Dans le cloud, l'attaquant entre souvent par une configuration ouverte, une identité volée ou une sauvegarde accessible, sans exploiter aucune faille du fournisseur. Cette leçon facultative du module d'exploitation décrit ces menaces telles que l'ANSSI les relève dans son rapport de février 2025, présente les familles d'outils de détection (CSPM, scanner d'IaC, SIEM, EDR, CNAPP, chaque sigle étant défini plus bas) et dit dans quel ordre agir quand on hérite d'un environnement. Elle s'adresse à qui exploite ou audite une infrastructure cloud et veut savoir ce qu'il faut détecter, avant de choisir un produit.
Ce que vous allez apprendre
Section intitulée « Ce que vous allez apprendre »- Reconnaître les menaces que le cloud modifie, avec la première parade de chacune.
- Distinguer les familles d'outils de détection et ce que chacune voit.
- Relier les recommandations d'une synthèse ANSSI aux leçons qui les enseignent.
- Fixer un ordre de traitement quand on part de zéro.
Prérequis
Section intitulée « Prérequis »Il faut connaître le partage des responsabilités entre fournisseur et client : le fournisseur sécurise l'infrastructure, vous sécurisez ce que vous y mettez et la manière dont vous la configurez. Cette leçon ne le redit pas. Elle ne redit pas non plus le principe du Zero Trust, ni l'exploitation courante des journaux, traitée par la leçon sur les journaux, alertes et incidents.
Où s'arrête cette leçon, où commencent les autres ?
Section intitulée « Où s'arrête cette leçon, où commencent les autres ? »Cette leçon est une carte des menaces et des outils du cloud ; chaque geste est enseigné ailleurs. La formation Menaces et principes de défense enseigne les attaques en général (kill chain, MITRE ATT&CK, phishing, rançongiciel) et reste la référence si le vocabulaire d'attaque vous manque. Les leçons de la section sécurité de Cloud enseignent les défenses : identités et accès, moindre privilège, identifiants courts, secrets et clés. Ici, on ne retient de chaque attaque que ce que le cloud y change, et on renvoie à la leçon qui apprend à s'en défendre.
Que dit l'ANSSI de la menace sur le cloud ?
Section intitulée « Que dit l'ANSSI de la menace sur le cloud ? »Le rapport « Cloud computing – État de la menace informatique » du CERT-FR (ANSSI), publié en février 2025, décrit des attaquants qui maîtrisent désormais ces environnements. Il est disponible sur le site du CERT-FR (référence CERTFR-2025-CTI-001). Les trois chiffres du tableau suivant ne sont pas des mesures de l'ANSSI : le rapport les reprend d'études d'éditeurs, citées dans la colonne de droite, et elles se lisent comme des ordres de grandeur datés.
| Tendance | Ordre de grandeur (source citée par le rapport) |
|---|---|
| Erreurs de configuration | 31 % des compromissions cloud entre 2023 et 2024 (Thales, qui y range les erreurs humaines et de configuration) |
| Identités compromises | 51,1 % des accès initiaux en 2023 (Google Cloud : interfaces sans mot de passe ou à mot de passe faible) |
| Cloud comme arme | 58 % des codes malveillants observés lors de compromissions téléchargés depuis une application cloud légitime, en mars 2023 (Netskope) |
Deux enseignements pratiques. Une part importante des entrées ne passe par aucune vulnérabilité logicielle : elle passe par un réglage ou un identifiant. Et ces portes d'entrée se combinent dans un même incident, ce que détaille la section suivante.
Quelles menaces le cloud modifie-t-il, et quelle première parade ?
Section intitulée « Quelles menaces le cloud modifie-t-il, et quelle première parade ? »Cinq menaces reviennent, et elles s'enchaînent : une erreur de configuration donne l'entrée, une identité compromise l'élargit, puis un rançongiciel ou un déplacement latéral en tire parti. Le tableau donne, pour chacune, ce que le cloud change et la première parade ; la dernière colonne renvoie à la leçon qui l'enseigne.
| Menace | Ce que le cloud change | Première parade | Leçon |
|---|---|---|---|
| Erreur de configuration | un bucket public ou une règle réseau ouverte s'obtient en une commande | auditer la posture en continu, appliquer le moindre privilège | Moindre privilège |
| Identité compromise | une clé d'API ou un jeton vaut accès à toute l'infrastructure, depuis Internet | authentification multifacteur, identifiants courts, comptes inutilisés supprimés | IAM |
| Rançongiciel ciblé | l'attaquant vise les sauvegardes, les captures de disques et les API de gestion | sauvegardes isolées du compte, testées | Sauvegarde hors compte |
| Latéralisation hybride | un poste local ou un compte de CI donne accès au cloud, et inversement | comptes distincts par environnement, comptes les plus privilégiés propres au cloud, hors annuaire local | Comptes et hiérarchie, vu dans le module « Gouverner et optimiser » |
| Cloud comme infrastructure d'attaque | un service cloud légitime héberge le malware ou le serveur de commande | filtrer le trafic sortant, pas seulement entrant | Sécurité réseau |
Cloisonner n'oblige pas à renoncer à la fédération : les utilisateurs courants continuent de se connecter par l'annuaire d'entreprise, comme l'explique la leçon comptes et hiérarchie. Ce qu'on sépare, ce sont les comptes les plus privilégiés. Le rapport CERTFR-2025-CTI-001 de l'ANSSI en tire deux recommandations :
- R11 : les comptes capables d'administrer tout l'environnement cloud ne doivent pas être hybrides, c'est-à-dire synchronisés depuis l'annuaire local. Ils sont propres à l'annuaire du fournisseur et s'utilisent depuis des postes d'administration dédiés.
