Virtualisation et cloud_CLOUD_chapter4.pdf

Cloud et
virtualisation
Pr. Najat TISSIR
n.tissir@usms.ma
tissir.najat@gmail.com

08 Sécurité dans le cloud et
la virtualisation
Pr. Najat TISSIR ENSA KHOURIBGA -- USMS

Les défis et risques d’un
environnement Cloud /
virtualisé

● Selon Flexera, les principaux défis du cloud de 2019 à aujourd’hui révèle que la sécurité a
toujours été classée parmi les préoccupations majeures des répondants. Elle est passée
de la quatrième position en 2019 à la première en 2022, et reste actuellement l’un des
principaux défis, occupant la deuxième place.
Les défis d’un environnement Cloud / virtualisé

● Le problème de sécurité le plus important est la confidentialité des données de
l’utilisateur et de la protection des renseignements personnels.
● Les utilisateurs veulent savoir où sont stockées les informations, et qui est dans le contrôle
de ces renseignements en plus de propriétaires.
● Ils veulent aussi être garantis que les informations critiques ne sont pas consultées
et utilisées illégalement, même par les fournisseurs de Cloud.
● A quoi consiste la sécurité des les environnements cloud ?
Les défis d’un environnement Cloud / virtualisé

Définition:
● La sécurité informatique est la protection des éléments valorisés, appelés les actifs
informatiques ou les actifs d'un système d'information.
● Il y a plusieurs types d'actifs: Matériel, logiciel, données, personnes, processus...
● Ces actifs sont protégés contre toutes sortes de menaces qui peuvent les amener à subir
une interception, une interruption ou une modification. Ces trois représentent ce qu'on
appelle les trois actions qui provoquent un dommage dans la sécurité.
● Chacune de ses actions a un effet spécial, de telle sorte que:
- Si une personne intercepte les données d'un système d'information alors la
confidentialité de ces données devient vulnérable.
- Si on arrive à interrompre le flux des données ou d'accès à un ordinateur, donc la
disponibilité devient fragile.
- Si un individu modifie les données ou crée de fausses données, alors l'intégrité
peut être touchée.
=> On ajoute deux autres propriétés qui sont l'authentification et la non-répudiation
La sécurité informatique

Définition:

Objectifs:
1. La confidentialité (Confidentiality) : seulement les personnes ou les systèmes autorisés
peuvent accéder aux données protégées.
2. La disponibilité (Availability) : assurer que les données et les services (l'information et le
traitement de l'information) peuvent être utilisés par toutes parties autorisées.
○ L'objectif de disponibilité pour les systèmes de Cloud est de s'assurer que ses
utilisateurs puissent les utiliser à tout moment, à n’importe quel endroit.
3. L'intégrité (Integrity) : seulement les personnes ou les systèmes autorisés peuvent modifier
les données protégées.
4. L'authentification (Authentication) : la capacité de déterminer l'identité d'un utilisateur du
système.
5. La non-répudiation ou la responsabilité (Non-repudiation or Accountability) : garantir que
l'expéditeur ne peut pas nier d'avoir envoyé quelque chose.

Terminologie:
● VULNERABILITE (Faille):Faiblesse (Faute accidentelle ) dans le système d'information, des
procédures de sécurité du système, des contrôles internes ou de la mise en œuvre qui
pourrait être exploitée ou déclenchée par une source de menace.
● ATTAQUE ou CYBER-ATTAQUE: Toute action ou activité malveillante qui tente d’exploiter
une faiblesse, une vulnérabilité dans le système afin de collecter, perturber, modifier,
refuser, dégrader ou détruire les ressources du SI et de violer un ou plusieurs de ses
besoins de sécurité (confidentialité, intégrité, disponibilité, etc).
○ Une cyber-attaque peut exploiter une ou bien plusieurs vulnérabilités :
 Vulnérabilités des protocoles réseau (e.g :TCP/IP);
 Vulnérabilités des systèmes d’exploitation;
 Vulnérabilités des mécanismes d’authentification ;
 Bugs connus de certains logiciels ;
 Vulnérabilités ‘humaines’: Social Engineering

