Blog

Cloud public, vie privée, nouveaux outils ...

Bienvenue dans ce nouvel article sur la sécurité applicative qui fait suite à notre épisode sur l’analyse des dépendances. Cette fois-ci, nous traiterons du sujet de la sécurisation du code en lui-même au travers des analyseurs de code.

Dans un précédent billet vous avez découvert ou redécouvert Cloud Custodian, un outil de conformité qui permet d’écrire des policies en yaml pour identifier des ressources ou des évènements sur votre environnement. Dans cet article nous allons voir qu’en nous appuyant sur le RBAC (Role-Based Access Control) des cloud providers et sur Cloud Custodian, nous pouvons facilement mettre en place un framework de sécurité adaptable à vos problématiques SSI.

Open source, Cloud public, Sécurité, Cryptomonnaie...

En Infra-as-Code on retrouve régulièrement des outils destinés à lancer des actions locales et à gérer des versions différentes en parallèle : tfenv, pyenv, rbenv, asdf, golang, kubectl et d’autres. Voici ma stratégie pour remplacer/automatiser tout cela avec un seul outil : direnv.

La sécurité et le développement : une grande histoire d'amour/désamour. La sécurité est au cœur des cybers-enjeux d’aujourd’hui et de demain, mais malgré tout reste en général un sujet de fin de projet. Une fois une application développée, il est beaucoup plus complexe de la sécuriser, pour des raisons techniques et budgétaires. À défaut de créer un code robuste et fiable, on préférera y apposer des rustines temporaires-éternelles pour respecter les délais. Son environnement peut potentiellement la protéger des attaques connues (XSS, injection SQL, etc.), on pensera notamment à l’implémentation d’un pare-feu applicatif (WAF). Mettre en place ce type de technologie est bien entendu conseillé, mais ne peut justifier le manque de sécurité applicative.

Avez vous, vous aussi remarqué l'émergence de voix dissonantes clamant l'échec de l'infrastructure-as-code ? En 2021, 10 ans après la première release publique de CloudFormation et 7 ans après l’apparition de Terraform, un bilan s'impose !

La gestion des identités et de l’authentification sur le cloud public est un sujet demandant beaucoup d’attention et de réflexion. En effet, il peut être parfois compliqué de porter un modèle IAM existant sur un hébergeur donné. Et ceci s’accentue encore plus lorsque l’on se retrouve dans un contexte multi cloud provider, chacun ayant sa propre vision de ce que doit être la gestion d’identité. Et Azure n’échappe pas à la règle.

WeScale est un des pionniers de l’utilisation de Kubernetes en France (nous vous en parlons sur ce blog depuis 2016).