- R10 : éviter, dans la mesure du possible, les méthodes d'hybridation qui synchronisent chez le fournisseur des dérivés de secrets d'identité (par exemple des empreintes de mots de passe), et protéger les équipements d'hybridation comme des équipements d'administration très privilégiés.
Les incidents publics illustrent cet enchaînement : l'éditeur d'identité Okta a été compromis en janvier 2022, par le groupe Lapsus$ via le poste d'un ingénieur de son sous-traitant d'assistance (Sitel), puis entre septembre et octobre 2023 : des identifiants de service stockés sur le compte Google personnel d'un employé ont donné accès à son système d'assistance client, d'où des fichiers HAR contenant des jetons de session ont été dérobés (134 clients touchés). Toujours en 2023, le groupe Scattered Spider aurait chiffré les 100 hyperviseurs ESXi (les logiciels qui font tourner les machines virtuelles) de MGM Casinos, en partant d'un accès à son portail client ; le rapport du CERT-FR CERTFR-2025-CTI-001 le décrit au conditionnel, et rattache ce groupe à l'ingénierie sociale par téléphone. Pour les cas de fuite par configuration, le guide fuites et erreurs de configuration de la formation Menaces donne le détail.
Quelles familles d'outils détectent quoi ?
Section intitulée « Quelles familles d'outils détectent quoi ? »Chaque famille d'outils répond à une question différente ; en choisir une sans savoir laquelle on pose conduit à acheter un doublon ou à laisser un angle mort. Le tableau classe les familles par la question qu'elles posent et donne des exemples, sans prétendre à l'exhaustivité : le choix d'un produit se fait après la question.
| Famille | Question posée | Exemples |
|---|---|---|
| Scanner d'IaC | le code d'infrastructure est-il sûr avant le déploiement ? | Checkov, Trivy |
| CSPM (Cloud Security Posture Management) | l'environnement déployé respecte-t-il les bonnes pratiques ? | Prowler, ScoutSuite, Pépin (leçon facultative du module « Gouverner et optimiser ») |
| CIEM (Cloud Infrastructure Entitlement Management, gestion des droits d'accès) | qui peut réellement faire quoi, et qui a trop de droits ? | analyseurs d'accès des fournisseurs |
| CWPP (Cloud Workload Protection Platform, protection des charges de travail) | les charges (machines, conteneurs) sont-elles protégées à l'exécution ? | Kubescape, Falco |
| SIEM (Security Information and Event Management, corrélation de journaux) | quels événements, une fois corrélés, signalent une attaque ? | Wazuh, ELK, Splunk |
| EDR (Endpoint Detection and Response, détection sur les machines) | que font les processus sur les serveurs et les postes ? | Osquery, Velociraptor |
| IDS/IPS (système de détection ou de prévention d'intrusion réseau) | quel trafic réseau est suspect ? | Snort, Suricata, CrowdSec |
| CNAPP (Cloud-Native Application Protection Platform, plateforme unifiée) | peut-on voir posture, charges et identités dans une seule plateforme ? | plateformes commerciales qui regroupent CSPM, CWPP et CIEM |
Un CSPM interroge les API de votre compte déployé ; un scanner d'IaC lit le code avant qu'il ne produise quoi que ce soit, donc il complète le CSPM sans le remplacer. Un SIEM collecte et corrèle des journaux, un EDR observe l'intérieur des machines. Un CNAPP réunit plusieurs de ces familles dans une plateforme : il se justifie dans une grande organisation multicloud, pas pour un premier pas. Pour lire correctement le résultat d'un CSPM, notamment la différence entre « conforme » et « impossible à conclure », la leçon sur lire un résultat Pépin, facultative et vue dans le module « Gouverner et optimiser », est faite pour cela.
Que retenir des recommandations de l'ANSSI ?
