Le clip de la semaine : GitOps compliant: How CommBank multiplied Amazon EKS clusters – AWS re:Invent 2020

Commonwealth Bank of Australia (CommBank) built a platform to run containerized applications in a regulated environment and then replicated it across multiple departments using Amazon EKS, AWS CDK, and GitOps.
— À lire sur virtual.awsevents.com/media/1_83x4fn6u

C’est pas parce que vous êtes encore en gare qu’il est interdit de rêver aux trains à l’heure.

La Commonwealth Bank of Australia (CommBank) a créé une plate-forme pour exécuter des applications conteneurisées dans un environnement réglementé, puis l’a répliquée dans plusieurs départements à l’aide d’Amazon EKS, AWS CDK et GitOps.

Rien que de l'eau et du bonheur
En corse

AWS re:Invent 2020 IBM

AWS re:Invent 2020
— À lire sur virtual.awsevents.com/sponsor/186983243/IBM/

CAMBRIDGE, Mass., Dec. 10, 2020 /PRNewswire/ — IBM Security (NYSE: IBM) today announced new technology initiatives leveraging Amazon Web Services (AWS), designed to help clients simplify and extend their security visibility across AWS and hybrid cloud environments. The projects include integrations with AWS security services, quick start deployment for key IBM Security technologies, as well as expert consulting and managed security services support.

As businesses move further into hybrid cloud operations, security teams may struggle to protect increasingly diverse and complex IT environments. Security system complexity is also a challenge and was identified as the top factor increasing data breach costs amongst surveyed organizations in the 2020.

Adrozek – At least update all your browser

thehackernews.com/2020/12/watch-out-adrozek-malware-hijacking.html

Adrozek, » as it’s called by the Microsoft 365 Defender Research Team, employs an « expansive, dynamic attacker infrastructure » consisting of 159 unique domains, each of which hosts an average of 17,300 unique URLs, which in turn host more than 15,300 unique malware samples.

« Cybercriminals abusing affiliate programs is not new—browser modifiers are some of the oldest types of threats, » the Windows maker said. « However, the fact that this campaign utilizes a piece of malware that affects multiple browsers is an indication of how this threat type continues to be increasingly sophisticated. In addition, the malware maintains persistence and exfiltrates website credentials, exposing affected devices to additional risks. »

Architecture is the important stuff, whatever that happens to be

Martin Fowler : Since the begining of agile methods, there’s always been a deep debate on what role (if any) software architecture should play on agile projects. Much of this depends on what you consider architecture should be.

Depuis le début des méthodes agiles, il y a toujours eu un débat sur le rôle (si nécessaire) que l’architecture logicielle devrait jouer sur les projets agiles. La reponse dépendra en grande partie de ce que vous considérez comme une architecture.

Architecture et sécurité, ZTA pas vraiment compris et surtout grosse perte de temps sur le périmétrique au detriment des applications.

Pourquoi la confiance accordée à la sécurité périmétrique est-elle insuffisante ?

Avec l’adoption du cloud, le travail à distance, le BYOD et la Covid-19 il exite de moins en moins de scénarios dans lesquels la sécurisation via un périmètre de sécurité réseau (par exemple, un firewall ou une liaison VPN) suffit à établir qu’une demande d’accès provient d’une adresse IP « sûre. »

Cette technique, nommée ‘backhauling’ (réacheminement ou Québec réseau d’amenée), renforce le mythe selon lequel la sécurité basée sur la défense périmètrique est efficace. Or, les nombreuses manières utilisées pour s’introduire de facon malvaillante dans des réseaux d’entreprise sont connues, en particulier le déplacement transversal qui consiste à se déplacer depuis le périmétre compromis pour voler des données ou les corrompre.

Accorder une confiance à un utilisateur qui a pu, d’une manière ou d’une autre, obtenir un accès au réseau affaiblit la posture de sécurité d’une organisation, et cela de quatre manières :

–  Non prise en compte des vols d’identifiants
Le Data breaches Investigations Report 2020 de Verizon a révélé que les attaques par ingénierie sociale (phishing, compromission demessageries professionnelles, etc.) et les erreurs humaines sont à l’origine de la majorité des compromissions de données (67% ou plus), et que 27% impliquaient l’utilisation d’identifiants volés. Des identifiants valides suffisent souvent à accéder à un réseau d’entreprise.

– Non prise compte des terminaux compromis
L’Internet Security Threat Report 2019 de Symantec a révélé qu’« un appareil sur 36 utilisés dans les organisations était classé comme à haut risque. Ceci comprend des terminaux ‘rootés’ ou ‘jailbreakés’, ainsi que les appareils infectés par un malware. » Les utilisateurs légitimes de ces terminaux compromis peuvent exposer, par accident, des ressources sensibles via leur propre accès au réseau d’entreprise.

