Après avoir tout migré sur le cloud, quels outils d'évaluation de la sécurité cloud ont du sens pour une petite structure ?

Vous pouvez faire tourner des outils open source via une tâche cron hebdomadaire sur une machine virtuelle et envoyer les résultats par e-mail. Les outils qui auditent la partie gestion des identités et des accès (IAM) repèrent particulièrement bien les clés de service inutilisées et les rôles aux permissions trop larges. Pour commencer, ce niveau est largement suffisant.

Avant de chercher des outils hors de prix, vérifiez immédiatement ces trois points : 1) La lecture publique est-elle désactivée sur vos stockages objets ? 2) Les ports d'administration des serveurs et de la base de données sont-ils ouverts uniquement sur l'IP fixe de la boîte ? 3) L'authentification à deux facteurs est-elle obligatoire pour la console admin ? Rien que ça élimine la grande majorité des risques.

On a payé 12 000 dollars par an pour un outil d'entreprise et on a paniqué le premier mois parce que le système a sorti 600 alertes d'infraction. Au final, l'une des alertes concernait juste l'absence d'un tag sur un serveur de test. Dans les petites équipes, les outils qui génèrent autant de bruit bloquent tout le boulot. Avancer pas à pas avec les outils natifs de la console est bien plus judicieux.

les formulaires d'audit des clients font souvent peur, mais soyons honnêtes ils ne cherchent pas un nom d'outil d'entreprise en particulier. du coup ce qu'ils veulent, c'est voir une doc prouvant que vous scannez périodiquement votre infrastructure et comment vous corrigez les vulnérabilités trouvées.

installez des scanners open source et sortez le rapport en html. dites au client qu'un scan de sécurité automatique tourne chaque semaine sur votre infra cloud et transmettez-lui ce résumé, pour la plupart des grands comptes c'est largement une preuve suffisante.

note : j'ai écrit cela d'après mon expérience, cela ne s'applique peut-être pas à tout le monde.

Votre client est-il soumis à une réglementation particulière ? Vous stockez des données de santé ou des numéros de carte bancaire ? S'il n'y a pas d'obligation légale stricte de conformité, investir dans des outils tiers hors de prix va juste plomber votre budget inutilement.

Activez le centre de sécurité natif de votre cloud, durcissez les règles et lancez un scan hebdomadaire avec un outil d'audit open source.

Merci beaucoup, je teste dès aujourd'hui.

Je vais raconter ce qui m'est arrivé, ça pourrait vous servir. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale. Je suis aussi curieux de savoir si d'autres font autrement.

Je n'ai aucune expérience en outils d'évaluation de la sécurité cloud, c'est pourquoi je pose la question. Essayer de faire cela seul est la voie la plus coûteuse.

Corrigez-moi si je me trompe.

exact.

Je vais défendre l'opposé, ne m'en veuillez pas. Le temps que vous mettez à détecter un problème détermine directement son coût.

Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Ce qui est écrit correspond exactement à ce que nous avons vécu. Tous ceux qui se pressent sur outils d'évaluation de la sécurité cloud se heurtent au même obstacle.

Je ne savais pas ça. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Bien sûr, cela change si votre situation est différente.

il y a un point auquel il faut faire attention... du coup si vous grondez les fausses alertes, plus personne ne signalera rien.

voilà, désolé si je me suis étendu.

absolument et bref si j'ajoute quelque chose : Ne comptez pas sur une sule mesure de sécurité ; allez par couches.

bon courage.

Merci de partager le résultat. Tout va bien les trois premiers mois les problèmes arrivent au quatrième.

Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé. Si vous écrivez le résultat ici cela aidera aussi d'autres personnes.

Je vais essayer.