On est passés sur AWS — y'a un outil pour auditer nous-mêmes notre sécurité cloud sans payer un auditeur ?

Le premier endroit sur lequel vous concentrer c'est le stockage et les identités. Depuis la console, activez en un clic la clé de blocage de l'accès public au niveau du compte entier. Ensuite, dans vos politiques d'identité, repérez les utilisateurs à qui on a donné des droits admin illimités avec un astérisque et restreignez-les selon le principe du moindre privilège. N'oubliez pas non plus d'activer le service d'audit qui garde les logs de connexion dans toutes les régions.

Nous aussi quand on a migré notre infra e-commerce à New York on avait reçu un devis similaire, ils nous demandaient 5 500 dollars. Deux de nos devs ont lancé les scripts d'audit open source. Au total 18 erreurs de config critiques ont été signalées, dont 11 étaient d'anciens groupes de sécurité oubliés. On a tout réglé en 3 jours à coût zéro.

Les outils open source automatiques c'est génial mais faites pas trop confiance. Ces scanners regardent seulement les réglages de l'infra cloud. Ils peuvent pas vous dire s'il y a une faille d'autorisation dans votre code ou si on peut faire une injection SQL dans la base de données. Donc même si votre infra a l'air verte, votre appli peut être trouée de partout.

Le truc le plus urgent que vous pouvez faire dès ce soir : arrêtez de bosser au quotidien avec le compte root. Créez un nouveau compte dev, attribuez une clé de sécurité physique au compte root et enfermez son mot de passe dans un coffre. La plupart des violations cloud explosent à cause de clés admin qui fuient.

Est-ce que les clients avec qui vous allez signer vous demandent un rapport de conformité standard ou une signature officielle d'auditeur indépendant ? Si un certificat d'audit officiel est obligatoire dans le cahier des charges votre propre scan pourrait ne pas être considéré comme suffisant à lui seul à la table corporate.

nous aussi on a paniqué quand on a migré au début. on a installé deux scanners open source différents, on les a branchés à la console ils nous ont sorti un rapport html. bref le plus choquant c'était que le serveur de test rsté ouvert avait reçu des milliers de tentatives de mot de passe en 2 jours, on a vite fermé les ports.

avec un budget serré, lâchez surtout pas ces 6 000 dollars puis l'onglet conseiller gratuit de la console et les scripts d'audit populaires sur GitHub feront largement le taf. bref consacrez un week-end à ces résultats, asseyez-vous avec l'équipe et réglez les points un par un.

La sécurité c'est pas un audit ponctuel, c'est un processus vivant. Même si aujourd'hui vous payez 6 000 dollars et obtenez un rapport nickel, si la semaine prochaine un de vos devs ouvre une mauvaise règle de sécurité vous serez à nouveau sans défense. Donc branchez l'outil d'audit open source comme étape de test automatique dans votre pipeline de déploiement.

Si vous partez dans cette direction, réglez cela dès le départ. Essayer de faire cela seul est la voie la plus coûteuse.

La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

Je vais défendre l'opposé, ne m'en veuillez pas. Essayer de faire cela seul est la voie la plus coûteuse.

Voilà, désolé si je me suis étendu.

Je suis d'accord.

Je vais essayer. Quand on essaie de tout changer en même temps, rien ne prend.

Voilà désolé si je me suis étendu.

Ce sujet est archivé.

il y a aussi un aspect mesure à considérer.. et le fait que la sauvvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

La discussion part dans tous les sens je recentre. Essayer de faire cela seul est la voie la plus coûteuse.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je suis d'accord, j'aimerais même souligner ce point. Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

Corrigez-moi si je me trompe.

Pour entrer dans le détail : Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

je vais défendre l'opposé, ne m'en veuillez pas. prendre une mesure sans faiire d'inventaire c'est laisser une porte ouverte sans le savoir.