PaaS (Platform-as-a-Service)

Le cloud computing permet aux équipes de créer de nouvelles applications en quelques jours au lieu de plusieurs mois. Cette rapidité a élargi la surface d’attaque et mis les responsables de la sécurité en alerte. Platform-as-a-Service (PaaS), ou la plateforme en tant que service en français, est au cœur de cette évolution, car elle fournit aux développeurs des modules prêts à l’emploi pour la création de logiciels.

Un rapport d’IBM a révélé que 45 % des violations concernent désormais des données dans le cloud, et que des environnements PaaS mal configurés ont déjà exposé 38 millions de dossiers clients en un seul incident.

Le PaaS est un modèle de service cloud qui fournit l’ensemble de la pile d’exécution via Internet. Le fournisseur fournit les ressources de calcul, de stockage, les middleware et les outils de développement, tandis que le client apporte le code. Les développeurs se concentrent sur les fonctionnalités, car la plateforme gère les correctifs, la mise à l’échelle et d’autres tâches opérationnelles.

Cette rapidité s’accompagne d’un compromis en matière de sécurité. Le PaaS masque les couches d’infrastructure sous-jacentes que les équipes de sécurité surveillent et contrôlent traditionnellement. La même commodité qui accélère le développement peut créer des angles morts où se cachent des menaces si les contrôles de sécurité ne sont pas correctement configurés.

La plupart des offres PaaS se situent entre l’infrastructure en tant que service (Infrastructure-as-a-Service) et le logiciel en tant que service (Software-as-a-Service) dans le continuum du cloud. Elles masquent les machines virtuelles sous-jacentes, mais ne vont pas jusqu’à intégrer l’application elle-même. Cette limite est cruciale pour la sécurité, car la visibilité sur le système d’exploitation et la couche réseau est perdue une fois que les charges de travail sont transférées vers la plateforme.

Avec le PaaS, « Un fournisseur de services cloud donne à ses clients accès à une infrastructure permettant d’exécuter des applications dans le cloud », explique Kyle Thorpe, ingénieur logiciel chez Proofpoint. « Les développeurs assurent la maintenance de l’application, tandis que le fournisseur de services cloud gère les serveurs, le stockage, le réseau, etc. », ajoute-t-il. (Exemples : AWS Elastic Beanstalk, Google App Engine, SAP Cloud Platform et Salesforce)

La responsabilité partagée ne disparaît pas dans le PaaS. Le fournisseur sécurise l’infrastructure et les middlewares. Les équipes de sécurité du client doivent toujours verrouiller les identités, les configurations et le code qui s’exécute sur la plateforme, et elles doivent vérifier quels contrôles le fournisseur applique réellement.

Les plateformes PaaS regroupent plusieurs fonctionnalités essentielles qui accélèrent le développement, mais chacune d’entre elles implique des considérations de sécurité distinctes que les équipes doivent prendre en compte.

• Hébergement et déploiement d’applications : Les fournisseurs de PaaS proposent des pipelines de déploiement automatisés qui peuvent inclure des analyses de sécurité et des contrôles de conformité. Cependant, ces configurations « sécurisées par défaut » nécessitent souvent une activation manuelle et une configuration appropriée pour être efficaces.
• Services middleware : La plateforme gère les serveurs d’applications, les files d’attente de messages et les environnements d’exécution sans exposer les calendriers de correctifs ou l’état des vulnérabilités. Cette opacité peut laisser les équipes de sécurité dans l’incertitude quant à la posture de sécurité réelle des composants middleware critiques.
• API et intégrations : Les plateformes PaaS fournissent des bibliothèques API étendues et des connecteurs de services tiers qui accélèrent le développement. Chaque point d’intégration crée des vecteurs d’attaque potentiels si les services externes contiennent des vulnérabilités ou sont compromis.
• Chaînes d’outils DevOps : Les pipelines CI/CD intégrés, les référentiels de code et les outils de surveillance rationalisent le workflow de développement. Une mauvaise gestion des identifiants ou des contrôles d’accès mal configurés dans ces outils peuvent exposer le code source et les secrets de déploiement.
• Services de base de données : Les offres de bases de données gérées gèrent automatiquement la maintenance et la mise à l’échelle. Les équipes de sécurité doivent néanmoins configurer des contrôles d’accès appropriés, activer le chiffrement au repos et en transit, et mettre en place une journalisation d’audit afin de respecter les exigences en matière de conformité réglementaire.

Comprendre où se situent les responsabilités en matière de sécurité dans les différents modèles de services cloud aide les équipes à allouer les ressources et à éviter les lacunes dangereuses en matière de couverture.