Terminologie:
● MENACE (Threat):
○ Violation potentielle d’une propriété de sécurité .
○ Toute circonstance ou événement susceptible d'avoir un impact négatif sur les
opérations (missions, fonctions, réputation), les atouts, les individus d’une ou
plusieurs organisations (ou même une nation) via un accès non autorisé, une
destruction, divulgation, modification d'information, et/ou rejet de service.
● RISQUE: se définit comme la vraisemblance qu’une menace exploite une vulnérabilité
afin d’impacter un actif. (ISO 27005)
○ Risques humains: Qui ont pour origine les utilisateurs internes qui mettent le réseau en
danger, souvent par ignorance ou inconscience.
○ Risques techniques: Incidents environnementales, Incidents matériels, Incidents logiciels
○ Risques juridiques: Non-respect des législations relatives à : la vie privée ; Le droit de la
preuve (numérique dans ce cas) ; La signature (Numérique aussi); La protection du
patrimoine.

Terminologie:
● INTRUSION: Le fait, pour une personne ou un objet, de pénétrer dans un espace
(physique, logique,...) défini où sa présence n’est pas souhaitée.
● CONTRE-MESURE (Mécanisme/Mesure de Sécurité ou Contrôle ou Défense): Dispositif ou
technique ayant pour objectif de réduire l'efficacité opérationnelle de l'activité indésirable
ou adverse, ou de prévenir l'espionnage, le vol, l'accès non autorisé ou l'utilisation
d'informations ou de systèmes d'information sensibles.
○ Les contre-mesures peuvent être: préventives, de détection, réactives...

Classification:
● Les informations ou les systèmes d’informations peuvent subir des dommages de
plusieurs façons : certains intentionnels (malveillants), et d’autres par accident.
○ Ces événements seront appelés des « attaques ».
● Les attaques se classifient par type ou par acte:
○ Attaques externes / internes : Exécutées par des entités externes / internes au
système victime
○ Attaques passives / actives:
■ Passives: Ecoute du système pour l’analyser.
■ Actives: Injection, suppression ou modification de données.
Les types d’attaques usuels

Catégories:
● Il existe quatre catégories principales d’attaque :
1) Attaque d’accès : Une attaque d’accès est une tentative d’accès à l’information par
une personne non autorisée. Ce type d’attaque concerne la confidentialité de
l’information,
○ par exemple : Sniffing, porte dérobée, ingénierie sociale et craquage de mot de
passe….
2) Attaque de modification : Une attaque de type « modification » consiste, pour un
attaquant, à tenter de modifier des informations. Ce type d’attaque est dirigé contre
l’intégrité de l’information,
○ par exemple : virus, vers et chevaux de Troie,

Catégories:
3) Attaque de saturation : Les attaques par saturation sont des attaques informatiques
qui consistent à envoyer des milliers de messages depuis des dizaines d'ordinateurs,
dans le but de submerger les serveurs d'une société, de paralyser pendant plusieurs
heures son site Web et d'en bloquer ainsi l'accès aux internautes. Cette technique de piratage
assez simple à réaliser est jugée comme de la pure malveillance. Elle ne fait que bloquer
l'accès aux sites, sans en altérer le contenu.
○ Il existe différente attaque par saturation : Flooding, le TCP-SYN
Flooding, …
4) Attaque de répudiation : La répudiation est une attaque contre la responsabilité.
Autrement dit, la répudiation consiste à tenter de donner de fausses informations
ou de nier qu’un événement ou une transaction se soient réellement passé.
○ Par exemple l’IP Spoofing…

Attaques dans le cloud:
Il y a plusieurs types d’attaques dangereuses affectant la disponibilité, la
confidentialité et l'intégrité des ressources et des services Cloud:
1. Sniffing:
● L’écoute du réseau ou le Sniffing est une technique qui consiste à analyser le trafic
réseau.
● Ce type d’attaque est utilisé par les pirates informatiques pour obtenir des mots de passe.
Grâce à un logiciel appelé renifleur de paquets (Sniffer), qui permettre d’intercepter
tous les paquets qui circulent sur un réseau même ceux qui ne sont pas destinés (aux
pirates).
 il faut utiliser le cryptage des données comme contre mesure du Sniffing.

2. Balayage de ports:
● Le Balayage de ports (Ports Scanning) fournit la liste des ports ouverts, des ports
fermés et les ports filtrés.
● Grâce au balayage de ports, les attaquants peuvent trouver des ports ouverts et
attaquent les services qui s'exécutent sur ces ports.
● Les détails liés au réseau tels que l’adresse IP, l'adresse MAC, le routeur, la passerelle
de filtrage, les règles de pare-feu, etc peuvent être connus par cette attaque.
● Il existe diverses techniques de balayage de ports qui sont le balayage TCP, UDP, SYN,
ACK, etc
La Contre-mesure pour cette attaque est l’utilisation d’un pare-feu pour sécuriser
les données.

