Cybersécurité dans le cloud public

L’un des principaux facteurs pris en compte par les entreprises lors du choix des fournisseurs de services de cloud public est le niveau de cybersécurité qu’ils offrent, ce qui implique les fonctionnalités et capacités qu’ils mettent en place pour protéger leurs propres réseaux et services et pour garder leurs clients les données à l’abri des violations et autres attaques.

Les 3 principales sociétés de cloud – Amazon Web Services (AWS), Google Cloud Platform (GCP) et Microsoft Azure– chacune prend la sécurité au sérieux pour des raisons apparentes. Une faille de sécurité très médiatisée qui finirait par être imputée à leurs services pourrait effrayer des variétés inconnues de consommateurs potentiels, entraîner des pertes innombrables et peut-être entraîner des frais de conformité réglementaire.

Voici ce que les trois grands fournisseurs de cloud computing proposent dans quatre domaines essentiels de la cybersécurité.

Sécurité du réseau et de l’infrastructure

Fournisseurs Web Amazon

AWS fournit de nombreux capacités et services créés pour augmenter la confidentialité et contrôler l’accès au réseau. Il s’agit de programmes de pare-feu de réseau qui permettent aux clients de créer des réseaux privés et de contrôler l’accès aux circonstances ou aux applications. L’entreprise peut gérer le chiffrement des fichiers en transit entre les services AWS.

Il s’agit de choix de connexion qui permettent des connexions personnelles ou dédiées ; technologies d’atténuation du déni de service dispersé qui peuvent être appliquées dans le cadre des méthodes d’application et d’expédition de matériel ; et le chiffrement automatique de tout le trafic sur les réseaux mondiaux et régionaux AWS entre les centres sécurisés AWS.

Google Cloud Platform

L’entreprise a conçu et exécuté du matériel spécifiquement pour la sécurité, tel que Titan, une puce de sécurité personnalisée que GCP utilise pour établir une racine matérielle de confiance dans ses serveurs et périphériques. Google construit son propre matériel réseau pour améliorer la sécurité. Tout cela se retrouve dans ses styles de centre de données, qui incluent de nombreuses couches de défense physique et logique.

Du côté du réseau, GCP a conçu et continue de faire évoluer l’infrastructure réseau internationale qui prend en charge ses services cloud pour se maintenir jusqu’à des attaques telles que le déni de service dispersé (DDoS) et protéger ses services et ses clients. En 2017, les installations ont absorbé un DDoS de 2,5 Tbit/s, l’attaque à la bande passante la plus élevée signalée à ce jour.

En plus des capacités intégrées de ses installations de réseau mondial, GCP utilise capacités de sécurité du réseau que les consommateurs peuvent choisir de libérer. Il s’agit notamment de l’équilibrage de charge cloud et de Cloud Armor, un service de sécurité réseau qui fournit des défenses contre les attaques DDoS et les attaques d’applications.

Google utilise de nombreuses mesures de sécurité pour garantir la crédibilité, l’intégrité et la confidentialité des informations en transit. Il crypte et authentifie les données en transit sur une ou plusieurs couches réseau lorsque les informations se déplacent en dehors des limites physiques non gérées par Google.

Microsoft Azure

Microsoft Azure s’exécute dans des centres de données gérés et exploités par Microsoft. Ces centres de données répartis géographiquement respectent les exigences cruciales de l’industrie en matière de sécurité et de fiabilité, selon l’entreprise. Les centres de données sont gérés, suivis et administrés par le personnel d’exploitation de Microsoft avec des années d’expérience.

Microsoft effectue également des vérifications de confirmation des antécédents du personnel d’exploitation et limite l’accès aux applications, aux systèmes et à l’infrastructure réseau en proportion au niveau de la vérification des antécédents.

Le pare-feu Azure est un service de sécurité réseau géré et basé sur le cloud qui protège les ressources du réseau virtuel Azure. Il s’agit d’un pare-feu entièrement avec état en tant que service avec une haute accessibilité intégrée et une évolutivité illimitée. Le logiciel de pare-feu Azure peut déchiffrer le trafic sortant, effectuer les vérifications de sécurité nécessaires, puis rechiffrer le trafic avant de le transférer vers sa destination. Les administrateurs peuvent autoriser ou refuser l’accès des utilisateurs à des catégories de sites Web telles que les jeux d’argent, les réseaux sociaux ou autres.

Identité et contrôle d’accès

Amazon Web Solutions

Utilisations d’AWS des capacités pour définir, imposer et gérer l’accès des utilisateurs aux politiques dans l’ensemble des services AWS. Il s’agit d’AWS Identity and Gain Access To Management (IAM), qui permet aux entreprises de définir des comptes d’utilisateurs privés avec des autorisations sur les ressources AWS, et d’AWS Multi-Factor Authentication pour les comptes privilégiés, qui inclut des alternatives pour les authentificateurs logiciels et matériels. AWS IAM peut être utilisé pour accorder aux membres du personnel et aux applications un accès fédéré à la AWS Management Console et aux API de service AWS, en utilisant des systèmes d’identité existants tels que le site Microsoft Active Directory ou d’autres offres de partenaires.