Infrastructure-as-a-Service (IaaS)

L’IaaS vous offre le plus de contrôle, mais aussi la plus grande responsabilité en matière de sécurité. Vous êtes propriétaire de tout, du système d’exploitation aux applications, en passant par les données et les configurations réseau. Le fournisseur sécurise l’infrastructure physique et la couche hyperviseur, mais vous devez corriger les serveurs, configurer les pare-feu et gérer l’ensemble de la pile logicielle. Ce modèle convient bien aux équipes qui souhaitent contrôler de manière granulaire leur posture de sécurité, mais il nécessite une expertise interne importante pour fonctionner correctement.

Platform-as-a-Service (PaaS)

La sécurité PaaS se situe exactement au milieu du spectre des responsabilités. Le fournisseur se charge des correctifs du système d’exploitation, de la gestion de l’infrastructure et de la sécurité de l’environnement d’exécution, tandis que vous vous concentrez sur la sécurisation de vos applications, de vos données et de l’accès des utilisateurs. Vous perdez la visibilité sur les systèmes sous-jacents, mais vous gagnez en rapidité et réduisez vos frais généraux opérationnels. La gestion des identités devient une responsabilité partagée, et vous devez toujours mettre en œuvre des pratiques de codage sécurisées et un cryptage approprié des données au sein de vos applications.

Software-as-a-Service (SaaS)

Le SaaS transfère la charge de sécurité la plus lourde au fournisseur, qui gère la sécurité de l’infrastructure, de la plateforme et des applications. Vos principales responsabilités concernent le contrôle des accès des utilisateurs, la gouvernance des données et la configuration correcte des paramètres de sécurité de l’application. Le fournisseur s’occupe de tout, de la sécurité physique aux protections au niveau des applications, mais vous devez toujours garantir une authentification forte et surveiller qui accède à quelles données. Bien que ce modèle offre un contrôle minimal, il peut être géré efficacement avec un minimum de personnel de sécurité interne.

Le PaaS offre des avantages convaincants qui expliquent son adoption rapide par les entreprises, mais chaque avantage nécessite une gouvernance de sécurité rigoureuse afin d’éviter la création de nouvelles vulnérabilités.

• Cycles de développement plus rapides : Le PaaS élimine les retards liés à la configuration de l’infrastructure et fournit des environnements de développement préconfigurés qui permettent aux équipes de commencer immédiatement à coder. Cependant, cette rapidité peut pousser les développeurs à négliger les contrôles de sécurité et à mettre en production du code vulnérable sans le tester correctement.
• Gestion simplifiée de l’infrastructure : La plateforme gère automatiquement l’approvisionnement des serveurs, l’équilibrage de charge et la maintenance du système, libérant ainsi les équipes des tâches opérationnelles. Cette commodité réduit la visibilité sur les configurations sous-jacentes et les contrôles de sécurité qui peuvent nécessiter une personnalisation pour répondre à des exigences de conformité spécifiques.
• Services intégrés et API : Les bases de données intégrées, les systèmes de messagerie et les connecteurs tiers éliminent le besoin de créer ces composants à partir de zéro. Ces intégrations peuvent devenir des failles de sécurité si les équipes supposent que le fournisseur gère tous les aspects liés à la sécurité sans surveiller les flux de données et les modèles d’accès.
• Auto-scaling et optimisation des ressources : Les plateformes PaaS ajustent automatiquement les ressources informatiques en fonction de la demande, ce qui évite le surprovisionnement et réduit les coûts. Un auto-scaling mal configuré peut amplifier les incidents de sécurité en déployant rapidement des conteneurs compromis ou en exposant des données sensibles lors des événements de scaling.
• Rentabilité : La tarification à l’utilisation et le partage des ressources d’infrastructure réduisent les dépenses d’investissement par rapport aux déploiements traditionnels sur site. Sans une gouvernance appropriée, ce modèle peut entraîner une prolifération des ressources, où des applications oubliées continuent de fonctionner avec des configurations de sécurité obsolètes.
• Fonctionnalités de conformité intégrées : De nombreux fournisseurs PaaS proposent des cadres de conformité et des capacités de journalisation d’audit qui prennent en charge les exigences réglementaires. Ces fonctionnalités n’ont de valeur que lorsqu’elles sont correctement configurées et surveillées, et les équipes ne peuvent pas présumer de la conformité par défaut sans une gestion active.

Les plateformes PaaS créent des vecteurs d’attaque uniques qui combinent les vulnérabilités de l’infrastructure et les risques au niveau des applications, offrant ainsi aux pirates plusieurs voies d’accès pour compromettre les environnements d’entreprise.