Section intitulée « Que retenir des recommandations de l'ANSSI ? »La synthèse suivante regroupe en six chantiers les recommandations que l'ANSSI adresse aux clients de services cloud ; elle est inspirée du rapport, pas une reprise mot à mot. Pour le texte exact et la numérotation des recommandations, reportez-vous au rapport lui-même. Chaque chantier renvoie à la leçon qui l'enseigne dans la formation.
| Chantier | Ce qu'il demande | Où il s'enseigne |
|---|---|---|
| Protéger les identités | authentification multifacteur, droits minimaux, comptes inutilisés supprimés | IAM, identifiants temporaires |
| Chiffrer les données sensibles | chiffrement au repos et en transit, clés gérées par un service dédié, jamais dans le code | Chiffrement, secrets et clés |
| Cloisonner les environnements | comptes distincts, flux limités, comptes d'administration de production séparés de ceux des autres environnements | Comptes et hiérarchie, vu dans le module « Gouverner et optimiser » |
| Superviser en continu | journaux d'audit activés, centralisés, conservés assez longtemps, alertes sur les événements critiques | Journaux, alertes et incidents |
| Préparer la continuité | sauvegardes isolées et testées, plan de reprise, procédures d'incident | Résilience |
| Choisir des offres qualifiées | offre qualifiée pour les données sensibles, risques liés aux lois extraterritoriales évalués | Référentiels et offres, vu dans le module « Souveraineté et réversibilité » |
La durée de conservation des journaux dépend de votre contexte : le rapport recommande une rétention de plusieurs mois, et un an est un choix courant, à ajuster. Quant au Zero Trust (vérifier explicitement, moindre privilège, supposer la brèche), c'est le cadre qui relie ces chantiers : voyez la leçon Zero Trust.
Par où commencer quand on part de zéro ?
Section intitulée « Par où commencer quand on part de zéro ? »Commencez par ce qui réduit le plus de risque pour le moins d'effort : l'authentification multifacteur, puis les permissions, puis ce qui permet de reconstruire. L'ordre suivant est un point de départ raisonnable, à adapter à votre exposition.
- Authentification multifacteur partout, d'abord sur les comptes à privilèges et l'utilisateur racine : l'impact est immédiat, l'effort faible.
- Audit des permissions avec un CSPM : il trouve les droits trop larges et les ressources exposées.
- Chiffrement des données sensibles, au repos et en transit.
- Journaux d'audit activés et centralisés, pour pouvoir reconstituer un incident.
- Sauvegardes isolées du compte, avec un test de restauration.
Pour vérifier votre propre situation, répondez à huit questions. Chaque « non » renvoie à un chantier du tableau précédent, donc à une leçon à rejouer ; l'outil de posture renvoie à la section sur les familles d'outils, le plan de réponse à incident au chantier de continuité.
- L'authentification multifacteur couvre-t-elle tous les comptes ?
- Les permissions suivent-elles le moindre privilège ?
- Les données sensibles sont-elles chiffrées ?
- Les journaux d'audit sont-ils actifs et centralisés ?
- Les sauvegardes sont-elles isolées et testées ?
- Un outil de posture est-il déployé ?
- Les environnements sont-ils cloisonnés ?
- Un plan de réponse à incident existe-t-il ?
À retenir
Section intitulée « À retenir »- Les entrées passent souvent par des réglages et des identifiants, sans faille du fournisseur : le rapport de l'ANSSI les décrit, avec des ordres de grandeur tirés d'études d'éditeurs.
- Les menaces s'enchaînent : erreur de configuration, puis identité compromise, puis rançongiciel ou latéralisation.
- Chaque famille d'outils répond à une question : scanner d'IaC avant déploiement, CSPM sur l'existant, SIEM sur les événements, EDR sur les machines, CNAPP en plateforme.
- Les recommandations de l'ANSSI forment six chantiers : identités, chiffrement, cloisonnement, supervision, continuité, offres qualifiées.
- Ordre de départ : authentification multifacteur, permissions, chiffrement, journaux, sauvegardes isolées.
Contrôle de connaissances
Section intitulée « Contrôle de connaissances »Vérifiez que l'essentiel de cette leçon est acquis. Les questions portent uniquement sur ce qui vient d'être expliqué ici.
Contrôle de connaissances
Validez vos connaissances avec ce quiz interactif
Informations
- Le chronomètre démarre au clic sur Démarrer
- Questions à choix multiples, vrai/faux et réponses courtes
- Vous pouvez naviguer entre les questions
- Les résultats détaillés sont affichés à la fin
Lance le quiz et démarre le chronomètre
Vérification
(0/0)Score par domaine
Un domaine regroupe plusieurs guides et reçoit plusieurs questions : son score est plus fiable qu'un score par thème, qui porte souvent sur une seule question.
Bilan
Points forts
Aucun sujet réussi à 80 % sur au moins deux questions pour l’instant.
Points faibles
Aucun sujet sous le seuil de réussite.
À faire ensuite
Des indices pour retenter votre chance ?
Continuer le cours : Remplacer, détecter la dérive, renouveler les certificats, encaisser la panne du fournisseur
Nouveau quiz complet avec des questions aléatoires
Retravailler uniquement les questions ratées
Retour à la liste des certifications