3. Flooding (Attaque d'inondation):
● Dans cette attaque, l'attaquant tente d'inonder la victime en envoyant un grand
nombre de paquets de l'hôte innocent (zombie) dans le réseau.
● Les paquets peuvent être de type TCP, UDP, ICMP ou un mélange d'entre eux. Ce type
d'attaque peut être possible en raison de connexions réseau illégitimes.

3. Flooding (Attaque d'inondation):
● Le Cloud est plus vulnérable aux attaques DoS; lorsque le système d'exploitation de
Cloud Computing remarque une charge de travail forte sur le service inondé, il va
commencer à fournir plus de puissance de calcul pour faire face à la charge de travail
supplémentaire.
● En ce sens, le système de Cloud tente de travailler contre l’attaquant, mais en fait, dans
une certaine mesure, l'attaquant lui permet de faire plus de dégâts possibles sur la
disponibilité d’un service, à partir d’un seul point d’entrée.
 Pare-feu réseau ou cloud, IDS/IPS, Load Balancer peuvent être utilisés comme des
Contre-mesures

4. Attaques par les canaux des portes dérobées:
● Lorsqu’un un pirate arrive à accéder à un serveur à l’aide d’une des techniques
présentées dans cette partie, il souhaiterait y retourner sans avoir à tout recommencer. Pour
cela, il laisse donc des portes dérobées (backdoor) qui lui permettra de reprendre
facilement le contrôle du système.
● Il existe différents types de portes dérobées :
○ Création d’un nouveau compte administrateur avec un mot de passe choisi par le
pirate ; Création de compte ftp ; Modification des règles du pare-feu pour qu’il
accepte des connections externes.
● Dans l'environnement de Cloud Computing, l’attaquant peut accéder et
contrôler les ressources de l'utilisateur de nuage à travers les canaux des portes dérobées
et rendre le VM un Zombie pour initier une attaque DoS /DDoS.
Pare-feu, IDS (Intrusion Detection Systems) peuvent être utilisées comme
contre-mesures.

5. L’homme du milieu (Man-in-the-Middle)
● Lorsqu’un pirate, prenant le contrôle d’un équipement du réseau, se place au milieu
d’une communication il peut écouter ou modifier celle-ci.
● Dans le Cloud Computing, la mauvaise configuration du protocole SSL (Secure Socket
Layer) va créer un problème de sécurité connu sous le nom "Man in the Middle attaque ".
● Ça peut créer des catastrophes dans un environnement comme le Cloud Computing.
● Les protocoles sensibles qui peuvent mener à cette attaque: DHCP, ARP, ICMP, RIP,
DNS…

6. Les attaques sur la machine virtuelle (VM) ou hyperviseur
● un attaquant peut obtenir contrôle sur l'ensemble des systèmes d’exploitation invités
en compromettant le système d'exploitation hôte.
● En compromettant la couche inférieure hyperviseur, l'attaquant peut prendre le
contrôle de machines virtuelles installées.
● Les exploits de Zero-day sont utilisés par des attaquants avant que le développeur
du logiciel cible connaît la vulnérabilité. Une vulnérabilité zero-day a été exploitée
dans l'application de virtualisation Hyper VM qui a abouti à la destruction de nombreux
sites web basé sur le serveur virtuel.

6. Les attaques par injection de logiciel malveillant (Malware Injection Attack) :
● Cette attaque nécessite que l’adversaire crée son propre module d’implémentation du
service malveillant (SaaS ou PaaS) ou instance de machine virtuelle (IaaS), et l'ajouter au
système de Cloud. Ensuite, l'adversaire doit tromper le système Cloud de sorte qu'il
traite la nouvelle instance d’implémentation du service comme l'une des instances valides
pour le service particulier attaqué par l'adversaire.
 Pare-feu applicatif Web (WAF), Journalisation & alerte peuvent être utilisées pour contrer ce
type d’attaques.