Services mal configurés

Les environnements PaaS sont particulièrement vulnérables aux erreurs de configuration qui exposent les applications et les données à des accès non autorisés. Une étude du rapport Cloud Adoption and Risk Report de McAfee révèle que les entreprises utilisant des plateformes PaaS comptent en moyenne 14 services mal configurés fonctionnant à tout moment, ce qui entraîne 2 269 incidents de mauvaise configuration par mois.

Un exemple notable s’est produit en juillet 2020, lorsqu’un important fournisseur PaaS a révélé que des attaquants avaient accédé à son compartiment Amazon S3 mal configuré et modifié le code de développement. Ces erreurs de configuration proviennent souvent de paramètres par défaut qui privilégient la facilité de déploiement au détriment de la sécurité, laissant les applications accessibles au public alors qu’elles devraient être réservées à un usage interne.

Connexions API non sécurisées

Les plateformes PaaS s’appuient fortement sur les API pour l’intégration des services, mais ces connexions manquent souvent de contrôles d’authentification et de chiffrement appropriés. Les API sont particulièrement vulnérables à des menaces telles que l’authentification faible, l’absence de chiffrement, la gestion inadéquate des sessions et la validation insuffisante des entrées.

Une autorisation au niveau des objets défaillante dans les API crée de larges surfaces d’attaque où les pirates peuvent accéder à des données non autorisées en manipulant les identifiants d’objets. Les cycles de déploiement rapides rendus possibles par le PaaS poussent souvent les équipes à négliger les contrôles de sécurité des API, laissant ces points d’intégration critiques comme des maillons faibles dans la chaîne de sécurité.

Élévation des privilèges dans les environnements cloud

Les environnements PaaS offrent aux pirates plusieurs moyens d’élever leurs privilèges une fois qu’ils ont obtenu un accès initial aux ressources cloud. Des chercheurs en sécurité ont identifié 21 méthodes différentes d’élévation des privilèges IAM rien que dans AWS, allant de l’élévation directe à des modèles d’héritage complexes.

Les pirates peuvent exploiter des autorisations telles que iam:AttachUserPolicy pour s’octroyer un accès administrateur ou manipuler les attributions de rôles afin d’hériter de privilèges non souhaités. Le réseau complexe de rôles, de politiques et de relations de confiance dans les environnements PaaS crée des opportunités d’héritage de privilèges non souhaités que les équipes de sécurité négligent souvent.

Déplacement latéral via les services connectés au PaaS

Une fois à l’intérieur d’un environnement PaaS, les pirates peuvent exploiter les services interconnectés de la plateforme pour se déplacer latéralement à travers l’infrastructure plus large. Plus de 70 % des violations réussies exploitent désormais des techniques de déplacement latéral, les attaquants utilisant des identifiants légitimes et des outils intégrés pour naviguer entre les systèmes interconnectés.

L’accent mis par les plateformes PaaS sur l’intégration des services signifie qu’une compromission d’un composant peut rapidement se propager aux bases de données, aux systèmes de messagerie et aux autres ressources connectées. Le modèle de responsabilité partagée peut créer des angles morts où les équipes de sécurité perdent la visibilité sur la manière dont les services communiquent et s’authentifient entre eux.

Risques internes : pratiques DevOps non sécurisées et secrets

Les pratiques DevOps, qui font partie intégrante des workflows PaaS, sont devenues une source importante de risques pour la sécurité en raison d’une mauvaise gestion des identifiants et de pratiques de développement non sécurisées. Des recherches récentes ont révélé que plus de 600 000 secrets étaient exposés dans des fichiers .env sur Internet, notamment des clés d’accès à des fournisseurs de services cloud pouvant mener à la prise de contrôle totale de comptes.

Une étude approfondie des plateformes DevOps a révélé 502 incidents de sécurité dans les environnements GitHub, GitLab, Atlassian et Azure DevOps, entraînant 955 heures de perturbations majeures. La commodité des variables d’environnement et des fichiers de configuration a conduit les développeurs à exposer par inadvertance des identifiants sensibles, créant ce que les chercheurs décrivent comme « des bombes à retardement profondément enracinées dans les pratiques DevOps ».

La sécurisation des déploiements PaaS nécessite une approche équilibrée qui combine des contrôles techniques et des pratiques de sécurité centrées sur l’humain afin de faire face aux risques spécifiques liés à ces plateformes.