AWS fournit également AWS Directory site Service, qui permet aux organisations de s’intégrer et de se fédérer avec des sites d’annuaires d’entreprises pour réduire les frais administratifs et améliorer l’expérience de l’utilisateur final, et AWS Single Sign-On (SSO), qui permet aux organisations de gérer l’accès des utilisateurs et les autorisations des utilisateurs à tous leurs comptes dans AWS.

Google Cloud Platform

Cloud Identity and Gain access to Management de Google offre plusieurs façons de gérer les identités et les rôles dans Google Cloud. D’une part, Cloud IAM permet aux administrateurs d’attribuer une licence qui peut agir sur des ressources particulières, offrant un contrôle et une présence complets pour gérer les ressources GCP de manière centralisée. En outre, pour les entreprises dotées de structures organisationnelles complexes, de centaines de groupes de travail et de nombreuses tâches, Cloud IAM offre une vue unifiée de la politique de sécurité dans l’ensemble de l’organisation, avec un audit intégré pour faciliter les procédures de conformité.

Cloud Identity est disponible, une offre d’identité en tant que service (IDaaS) qui gère de manière centralisée les utilisateurs et les groupes. Les entreprises peuvent configurer Cloud Identity pour fédérer les identités entre Google et d’autres fournisseurs d’identité. GCP fournit également des clés de sécurité Titan qui fournissent une preuve cryptographique que les utilisateurs s’engagent avec des services légitimes (c’est-à-dire des services avec lesquels ils ont enregistré leur clé de sécurité) avec lesquels ils restent en possession de leur secret de sécurité.

Cloud Resource Manager fournit des conteneurs de ressources telles que des entreprises, des dossiers et des tâches qui permettent aux entreprises de regrouper et d’organiser hiérarchiquement les ressources GCP.

Microsoft Azure

Azure Active Directory Site (Azure ADVERTISEMENT) est un service d’identité d’entreprise qui fournit authentification unique, authentification multifacteur et accès conditionnel aux services Azure en plus des réseaux d’entreprise, des ressources sur site et d’innombrables applications SaaS. Azure AD permet aux organisations de protéger les identités avec un accès adaptatif sûr et sécurisé, de simplifier l’accès et le contrôle avec la gestion des identités fusionnées, et de garantir la conformité avec une gouvernance des identités rationalisée. Microsoft affirme qu’il peut aider à protéger les utilisateurs contre 99,9 % des attaques de cybersécurité.

Protection des données et chiffrement des fichiers

Fournisseurs Web Amazon

AWS offre la possibilité d’inclure une couche de sécurité pour les données au repos dans le cloud. Il fournit des fonctionnalités de chiffrement de fichiers évolutives, notamment des capacités de chiffrement des données au repos dans de nombreux services AWS, notamment Amazon EBS, Amazon S3, Amazon RDS, Amazon Redshift, Amazon ElastiCache, AWS Lambda et Amazon SageMaker.

Offerts sont des options flexibles de gestion des clés, y compris AWS Secret Management Service qui permet aux entreprises de choisir si AWS doit gérer les secrets de chiffrement des fichiers ou garder un contrôle total sur leurs propres secrets ; stockage essentiel cryptographique dédié et basé sur le matériel à l’aide d’AWS CloudHSM ; et des files d’attente de messages chiffrés pour la transmission de données sensibles à l’aide du chiffrement de fichiers côté serveur (SSE) pour Amazon SQS.

Google Cloud Platform

Google propose l’informatique confidentielle, ce qu’il appelle un  » Une innovation révolutionnaire qui sécurise les informations en cours d’utilisation, c’est-à-dire pendant le traitement des informations. Les environnements Confidential Computing conservent les informations cryptées en mémoire et à d’autres endroits en dehors du système de traitement central.

Le tout premier produit de la gamme Confidential Computing est Confidential VMs. Google utilise déjà une gamme de techniques d’isolement et de bac à sable dans le cadre de son infrastructure cloud pour aider à sécuriser son architecture multi-locataire, et les VM confidentielles passent au niveau supérieur en offrant un chiffrement de la mémoire afin que les utilisateurs puissent encore plus séparer les charges de travail dans le cloud .

Une autre offre, Cloud External Secret Manager (Cloud EKM), permet aux organisations d’utiliser des secrets qu’elles gèrent au sein d’un partenaire de gestion externe pris en charge pour protéger les données au sein de Google Cloud Platform. Les entreprises peuvent conserver la provenance essentielle des secrets de tiers, avec un contrôle sur la production, la zone et la circulation des secrets. Ils ont également un contrôle total sur les personnes qui accèdent à leurs secrets.