Les solutions de
sécurité du cloud et de
la virtualisation

● Dans un hébergement dématérialisé et externalisé, la sécurité doit être assurée à trois
niveaux ; au niveau physique, logique et au niveau de la donnée:
1. Sécurité physique:
● La sécurité physique doit être mise en œuvre par le prestataire et validée avec le
client. Chaque client a des exigences différentes en termes de sécurité des locaux,
de redondance matérielle et de sécurité environnementale.
● Les bonnes pratiques en matière de sécurisation physique sont les suivantes :
- Choisir correctement l’emplacement de la salle informatique ou du datacenter
- Sécuriser les approvisionnements en électricité
- Mettre en place des systèmes de sécurité incendie
- regrouper le matériel le plus sensible dans les zones les mieux protégées
- externaliser la sauvegarde
- contrôler les accès par des systèmes à carte ou biométrique.
- …
Les solutions de sécurité du cloud et de la
virtualisation

● Dans un hébergement dématérialisé et externalisé, la sécurité doit être assurée à trois
niveaux ; au niveau physique, logique et au niveau de la donnée:
2. Sécurité logique:
● Généralement, les bonnes pratiques liées à la sécurité logique sont dissociées en
deux sous catégories:
● En premier lieu, il faut sécuriser les systèmes en assurant la mise à jour des
machines virtuelles et des hyperviseurs par la sécurisation des accès en mettant
en place du chiffrement, des contrôles d’accès, des politiques d’audit…
● La deuxième catégorie de bonnes pratiques concerne la notion d’isolation de la
machine virtuelle pour qu’elle ne soit pas accessible par une personne non habilitée
ou non souhaitée. Pour cela, il faut isoler les flux réseau, déléguer l’administration
avec des droits spécifiques, affecter des quotas de ressources (espace disque,
utilisation réseau, puissance de calcul) …
virtualisation

3. Sécurité de la donnée:
● Dans un hébergement dans le nuage, le client est responsable de ses données en ce qui
concerne la conformité aux obligations juridiques, cependant le prestataire est
responsable de l’aspect technique en assurant l’intégralité et la confidentialité des
données.
○ Il doit empêcher les accès frauduleux et en prévenir les pertes ou altérations de ces
données.
● Les métriques principales permettant de mesurer l’efficacité d’un processus de
protection des données sont le RTO et RPO.
● Le RTO, « Recovery Time Objective » mesure le temps de rétablissement toléré du
service lors d’une panne.
● Le RPO « Recovery Point Objective » mesure la quantité de données que l’on
permet au fournisseur de perdre suite à une panne ou à un rétablissement de
service.
virtualisation

4. Les solutions de sécurité procéduraux:
● Politiques de sécurité (charte informatique, politique d’accès…)
● Normes & standards :
○ ISO 27001 (management de la sécurité)
○ ISO 27017 (bonnes pratiques pour le cloud)
○ ISO 27018 (protection des données personnelles)
○ NIST Cybersecurity Framework
● Une norme ??
○ des accords documentés décrivant des spécifications de produits ou services.
○ Exemple: Format d’une carte bancaire (longueur, épaisseur,position de puce, …)
virtualisation

5. Les solutions de sécurité techniques:
● Chiffrement :
○ Données en transit : TLS/SSL
○ Données au repos : AES, LUKS, BitLocker
● Pare-feu cloud / groupes de sécurité
● VPN & segmentation réseau
● Contrôle d’accès : IAM (Identity & Access Management), RBAC
● Surveillance et journalisation :SIEM (Wazuh, Splunk)
● Audit et alertes
virtualisation

QUIZ
1. Quelle technologie permet de garantir que les données envoyées sur Internet ne soient pas
interceptées en clair ?
A. HTTP
B. VPN
C. TLS/SSL
2. Quelle est la finalité d'une attaque par déni de service (DoS) ?
A. Intercepter les communications entre deux parties
B. Rendre un service ou un système indisponible
C. Effacer les fichiers d’un serveur
3. Lors d’une attaque Man-in-the-Middle (MitM), que fait l’attaquant?
A. Il efface les journaux système
B. Il intercepte, modifie ou vole les données échangées entre deux parties
C. Il lance un scan réseau pour trouver des ports ouverts
4. Lequel des éléments suivants est affecté en priorité lors d'une attaque DoS?
A. La confidentialité
B. L’intégrité
C. La disponibilité

Virtualisation et cloud_CLOUD_chapter4.pdf

Contenu connexe

Similaire à Virtualisation et cloud_CLOUD_chapter4.pdf

Dernier

Virtualisation et cloud_CLOUD_chapter4.pdf