L’tude rvle que les vulnrabilits connues, les actifs de stockage non scuriss et le non-respect des meilleures pratiques conduisent un chemin d’attaque moyen du cloud de seulement trois tapes pour atteindre les joyaux d’une organisation.
Orca Security, spcialiste de l’innovation en matire de scurit du cloud, a publi le rapport 2022 State of the Public Cloud Security
Report, qui fournit des informations importantes sur l’tat actuel de la scurit du cloud public et indique o se trouvent les lacunes les plus critiques en matire de scurit.
L’une des principales conclusions du rapport est que le chemin d’attaque moyen n’est qu’ trois pas d’un joyau de la couronne, ce qui signifie qu’un attaquant n’a besoin que de trouver trois faiblesses connectes et exploitables dans un environnement de cloud pour exfiltrer des donnes ou demander une ranon une organisation.
Le rapport, compil par Orca Research Pod, comprend les principales conclusions de l’analyse des donnes de configuration et de charge de travail du cloud captures partir de milliards de ressources du cloud sur AWS, Azure et Google Cloud scannes par la plateforme de scurit du cloud d’Orca du 1er janvier au 1er juillet 2022.
Le rapport identifie les endroits o des lacunes de scurit critiques sont encore constates et fournit des recommandations sur les mesures que les organisations peuvent prendre pour rduire leur surface d’attaque et amliorer les postures de scurit du cloud.
« La scurit du cloud public ne dpend pas seulement des plateformes cloud qui fournissent une infrastructure cloud sre, mais aussi beaucoup de l’tat des charges de travail, des configurations et des identits d’une organisation dans le cloud« , a dclar Avi Shua, PDG et cofondateur d’Orca Security.
« Notre dernier rapport sur l’tat de la scurit du cloud public rvle qu’il y a encore beaucoup de travail faire dans ce domaine, qu’il s’agisse de vulnrabilits non corriges, d’identits trop permissives ou d’actifs de stockage laisss grand ouverts. Il est toutefois important de se rappeler que les organisations ne pourront jamais rsoudre tous les risques dans leur environnement. Elles ne disposent tout simplement pas de la main-d’uvre ncessaire pour le faire. Au lieu de cela, les organisations doivent travailler stratgiquement et s’assurer que les risques qui mettent en danger les actifs les plus critiques de l’organisation sont toujours corrigs en premier« .
Principales conclusions du rapport
- Les joyaux de la couronne sont dangereusement porte de main : Le chemin d’attaque moyen n’a besoin que de 3 tapes pour atteindre un actif de type « crown
jewel », ce qui signifie qu’un attaquant n’a besoin que de trouver trois faiblesses connectes et exploitables dans un environnement cloud pour exfiltrer des donnes ou demander une ranon une organisation. - Les vulnrabilits sont le principal vecteur d’attaque initial : 78 % des chemins d’attaque identifis utilisent des vulnrabilits connues (CVE) comme vecteur d’attaque d’accs initial, ce qui montre que les entreprises doivent accorder une priorit encore plus grande la correction des vulnrabilits.
- Les ressources de stockage sont souvent laisses non scurises : Les actifs de stockage S3 Buckets et Azure blob accessibles au public sont prsents dans la majorit des environnements cloud, ce qui constitue une mauvaise configuration trs exploitable et la cause de nombreuses violations de donnes.
- Les pratiques de scurit de base ne sont pas respectes : De nombreuses mesures de scurit de base, telles que l’authentification multifactorielle (MFA), le chiffrement, les mots de passe forts et la scurit des ports, ne sont toujours pas appliques de manire cohrente.
- Les services natifs du cloud sont ngligs : Mme si les services cloud-native sont faciles lancer, ils ncessitent toujours une maintenance et une configuration adquate : 58 % des organisations ont des fonctions serverless avec des runtimes non pris en charge, et 70 % des organisations ont un serveur API Kubernetes accessible au public.
propos d’Orca Security
Orca Security est une plateforme de scurit du cloud sans agent qui identifie,hirarchise et corrige les risques. Orca se connecte votre environnement en quelques minutes avec la technologie SideScanning en instance de brevet pour fournir une couverture complte des vulnrabilits, des logiciels malveillants, des mauvaises configurations, des risques de mouvement latral, des mots de passe faibles et divulgus, et des identits trop permissives.
Source : Orca Security
Et vous ?
Qu’en pensez-vous ?
Voir aussi :