Les codeurs compromettent l'infrastructure de sécurité en tant que série de codes : fonctions de sécurité désactivées

Les menaces à la cybersécurité sont aujourd'hui omniprésentes et incessantes. À mesure que de plus en plus d'aspects de notre vie sont numérisés, les cybercriminels prennent davantage de risques : il y a trop de code à protéger et les données privées ont trop de valeur. Il est devenu pratiquement impossible de se tenir à jour et de défendre tous les aspects de la surface d'attaque une fois les programmes déployés.

Il existe des approches qui peuvent atténuer certains de ces symptômes, et l'une d'entre elles est évidente lorsque les organisations avisées adoptent le concept d'infrastructure en tant que code (IaC). Bien entendu, comme pour tout développement, il existe certains obstacles en matière de sécurité à surmonter. Et étant donné que les développeurs travaillent sur le code qui génère l'infrastructure vitale pour héberger les applications, la sensibilisation à la sécurité est essentielle à chaque étape du processus.

Alors, comment un développeur débutant dans un environnement de serveur cloud pourrait-il améliorer ses compétences, apprendre les rouages et aborder la construction avec une plus grande conscience de la sécurité ? Nous avons créé la prochaine série Coders Conquer Security pour aborder les vulnérabilités les plus courantes de l'IaC, et les prochains blogs se concentreront sur les mesures que vous, le développeur, pouvez prendre pour commencer à mettre en œuvre une infrastructure sécurisée en tant que code dans votre propre organisation.

Nous allons commencer.

Il existe une histoire du Far West américain au sujet d'un homme qui était paranoïaque, craignant que des bandits n'attaquent et ne cambriolent sa maison. Pour se prémunir, il a investi dans toutes sortes de mesures de sécurité, comme l'installation d'une porte d'entrée très solide, le bouchage de toutes ses fenêtres et la mise à disposition de nombreuses armes à portée de main. Il a néanmoins été cambriolé une nuit pendant son sommeil, car il avait oublié de fermer la porte latérale. Les bandits ont simplement constaté que le système de sécurité était désactivé et ont rapidement profité de la situation.

Avoir les fonctions de sécurité désactivées dans votre infrastructure revient à peu près à cela. Même si votre réseau dispose d'une infrastructure de sécurité solide, cela ne sert pas à grand-chose si certains éléments ont été désactivés.

Permettez-moi de vous proposer un défi avant de nous plonger dans le vif du sujet :

Veuillez cliquer sur le lien ci-dessus pour accéder à notre plateforme de formation ludique, où vous pourrez tenter de supprimer une vulnérabilité d'une fonctionnalité de sécurité désactivée actuellement. (Remarque : la page s'ouvrira dans Kubernetes, mais vous pouvez utiliser le menu déroulant pour choisir entre Docker, CloudFormation, Terraform et Ansible).

Comment cela s'est-il passé ? Si vous avez encore du travail à accomplir, veuillez continuer à lire :

Les fonctions de sécurité peuvent être désactivées pour diverses raisons. Certaines applications et certains cadres peuvent être désactivés par défaut et doivent d'abord être activés pour commencer à fonctionner. Il est également possible que les administrateurs aient désactivé des fonctions de sécurité spécifiques afin de pouvoir effectuer certaines tâches plus facilement sans avoir à faire face à des défis ou à des blocages constants (par exemple, rendre public un compartiment AWS S3). Une fois leur travail terminé, ils peuvent oublier de réactiver les fonctions désactivées. Ils peuvent également préférer les laisser désactivées afin de faciliter leur travail à l'avenir.

Pourquoi les fonctions de sécurité désactivées sont-elles si préoccupantes ?

Il est déconseillé de désactiver une ou plusieurs fonctions de sécurité pour plusieurs raisons. D'une part, la fonction de sécurité a été intégrée aux ressources de l'infrastructure afin de la protéger contre un exploit, une menace ou une vulnérabilité connus. Si elle est désactivée, elle ne pourra pas protéger vos ressources.

Les attaquants chercheront toujours à identifier en premier lieu les vulnérabilités pouvant être facilement exploitées et peuvent même utiliser un script pour analyser les faiblesses les plus courantes. Cela s'apparente à un individu malintentionné qui inspecte toutes les voitures d'une rue pour vérifier si une portière est ouverte, ce qui est beaucoup plus simple que de briser une vitre. Les pirates informatiques seront surpris de découvrir qu'une défense de sécurité courante est inactive. Cependant, lorsque cela se produira, ils ne tarderont pas à l'exploiter.

