Sécurité cloud et DevSecOps

• Responsabilité partagée et répartition des contrôles selon les services utilisés.
• Cartographie des actifs, des données, des identités et des dépendances de l’application.
• Organisation des environnements et séparation entre développement, test et production.
• Identités humaines et applicatives : fédération, accès temporaires et moindre privilège.
• Segmentation réseau, maîtrise des accès publics et protection des interfaces d’administration.
• Protection des données et gestion des clés et des secrets.
• Journalisation, surveillance et contrôle des configurations cloud.
• Risques liés aux permissions excessives, aux ressources exposées et aux identifiants compromis.

Revue d’architecture : Examiner l’environnement cloud de l’application de démonstration, identifier les risques prioritaires et définir les contrôles nécessaires avant son déploiement.

• Répartition des responsabilités entre développement, exploitation et sécurité tout au long de la livraison.
• Protection du dépôt de code : accès, branches, revues et validation des changements.
• Détection des secrets et gestion des identifiants utilisés par les pipelines.
• Analyse statique du code, analyse des dépendances et tests dynamiques : apports, limites et complémentarité.
• Contrôle des fichiers d’Infrastructure as Code et prévention des configurations dangereuses.
• Construction et analyse des images de conteneurs.
• Protection des runners et des agents de build, isolation des tâches et limitation des permissions.
• Traçabilité des artefacts : versions, composants, provenance et vérification avant déploiement.
• Critères de blocage, analyse des résultats et gestion des exceptions.
• Accès du pipeline au cloud et séparation des autorisations entre environnements.
• Traitement des vulnérabilités après livraison et retour des constats vers les équipes de développement.

Travaux pratiques : Compléter progressivement un pipeline fourni avec des contrôles de secrets, de dépendances, d’images et de configuration. Corriger plusieurs défauts, vérifier les résultats et définir les conditions autorisant le déploiement.

• Définition d’exigences de sécurité adaptées aux applications, aux données et aux risques.
• Traduction des exigences en configurations de référence et en contrôles automatisables.
• Gouvernance des identités, des ressources et des politiques de déploiement.
• Suivi des écarts de configuration et maîtrise des modifications réalisées hors pipeline.
• Organisation du traitement des vulnérabilités : responsabilités, délais et vérification des corrections.
• Réponse à une compromission de la chaîne de livraison : limitation des accès, rotation des secrets et vérification des artefacts.
• Continuité des déploiements, retour à une version de confiance et conservation des traces.
• Indicateurs utiles : couverture des contrôles, vulnérabilités en attente, exceptions et délais de correction.
• Plan d’amélioration progressif conciliant sécurité et fonctionnement des équipes.

Mise en situation : À partir d’une compromission fictive du pipeline ou d’un identifiant de déploiement, proposer les premières mesures de réponse et les contrôles à renforcer. Présenter un plan d’amélioration avec responsables et critères de vérification.