Microsoft Azure

Azure Key Vault aide à protéger les secrets cryptographiques et les astuces utilisées par les applications et services cloud. Azure Key Vault est créé pour améliorer la procédure de gestion essentielle et permettre aux entreprises de garder le contrôle des secrets qui accèdent aux données et les sécurisent. Les concepteurs peuvent créer des clés pour le développement et les tests en quelques minutes, puis les déplacer vers les secrets de production. Les administrateurs de la sécurité peuvent donner et retirer l’autorisation des secrets selon les besoins.

Microsoft Info Security et Microsoft Details Governance aident à protéger et régir les données au sein de Microsoft 365. Microsoft Information Protection étend la prévention des pertes d’informations à toutes les applications et services Microsoft 365, ainsi qu’à Windows 10 et Edge. Azure Province aide les organisations à comprendre où se trouvent leurs données structurées afin qu’elles puissent mieux protéger et régir ces informations.

Sécurité des applications

Fournisseurs Web Amazon

AWS Guard est un service de sécurité DDoS géré qui protège les applications exécutées sur le cloud Amazon. AWS Shield fournit une détection permanente et des atténuations en ligne automatisées créées pour réduire les temps d’arrêt et la latence des applications. Il existe 2 niveaux d’AWS Shield, Exigence et Avancé.

Tous les consommateurs AWS ont droit aux défenses automatiques d’AWS Guard Standard, qui, selon la société, protège contre de nombreuses attaques DDoS typiques de la couche réseau et de la couche de transport. qui ciblent des sites ou des applications. Lorsque Guard Standard est utilisé avec Amazon CloudFront et Amazon Route 53, les clients bénéficient d’une défense étendue contre toutes les attaques d’infrastructure comprises.

Pour des niveaux de défense plus élevés par rapport aux attaques visant les applications exécutées sur Amazon EC2, Elastic Load Balancing, Amazon CloudFront, AWS Global Accelerator et les ressources Amazon Route 53, les entreprises peuvent opter pour AWS Guard Advanced. En plus des protections de la couche réseau et de la couche de transport qui comportent Guard Requirement, Guard Advanced offre une détection et une atténuation supplémentaires par rapport aux attaques DDoS importantes et avancées, une présence en temps quasi réel dans les attaques et une intégration avec AWS WAF, le pare-feu d’application Web du fournisseur de services cloud. logiciel.

Google Cloud Platform

Google Cloud Web App and API Security (WAAP) fournit une défense complète contre les dangers pour les applications Web et les API. Cloud WAAP est basé exactement sur la même innovation que Google utilise pour sécuriser ses services destinés au public contre les exploits d’applications Web, les attaques DDoS, les activités de bot frauduleux et les risques ciblés par les API.

Cloud WAAP représente un passage de l’isolement à protection des applications fusionnée et est conçu pour fournir une meilleure prévention des risques, une plus grande efficacité fonctionnelle et une présence et une télémétrie combinées. Il offre également une protection dans les environnements cloud et sur site, indique Google.

Cloud WAAP intègre trois produits pour fournir une protection détaillée contre les dangers et les escroqueries. L’un est Google Cloud Armor, qui appartient aux installations mondiales d’équilibrage de charge de GCP et fournit des fonctionnalités de pare-feu d’application Web et anti-DDoS. Un autre est Apigee API Management, qui offre des capacités de gestion du cycle de vie des API avec une forte concentration sur la sécurité. Le troisième est reCaptcha Business, qui offre une sécurité contre les activités trompeuses, le spam et les abus tels que le bourrage d’informations d’identification, la création automatisée de comptes et les exploits de robots automatisés.

Une autre offre GCP, Cloud Security Scanner, recherche les vulnérabilités. et des informations sur les vulnérabilités des applications Web et permet aux entreprises d’agir avant qu’une mauvaise star ne puisse les exploiter.

[Consultez ensuite : AWS, Google Cloud et Azure : Comparaison de leurs fonctionnalités de sécurité] Microsoft Azure

Microsoft Cloud App Security est un courtier de sécurité d’applications cloud qui combine une présence multifonctionnelle, un contrôle sur les déplacements de données, une surveillance de l’activité des utilisateurs et des analyses avancées, permettant aux clients d’identifier et de lutter contre les cyber-risques dans tous leurs services cloud Microsoft et tiers. . Développé pour les spécialistes de la sécurité de l’information, Cloud App Security intègre nativement des outils de sécurité et d’identité, notamment le site Azure Active Directory, Microsoft Intune, Microsoft Details Security, et prend en charge différents modes de déploiement, notamment la collecte de journaux, les ports API et le proxy inverse.