Que se passe-t-il dans le cloud ?

L'open source est le talon d'Achille informatique de la chaîne d'approvisionnement en logiciels

De l'attaque de SolarWinds sur la chaîne d'approvisionnement des logiciels à la faille Apache Log4j découverte, les acteurs de la menace ciblent de plus en plus les vulnérabilités critiques, tant chez les fournisseurs de cloud que dans la chaîne d'approvisionnement. Or, les entreprises dépendent de plus en plus des plates-formes de cloud computing : 35 % de toutes les entreprises font tourner plus de 50 % de leurs charges de travail sur Microsoft Azure, AWS et Google Cloud. Le problème : nombre d'entre elles ont des difficultés à sécuriser leurs infrastructures sur plusieurs plateformes de cloud. En même temps, elles doivent faire face à la pénurie de personnel qualifié et, par-dessus le marché, le nombre d'incidents de sécurité liés au cloud a augmenté de dix pour cent par rapport à l'année précédente. En effet, les cybercriminels ont également déplacé leurs attaques de la chaîne d'approvisionnement vers le cloud.

NotPetya

Actuellement, le principal risque pour la chaîne d'approvisionnement des entreprises provient des logiciels open source. La communauté open source met à disposition de nombreux modules et paquets qui sont utilisés dans le monde entier, y compris par les entreprises au sein de la chaîne d'approvisionnement. Toutefois, le problème avec un logiciel open source est qu'il est intrinsèquement peu sûr. En effet, ils sont écrits par des individus qui n'ont pas toujours les connaissances ou le budget nécessaires pour les sécuriser.

Cela crée une faille dans l'architecture de sécurité, car les paquets open source importés peuvent présenter des dépendances qui ne sont tout simplement pas connues du service informatique. C'est exactement ce qui s'est passé avec NotPetya : NotPetya est une évolution d'une chaîne de logiciels malveillants qui a réussi à infiltrer des systèmes dans le monde entier en s'appuyant sur des logiciels de comptabilité open source largement répandus. Il s'est ainsi répandu comme une traînée de poudre, provoquant le chaos en Ukraine et dans plusieurs grands pays, dont le Royaume-Uni, la France, l'Allemagne, la Russie et les États-Unis. L'omniprésence des logiciels et du code open source signifie qu'il peut être difficile pour les entreprises de savoir si elles ou leurs fournisseurs sont vulnérables aux attaques. Cela fait des chaînes d'approvisionnement une cible attrayante pour les cybercriminels, car ils savent qu'en pénétrant dans un système, ils peuvent rapidement accéder à de nombreux autres.

DevSecOps

Toutes les plateformes de cloud computing présentent des vulnérabilités, quel que soit le fournisseur choisi. Les responsables informatiques peuvent faire des recherches et faire appel aux meilleurs experts du secteur, mais ils ne peuvent pas contrôler la sécurité totale de la plateforme du fournisseur choisi. Les entreprises peuvent néanmoins prendre en compte les aspects suivants pour se protéger : Les entreprises ont tendance à construire des mesures de sécurité comme un point de contrôle de protection unique, et les attaquants tenteront de le contourner. Une mise en œuvre de la sécurité qui part du principe que le premier niveau peut échouer et qui s'impose à plusieurs niveaux a plus de chances de résister à une cyber-attaque sophistiquée. Pour que les portes virtuelles de leur réseau restent solidement fermées, les entreprises devraient automatiser DevSecOps. Cela garantit que les mesures de sécurité peuvent être appliquées en temps réel et en accord avec d'autres objectifs commerciaux.