Deuxièmement, disposer d'une bonne sécurité puis la désactiver crée un faux sentiment de sécurité. Les administrateurs peuvent penser qu'ils sont protégés contre les menaces les plus courantes s'ils ne savent pas que quelqu'un a désactivé ces défenses.

À titre d'exemple illustrant comment un attaquant pourrait exploiter une fonctionnalité de sécurité désactivée, considérons la fonctionnalité de sécurité AWS S3 permettant de bloquer l'accès public. Grâce au blocage de l'accès public Amazon S3, les administrateurs de comptes et les propriétaires de boîtes aux lettres peuvent facilement configurer des contrôles centralisés afin de limiter l'accès public à leurs ressources Amazon S3. Cependant, certains administrateurs qui rencontrent des difficultés pour accéder au compartiment S3 décident de le rendre public afin de terminer la tâche le plus rapidement possible. Si vous oubliez d'activer cette fonctionnalité de sécurité, l'attaquant aura un accès complet aux informations stockées dans ce compartiment S3, ce qui entraînera non seulement la divulgation des informations, mais également des coûts supplémentaires liés aux frais de transfert de données.

Comparons quelques codes du monde réel ; veuillez consulter ces extraits de CloudFormation :

Vulnérable :

Cubo corporativo :
Tipo : AWS : :S3 : :Bucket
Propiedades :
Configuración del bloque de acceso público :
blockPublicACLS : falso
BlockPublicPolicy : falso
ignorePublicacls : falso
restrictPublicBuckets : falso
Configuración de control de versiones :
État : Activé
Chiffrement des compartiments :
Configuration du chiffrement côté serveur :
- Chiffrement côté serveur par défaut :
Algorithme SSE : « AES256 »

Assurance :

Cubo corporativo :
Tipo : AWS : :S3 : :Bucket
Propiedades :
Configuración del bloque de acceso público :
BlockPublicACLS : vrai
BlockPublicPolicy : vrai
ignorePublicacls : vrai
RestrictPublicBuckets : vrai
Configuration du contrôle de version :
Statut : Activé
Chiffrement des compartiments :
Configuration du chiffrement côté serveur :
- Chiffrement côté serveur par défaut :
Algorithme SSE : « AES256 »

Empêcher la désactivation des fonctions de sécurité

Empêcher que les fonctions de sécurité désactivées aient un impact négatif sur votre organisation relève autant de la politique que de la pratique. Il est essentiel de disposer d'une politique stricte stipulant que les fonctions de sécurité ne doivent être désactivées que dans des circonstances très spécifiques. Les incidents nécessitant la désactivation temporaire de fonctions afin de résoudre un problème ou de mettre à jour des applications doivent être consignés. Une fois les travaux nécessaires terminés, il convient de vérifier que les fonctions ont bien été réactivées.

Si une fonction de sécurité doit être désactivée de manière permanente afin de faciliter les opérations, d'autres mesures de protection doivent être mises en place pour les données concernées afin de garantir que les pirates informatiques ne puissent pas y accéder en l'absence de la protection par défaut. Si une fonction de protection nécessaire a été désactivée, ce n'est qu'une question de temps avant qu'un attaquant ne trouve la porte ouverte et n'en profite.

Pour en savoir plus, veuillez vous renseigner davantage :

Veuillez consulter le Secure Code Warrior pour en savoir plus sur cette vulnérabilité et sur la manière de protéger votre organisation et vos clients contre les conséquences d'autres failles et vulnérabilités de sécurité.

Êtes-vous prêt à identifier et à corriger cette vulnérabilité maintenant que vous avez lu cet article ? Il est temps de passer à l'action.Essayez un défi de sécurité ludique pour iMac sur la plateforme Secure Code Warrior perfectionner et Secure Code Warrior mettre à jour toutes vos compétences en matière de cybersécurité.

Il s'agit d'une série hebdomadaire qui traite de nos huit principales vulnérabilités en matière d'infrastructure en tant que code. Nous vous invitons à revenir la semaine prochaine pour en savoir plus.