi de l'évolution de votre environnement GCP.
• Compréhension et application des politiques et règles de sécurité et de pare-feu.
• Évaluation des paramètres et vérification de leur conformité pour éviter toute exposition de vos ressources GCP.
• Accès à une information claire sur vos politiques Cloud Identity and Access Management (Cloud IAM) ainsi que sur l'accès des utilisateurs aux ressources.
• Disponibilité d'un visualiseur permettant de comprendre votre structure de sécurité GCP et d'identifier le respect ou les violations des politiques.

CloudGuard

CloudGuard est une solution de sécurité cloud native sans agent qui évalue et visualise la position de sécurité de la plateforme GCP. Elle permet aux équipes de protéger leurs actifs et leur environnement cloud. Cette solution analyse différents actifs, comme le moteur de calcul, les bases de données, les machines virtuelles, d'autres services ainsi que les pare-feu réseau.

Fonctionnalités :

• Surveillance continue des politiques et des événements de sécurité, détection des modifications et vérification de la conformité.
• Identification et correction des erreurs de configuration, des vulnérabilités et des risques de sécurité associés.
• Renforcement de la sécurité et assurance de la conformité ainsi que des meilleures pratiques.
• Visualisations performantes de la position de sécurité des actifs du réseau GCP.
• Intégration fluide avec GCP mais aussi d'autres clouds publics comme Amazon Web Services et Microsoft Azure.
• Application de politiques de gouvernance répondant aux besoins uniques de sécurité de l'organisation.

Cloudsploit

Cloudsploit est une solution efficace qui vérifie et détecte automatiquement les problèmes de configuration de sécurité au sein de Google Cloud Platform, mais aussi d'autres services de cloud public comme Azure, AWS, Github et Oracle.

La solution de sécurité se connecte aux projets GCP, où elle assure la surveillance de différents éléments. Elle permet de détecter les erreurs de configuration de sécurité, les activités malveillantes, les actifs exposés et d'autres vulnérabilités.

Fonctionnalités :

• Solution de surveillance de la configuration de sécurité facile à déployer et à utiliser, avec une fonction d'alerte.
• Analyses et rapports précis, rapides et fiables.
• Informations sur la position de sécurité et la conformité.
• Vérification des systèmes par l'analyse des privilèges, des rôles, des réseaux, des certificats, des tendances d'utilisation, de l'authentification et des configurations.
• Aperçus au niveau du compte qui permettent de visualiser et d'identifier facilement les tendances et les niveaux de risque au fil du temps.
• Conception basée sur une API qui facilite l'intégration de l'outil avec d'autres tableaux de bord CISO et systèmes de reporting.

Prisma Cloud

Prisma Cloud est une solution cloud native intégrée afin d'assurer une mise en œuvre et une maintenance correctes de la sécurité et de la conformité de l'environnement, des applications et des ressources GCP.

Cet outil complet utilise des API qui s'intègrent au service GCP afin de fournir des informations, une protection et des rapports continus, mais aussi une application de la conformité.

Fonctionnalités :

• Solution de sécurité complète, évolutive et basée sur une API qui offre des informations, une surveillance continue, une détection des menaces et une réponse.
• Visibilité complète qui permet d'identifier et de résoudre les erreurs de configuration, les vulnérabilités de la charge de travail, les menaces réseau, les fuites de données, les activités utilisateur non sécurisées.
• Protection des charges de travail, des conteneurs et des applications qui fonctionnent sur Google Cloud Platform.
• Application personnalisée des politiques de sécurité en fonction des applications, des utilisateurs ou des appareils.
• Application simple des politiques de gouvernance et de la conformité à un grand nombre de normes, comme NIST, CIS, GDPR, HIPAA et PCI.

Cloud Custodian

Cloud Custodian est un moteur de règles open source, flexible et léger pour la sécurité et la gouvernance du cloud. Il permet de gérer en toute sécurité vos comptes et ressources GCP. Cette solution intégrée permet aussi d'optimiser les coûts en gérant l'utilisation des ressources, ce qui conduit à des économies.

Fonctionnalités :

• Application en temps réel des politiques de sécurité et de conformité dans la gestion des accès, les règles de pare-feu, le chiffrement, les balises, la collecte des données, la gestion automatisée des ressources en dehors des heures de bureau.
• Informations et rapports unifiés.
• Intégration fluide aux fonctions de Google Cloud Platform.
• Mise en place automatique de GCP AuditLog et d'autres fonctions sans serveur.

McAfee MVISION

La solution McAfee MVISION s'intègre avec Google Cloud SCC afin de donner aux équipes une visibilité sur l'état de sécurité de leurs ressources GCP et de détecter puis de traiter les vulnérabilités et les menaces.

De plus, cette solution cloud native réalise des audits de configuration qui permettent aux équipes de sécurité d'identifier et de traiter les risques cachés. Elle dispose de moteurs de politique cloud qui améliorent les requêtes GCP, ce qui permet de trouver des erreurs de configuration de sécurité dans différents services GCP.

Fonctionnalités :

• Informations qui aident les équipes à identifier et à résoudre les problèmes de sécurité et de conformité.
• Amélioration et audit complet des configurations afin de détecter les vulnérabilités cachées, ce qui permet aux équipes d'appliquer les meilleures pratiques.
• Visibilité permettant aux équipes d'enquêter sur les incidents de sécurité, les anomalies, les violations et les menaces afin de réagir rapidement dans le centre de commande de la sécurité du cloud.
• Notifications en cas de menaces de sécurité ou de violations de politique.
• Visualisation des vulnérabilités et menaces sur les tableaux de bord Google Cloud SCC.