• Appliquez le principe du moindre privilège et l’accès zéro confiance : Mettez en œuvre des politiques granulaires de gestion des identités et des accès qui n’accordent aux utilisateurs et aux applications que les autorisations minimales nécessaires à l’exécution de leurs fonctions. Les principes de Zero Trust doivent s’étendre aux communications de service à service au sein de l’environnement PaaS, en exigeant une authentification et une autorisation pour chaque connexion, quel que soit l’emplacement du réseau.
• Utilisez des pratiques de codage sécurisées et la sécurité des pipelines CI/CD : Intégrez des outils d’analyse de sécurité directement dans les pipelines de développement afin de détecter les vulnérabilités avant que le code n’atteigne les environnements de production. Les pratiques CI/CD sécurisées comprennent la signature des commits de code, l’analyse des images de conteneurs à la recherche de vulnérabilités connues et la mise en œuvre de workflows d’approbation qui exigent un examen de sécurité pour les modifications sensibles.
• Activez la journalisation, la surveillance et la détection native dans le cloud : Déployez une journalisation complète sur tous les services et applications PaaS afin de maintenir la visibilité sur les activités des utilisateurs, les modèles d’accès aux données et les comportements du système. Les outils de sécurité natifs dans le cloud peuvent détecter des activités anormales, telles que des appels API inhabituels ou des tentatives d’élévation de privilèges, que la surveillance traditionnelle basée sur le périmètre pourrait manquer.
• Auditez et limitez l’utilisation des API : Examinez régulièrement les modèles d’accès aux API et mettez en œuvre des contrôles stricts d’authentification, de limitation du débit et de validation des entrées afin de prévenir les abus. Les passerelles API doivent appliquer des politiques de sécurité cohérentes à toutes les intégrations de services tout en assurant une surveillance centralisée des flux de données entre les applications connectées.
• Utilisez des outils de gestion des conteneurs et des secrets : Déployez des solutions de gestion des secrets dédiées qui chiffrent et font tourner automatiquement les identifiants plutôt que de les stocker dans des variables d’environnement ou des fichiers de configuration. Les outils de sécurité des conteneurs doivent analyser les images à la recherche de vulnérabilités, appliquer des politiques d’exécution et surveiller les comportements suspects des conteneurs dans les environnements de production.
• Formez les développeurs à l’utilisation sécurisée des services cloud : Proposez régulièrement des formations sur les risques de sécurité spécifiques au cloud, les pratiques de configuration sécurisée et le modèle de responsabilité partagée pour les environnements PaaS. Les programmes de sensibilisation à la sécurité doivent inclure des exercices pratiques qui montrent comment des erreurs de configuration courantes peuvent entraîner des violations réelles et qui apprennent aux développeurs à reconnaître les problèmes de sécurité potentiels pendant le processus de développement.

Vous souhaitez approfondir le sujet ? Consultez nos meilleures pratiques pour éviter la compromission des données SaaS afin de découvrir des mesures éprouvées et testées sur le terrain pour sécuriser vos données SaaS.

Les organisations qui adoptent le PaaS tout en conservant des mesures de sécurité robustes bénéficieront d’un avantage concurrentiel grâce à des cycles d’innovation plus rapides et à une réduction des frais généraux opérationnels. Mais la promesse d’une « sécurité par défaut » reste largement insatisfaite dans la plupart des offres PaaS. La rapidité et la simplicité sont des priorités en matière de conception, mais la sécurité nécessite toujours une configuration intentionnelle, une surveillance continue et une gestion proactive des risques. Le modèle de responsabilité partagée signifie que si les fournisseurs s’occupent de la sécurité de l’infrastructure, les clients doivent quant à eux gérer l’identité, les pratiques de codage sécurisées et la configuration appropriée des services.

La sensibilisation des développeurs et la visibilité en matière de sécurité constituent le fondement de programmes de sécurité PaaS efficaces. Les équipes doivent avoir une vision claire de ce que la plateforme protège et de ce qui reste de leur responsabilité. Les programmes de sécurité axés sur la formation, les contrôles automatisés et la surveillance continue permettront d’exploiter avec succès les capacités du PaaS sans exposer l’organisation à des risques inutiles. Les organisations qui maîtrisent cet équilibre seront à la pointe de leur secteur en termes de rapidité d’innovation et de résilience en matière de sécurité.

Les solutions complètes de sécurité cloud de Proofpoint offrent la visibilité et le contrôle dont les équipes de sécurité ont besoin pour adopter les environnements PaaS sans risque et sans sacrifier la vitesse ou l’innovation.

Notre advanced threat detection et nos capacités de protection des données aident les organisations à appliquer des politiques de sécurité cohérentes sur l’ensemble des infrastructures cloud hybrides, tout en identifiant les risques avant qu’ils ne se transforment en violations. Grâce à une sécurité intégrée des emails, à des courtiers en sécurité d’accès au cloud et à des formations en sécurité centrées sur l’humain, Proofpoint permet aux équipes de sécurité de protéger leurs actifs les plus critiques, à savoir les personnes et les données, à mesure qu’elles se développent sur les plateformes cloud modernes. Contactez Proofpoint pour en savoir plus.