Sécurité du cloud.

La sécurité du cloud regroupe les pratiques visant à protéger les charges de travail exécutées sur une infrastructure que l'organisation ne possède pas entièrement, généralement AWS, Azure, GCP ou des plateformes SaaS. Elle couvre la gestion des identités et des accès, la segmentation réseau, le chiffrement des données en transit et au repos, le durcissement des configurations, la protection des workloads et la surveillance continue des API et journaux d'audit du fournisseur. Parce que le cloud est piloté par API et élastique, les défenses périmétriques traditionnelles ne suffisent plus : les contrôles doivent suivre la charge et s'intégrer aux services natifs (IAM, KMS, CloudTrail, Security Hub, Defender for Cloud).

La ligne de partage des responsabilités est le modèle de responsabilité partagée : le fournisseur sécurise le cloud (installations physiques, hyperviseur, plan de contrôle des services managés) tandis que le client sécurise ce qui s'exécute dedans (données, politiques IAM, correctifs de l'OS et, surtout, la configuration). La plupart des violations médiatisées viennent du côté client. La violation Capital One de 2019 en est l'exemple canonique : un WAF ModSecurity mal configuré a été détourné par server-side request forgery (SSRF) pour atteindre le service de métadonnées de l'instance EC2 à 169.254.169.254, récupérant les identifiants IAM temporaires d'un rôle surprivilégié capable de lister et lire des buckets S3, exposant environ 106 millions d'enregistrements de demandeurs. L'incident a favorisé l'adoption d'IMDSv2 (métadonnées liées à un jeton de session), de l'IAM au moindre privilège et du filtrage sortant. L'intrusion Storm-0558 de 2023, où une clé de signature Microsoft dérobée a permis de forger des jetons pour Exchange Online, a montré que même les défaillances côté fournisseur peuvent se propager. Les programmes matures combinent CSPM, CWPP, CIEM et CNAPP avec les CIS Benchmarks, des garde-fous en tant que code et une gouvernance solide selon le modèle de responsabilité partagée.

flowchart TD
  subgraph P[Le fournisseur sécurise le cloud]
    P1[Centres de données physiques]
    P2[Hyperviseur / hôte]
    P3[Plan des services managés]
  end
  subgraph C[Le client sécurise dans le cloud]
    C1[Données et clés de chiffrement]
    C2[Politiques IAM et moindre privilège]
    C3[Configuration / durcissement]
    C4[Correctifs OS et applications]
  end
  C3 -->|mauvaise config| M[SSRF -> identifiants IMDS<br/>ex. Capital One 2019]
  M --> B[Exfiltration de données]
  C2 -->|moindre privilège + IMDSv2| D[Rayon d'impact limité]