Netskope

Netskope permet d'identifier et de résoudre rapidement les problèmes de sécurité, les menaces et les erreurs de configuration qui exposent vos actifs numériques aux menaces et aux attaques.

En plus de compléter GSCC pour la protection des instances de calcul, du stockage d'objets, des bases de données et d'autres actifs, Netskope va plus loin afin de fournir une vue d'ensemble des erreurs de configuration, des menaces avancées et des risques.

Fonctionnalités :

• Visibilité en temps réel sur les menaces, les vulnérabilités, les erreurs de configuration et la conformité sur votre plateforme cloud Google.
• Identification et correction des vulnérabilités, des erreurs de configuration, des problèmes de conformité et des risques de sécurité.
• Surveillance permanente de votre configuration de sécurité et comparaison avec les meilleures pratiques. Identification des problèmes et application des normes en fonction des meilleures pratiques et des références CIS.
• Rapports de conformité : inventaire de vos ressources GCP afin d'identifier et de signaler les erreurs de configuration et les anomalies.

Tripwire

Tripwire Cloud Cybersécurité est une solution complète qui permet aux entreprises de mettre en œuvre des configurations et des contrôles de sécurité efficaces, afin d'éviter d'exposer leurs actifs numériques. Elle combine la gestion de la configuration, un évaluateur de gestion du cloud (CMA) et des capacités de surveillance de l'intégrité des fichiers pour identifier les ressources et les données exposées publiquement sur le GCP.

Principales caractéristiques :

• Découverte et traitement des buckets ou instances de stockage GCP exposés au public afin de garantir une configuration et une sécurité des données appropriées.
• Rassemble, analyse, puis évalue les données de configuration GCP, ce qui permet d'identifier et de résoudre les erreurs de configuration.
• Surveillance des modifications de configuration qui compromettent le cloud GCP ou qui exposent des actifs.
• L'évaluateur de la gestion du cloud de Tripwire surveille la plateforme Google Cloud afin de détecter les mauvaises configurations et alerte les équipes de sécurité afin de les corriger.

Scout Suite

La Scout Suite est un outil d'audit de sécurité open source pour GCP et d'autres clouds publics. Il permet aux équipes de sécurité d'évaluer la position de sécurité de leurs environnements GCP et d'identifier les erreurs de configuration et autres vulnérabilités.

L'outil d'examen de la configuration de Scout Suite interagit facilement avec les API que Google expose afin de collecter et d'analyser les données sur l'état de la sécurité. Il met ensuite en évidence les vulnérabilités qu'il identifie.

Aqua Security

Aqua Security est une plateforme qui donne aux organisations une vue d'ensemble sur GCP et d'autres clouds comme AWS, Oracle Cloud et Azure. Il permet de simplifier et d'appliquer les politiques et la conformité.

Aqua s'intègre au Cloud Security Command Center de Google, à d'autres solutions tierces et à des outils d'analyse et de surveillance. Cela permet de visualiser et de gérer votre sécurité, vos politiques et votre conformité à partir d'un seul endroit.

Fonctionnalités :

• Analyse, identification et correction des erreurs de configuration, des logiciels malveillants et des vulnérabilités des images.
• Renforcement de l'intégrité des images durant le cycle de vie de l'application.
• Définition et application des privilèges et des normes de conformité, comme PCI, GDPR, HIPAA.
• Amélioration des mesures de détection et d'atténuation des menaces pour les charges de travail du conteneur GCP.
• Création et application de politiques d'assurance d'image pour empêcher l'exécution d'images compromises, vulnérables ou mal configurées dans votre environnement Google Kubernetes Engine.
• Aide à la création d'une piste d'audit pour les investigations et la conformité.
• Analyse continue des paramètres afin de détecter les vulnérabilités et les anomalies.

GCPBucketBrute

GCPBucketBrute est une solution de sécurité open source personnalisable et efficace afin de détecter les compartiments de stockage Google ouverts ou mal configurés. Il s'agit d'un script qui énumère les compartiments de stockage Google afin de vérifier s'il existe des configurations non sécurisées et des possibilités d'escalade de privilèges.

Fonctionnalités :

• Découverte des buckets GCP ouverts et des escalades de privilèges risquées dans les instances cloud de la plateforme.
• Vérification des privilèges dans chaque compartiment découvert afin de déterminer s'il est vulnérable à l'escalade de privilèges.
• Adapté aux tests de pénétration du cloud de Google, aux engagements de l'équipe rouge.

Cloud Security Suite

Cloud Security Suite FTW est un autre outil open source pour auditer la position de sécurité de l'infrastructure GCP. Cette solution tout-en-un permet d'auditer les configurations et la sécurité des comptes GCP et d'identifier un grand nombre de vulnérabilités.

Conclusion

La plateforme Google Cloud propose une infrastructure informatique flexible et évolutive. Cependant, comme d'autres environnements cloud, elle peut présenter des vulnérabilités si elle n'est pas correctement configurée. Les acteurs malveillants peuvent les exploiter pour compromettre les systèmes, voler des données, infecter avec des logiciels malveillants ou commettre d'autres cyberattaques.

Les entreprises peuvent heureusement sécuriser leurs environnements GCP en suivant les bonnes pratiques de sécurité et en utilisant des outils fiables pour protéger, surveiller en permanence et fournir une visibilité sur les configurations et la posture de sécurité globale.