Septembre 2014 a vu une autre bombe, "Shellshock", frapper la communauté de la sécurité sous la forme d'un ensemble de vulnérabilités dans "Bash", un composant de la plupart des systèmes basés sur UNIX. Il a le potentiel de causer de gros dégâts, et la communauté a été dans une frénésie essayant de réparer chaque système impacté. Déjà des millions de tentatives d'attaques ont été lancées sur presque tous les systèmes sur Internet, et certains attaquants ont tenté de transformer cela en un « ver » auto-répliquant. Pour être considérés comme sûrs, les réseaux des fournisseurs doivent être protégés par des pare-feu multicouches et des systèmes de détection d'intrusion. Ces réseaux doivent également être surveillés par un Security Operations Center (SOC) 24x7x365. La seule approche de sécurité qui perdure est une stratégie de « SÉCURITÉ EN PROFONDEUR », similaire à celle suivie par LiveOps, avec de multiples couches de protection qui se chevauchent et sont redondantes.
Chez LiveOps, nous utilisons une approche holistique de la sécurité. Du moment où un projet est envisagé et mis sur la planche à dessin, en passant par ses étapes de développement et de test jusqu'après son déploiement, notre équipe de sécurité applicative passe en revue chaque étape. La sécurité doit faire partie intégrante de la manière dont un fournisseur conçoit et construit sa plate-forme à chaque étape du cycle de vie du développement logiciel, et non une réflexion après coup. De plus, le système de sécurité doit être soigneusement testé pour prouver que la solution respecte ou dépasse les exigences de sécurité standard de l'industrie. Les systèmes basés sur le cloud nécessitent une surveillance XNUMX heures sur XNUMX pour garantir la sécurité et l'intégrité des données des clients, pour se protéger contre les menaces de sécurité ou les violations de données et pour empêcher tout accès non autorisé aux données des clients.
Dès qu'un système est placé dans nos centres de données sécurisés, il est surveillé et audité, corrigé et analysé. Les données sont sauvegardées jusqu'à la fin, lorsque des années plus tard, le disque dur sur lequel se trouvent les données rencontre son dernier lieu de repos dans une déchiqueteuse industrielle dans un centre de recyclage.
Chaque fois qu'une vulnérabilité est exposée, comme avec Shellshock (ou l'une des dizaines de vulnérabilités moins visibles découvertes chaque mois), l'équipe LiveOps examine l'impact, décide d'un plan de correction et le met en œuvre avec l'équipe appropriée.
Dans le cas de Shellshock, notre approche comprenait les sept étapes suivantes :
- Recherchez tous les cas de vulnérabilité publique à l'aide d'analyses automatisées de plusieurs fournisseurs et de tests manuels. (Aucun n'a été trouvé.)
- Mettez à jour les règles du pare-feu d'application Web et informez l'équipe Security Operation Center.
- Consultez les journaux IDS pour les tentatives d'attaque. (Diverses tentatives ont été observées, mais aucune n'a réussi.)
- Déploiement à grande échelle des correctifs appropriés avec diverses itérations.
- Testez le code de preuve de concept pour vérifier le succès du correctif sur chaque machine.
- Exécutez des analyses de vulnérabilité internes pour vérifier qu'aucune case n'a été oubliée.
- Exécutez un examen "boîte blanche" de tout le code source de production pour une utilisation "bash".
Certaines de ces tâches ont été exécutées en parallèle et ont nécessité des efforts de toute l'équipe, mais nous avons réussi à résoudre ce problème rapidement, sans exposition à la sécurité et sans aucun impact sur les processus de production.
Que pouvez-vous faire en tant qu'utilisateur de systèmes cloud ?
Outre les bonnes pratiques habituelles en matière de sécurité (sur lesquelles nous sommes toujours heureux de conseiller nos clients), la seule chose à faire est de rester vigilant, et de vous assurer de bien revoir votre fournisseur de cloud.
Des incidents comme celui-ci se reproduiront à l'avenir. Assurez-vous de choisir un partenaire qui est prêt pour eux.
Image reproduite avec l'aimable autorisation de Stuart Miles sur FreeDigitalPhotos.net.