– Non prise compte du contexte de la demande d’accès
Les adresses IP aident à établir qu’un utilisateur demande un accès à partir d’un « réseau de confiance ». Mais compter sur ces seules données a pour résultat une protection insuffisante des ressources de l’entreprise, car sont ignorées d’autres sources de risques basées sur le type d’utilisateur (service, ancienneté, privilège), sur le contexte de la demande (moment de la journée, terminal, géolocalisation), ainsi que le niveau de risque de la ressource demandée (application financière vs calendrier des vacances).

– Cela créé une impression fallacieuse de sécurité 
Le mythe de la sécurité derrière le firewall est dangereux. Faute de prendre en compte l’hypothèse que le réseau a déjà fait l’objet d’une attaque, les habituelles bonnes pratiques de sécurité sont trop souvent remises à plus tard ou ignorées car « personne ne pourra accéder à cette ressource de l’extérieur, et elle se trouve derrière le firewall. »

Le modèle Zero Trust permet de contrôler les accès des utilisateurs en répondant à des questions spécifiques. Ces questions doivent vérifier la légitimité de l’accès au terminal et à la ressource. Ces questions peuvent être par exemple :

  • Au cours de l’authentification

Cet utilisateur est-il autorisé à accéder au terminal et à la ressource ? Est-il qui il prétend être ? Son terminal est-il suffisamment sécurisé pour la tâche demandée ?

  • Au cours de l’opération

Cette session est-elle toujours contrôlée par le bon utilisateur ? La demande a-t-elle été vérifiée ?

  • Au cours de l’accès aux données

L’utilisateur a-t-il donné son consentement pour l’accès ? Si oui, à qui ? Quelles actions a-t-il autorisées (lecture, modification, suppression, etc.) ?Ces données devraient-elles être chiffrées ?

Quels sont les avantages supplémentaires du modèle Zero Trust ?

  • Cette solution permet d’uniformiser les contrôles d’accès à toutes les ressources quelle que soit la localisation et le terminal utilisé par le demandeur afin d’améliorer la productivité des employés.
  • Elle est adaptable en s’appuyant indifféremment sur des data centers sur site, des clouds privés ou publics et s’adapte selon chaque catégorie de ressource. De ce fait, des économies peuvent être réalisées en optimisant les frais d’hébergement et de gestion par catégorie de ressource.
  • Le Zero Trust s’appuie sur la micro-segmentation pour assigner des règles de sécurité à un niveau plus précis.

Quelles sont les clés stratégiques du modèle Zero Trust

Afin de construire une architecture Zero Trust inclusive et favoriser un accès sécurisé à une application dans un environnement cloud ou sur site, plusieurs étapes clés sont nécessaires:

  • Cesser de protéger uniquement les accès au réseau de l’entreprise

Les clients peuvent accéder aux applications par exemple depuis des réseaux wifi publics. Par conséquent il n’est pas suffisant de sécuriser uniquement les accès au réseau d’entreprise. Les applications critiques doivent également être sécurisées pour tout type d’accès à distance.

  • Authentifier les utilisateurs

L’authentification forte est le pilier d’une architecture Zero Trust. Ce type de solution permet d’authentifier les utilisateurs via plusieurs facteurs d’authentification (mémoriel, corporel, matériel) afin de prouver son identité. Suivant l’activité de l’utilisateur, différents niveaux d’authentification sont nécessaires.

  • Authentifier et valider le terminal

Les utilisateurs légitimes peuvent être amenés à travailler sur des appareils compromis (postes de travail, téléphones, etc.). Il est par conséquent nécessaire de mettre en place une authentification du matériel (via l’émission d’un certificat par exemple).

  • Authentifier la demande

Même si un utilisateur légitime se trouve sur un appareil de confiance, l’application utilisée peut être compromise. Les méthodes de validation des applications doivent être mises en place telles que le contrôle de la version du système d’exploitation ou bien la validation du client OAuth (nécessitant de nouveaux standards de sécurité plus sophistiqués comme l’utilisation de jetons).

  • Autoriser l’opération

Une autorisation générale doit pouvoir juger si un utilisateur est autorisé ou non à effectuer une opération. Sans informations suffisantes, l’opération ne doit pas être acceptée. Le système peut utiliser certaines variables comme la biométrie comportementale, l’authentification continue, la localisation, l’heure, etc.

Notes de lecture et autres