Les mauvaises configurations et les vulnérabilités continuent d'affecter les environnements cloud.
Sysdig, spécialisé dans la sécurité unifiée du cloud et des containers, a publié les résultats de son rapport sur la sécurité et l'utilisation des applications natives du cloud.
Les données sont issues d'une analyse de plus de 7 millions de conteneurs que les clients de Sysdig exécutent quotidiennement. Sysdig a également utilisé des sources de données publiques comme GitHub, Docker Hub et la CNCF.
Les données proviennent de déploiements de conteneurs dans un large éventail de secteurs, avec des organisations dont la taille varie de moyenne à grande. Des données clients anonymes ont été analysées en Amérique du Nord et du Sud, en Australie, dans l'Union européenne, au Royaume-Uni et au Japon.
Son rapport révèle que le risque lié à la chaîne d'approvisionnement et à la préparation des architectures Zero Trust sont les principaux problèmes de sécurité non résolus dans les environnements de cloud et de conteneurs.
Un grand nombre de vulnérabilités
Le rapport pointe également du doigt la mauvaise gestion des entreprises qui enregistrent des dizaines de millions de dollars de dépenses inutiles en matière de cloud computing en raison de la surallocation des capacités.Ainsi, 87 % des images de conteneurs présentent des vulnérabilités élevées ou critiques. En raison de la nature de la conception moderne et du partage des images open source, les équipes de sécurité sont confrontées à un grand nombre de vulnérabilités dans les conteneurs.
La réalité est que les équipes ne peuvent malheureusement pas tout réparer, et qu'elles ont du mal à trouver les bons paramètres pour hiérarchiser les vulnérabilités et réduire leur charge de travail.
Le rapport a également constaté que seulement 15 % des vulnérabilités critiques et élevées avec un correctif disponible étaient patchées dans les packages chargés au moment de l'exécution.
En filtrant les package vulnérables qui sont réellement utilisés, les équipes organisationnelles peuvent concentrer leurs efforts sur une plus petite fraction des vulnérabilités corrigeables qui représentent un véritable risque. En réduisant le nombre de vulnérabilités de 85 % à 15 %, les équipes de cybersécurité obtiennent un chiffre plus facilement exploitable.
Les principes de l'architecture de Zero Trust soulignent que les organisations doivent éviter d'accorder des accès trop permissifs. Pourtant, les données du rapport montrent que 90 % des permissions ne sont pas utilisées.
Si les attaquants compromettent les informations d'identification provenant d'identités bénéficiant d'un accès privilégié ou de permissions excessives, ils disposent des clés du « royaume » dans un environnement cloud.
Maturité des organisations
59 % des conteneurs n'ont pas de limites de CPU définies, et 69 % des ressources de CPU demandées ne sont pas utilisées. En l'absence d'informations sur l'utilisation des environnements Kubernetes, les développeurs ne savent pas où leurs ressources cloud sont sur- ou sous-affectées.Les organisations de toutes tailles pourraient ainsi dépenser jusqu'à 40 % de trop. Pour les déploiements les plus importants l'optimisation d'un environnement pourrait permettre ainsi d'économiser en moyenne 10 millions de dollars sur les factures de consommation du cloud.
La collecte d'informations de dépannage après la disparition d'un conteneur est presque impossible, et la durée de vie d'un conteneur s'est raccourcie cette année de 28 %. En effet, 72 % des conteneurs vivent moins de cinq minutes.
Cette diminution témoigne de la maturité des organisations dans leur utilisation de l'orchestration des conteneurs, et renforce le besoin d'une sécurité capable de suivre le rythme de la nature éphémère du cloud.
Au final, ce rapport insiste sur la gestion des permissions pour les utilisateurs et les services qui est trop laxiste.
