4 min de lecture<\/p>\n
Les mauvaises configurations sont, selon la Cloud Security Alliance, pour la deuxi\u00e8me ann\u00e9e cons\u00e9cutive, la menace n\u00b01 dans les environnements cloud. Selon IBM, elles sont \u00e0 l\u2019origine de 15 % de toutes les violations de donn\u00e9es. Palo Alto Unit 42 rapporte que 76 % des organisations n\u2019imposent pas l\u2019authentification multifacteur (MFA) aux utilisateurs de la console. 63 % des buckets de stockage accessibles publiquement contiennent des donn\u00e9es sensibles. Ce guide pratique recense les dix erreurs de configuration les plus dangereuses dans AWS et Azure, et explique comment les \u00e9quipes de s\u00e9curit\u00e9 informatique peuvent les d\u00e9tecter et les corriger.<\/strong><\/p>\n La Cloud Security Alliance (CSA) classe les mauvaises configurations et un contr\u00f4le insuffisant des modifications comme la menace la plus grave pour les environnements cloud depuis 2024. Pour la deuxi\u00e8me ann\u00e9e cons\u00e9cutive. Les vuln\u00e9rabilit\u00e9s li\u00e9es \u00e0 la gestion des identit\u00e9s et des acc\u00e8s (IAM) arrivent en deuxi\u00e8me position. Gartner pr\u00e9voit qu\u2019en 2025, 99 % des erreurs de s\u00e9curit\u00e9 dans le cloud seront caus\u00e9es par les clients, et non par les fournisseurs de cloud.<\/p>\n IBM confirme cette tendance dans son rapport Cost of a Data Breach Report 2024<\/em> : les mauvaises configurations du cloud sont responsables de 15 % de toutes les violations de donn\u00e9es, au m\u00eame niveau que le phishing. Le co\u00fbt moyen global par violation a atteint en 2024 un niveau record de 4,88 millions de dollars. Donn\u00e9es bas\u00e9es sur 604 organisations, 17 secteurs, 16 pays.<\/p>\n CrowdStrike indique dans son Global Threat Report 2025<\/em> que les intrusions dans le cloud ont augment\u00e9 de 26 %. Le vecteur d\u2019intrusion le plus fr\u00e9quent est l\u2019usurpation de comptes valides, responsable de 35 % de tous les incidents cloud au premier semestre 2024. Les attaquants n\u2019utilisent pas de vuln\u00e9rabilit\u00e9s zero-day. Ils exploitent ce que les \u00e9quipes IT ont laiss\u00e9 ouvert.<\/p>\n Sources : IBM Cost of a Data Breach 2024, CrowdStrike Global Threat Report 2025<\/p>\n 1. Permissions IAM excessives.<\/strong> Palo Alto Unit 42, apr\u00e8s avoir analys\u00e9 680 000 identit\u00e9s cloud, constate que 99 % de toutes les identit\u00e9s (utilisateurs, r\u00f4les, services) disposent de plus de permissions qu\u2019elles n\u2019en ont besoin. Le principe du moindre privil\u00e8ge est presque partout ignor\u00e9. Chaque permission superflue constitue un vecteur d\u2019attaque potentiel.<\/p>\n 2. Absence de MFA pour les comptes root et administrateurs.<\/strong> Orca Security rel\u00e8ve que 61 % des comptes root ou de leurs propri\u00e9taires n\u2019ont pas activ\u00e9 l\u2019authentification multifacteur. Unit 42 confirme que 76 % des organisations n\u2019imposent pas la MFA aux utilisateurs de la console, et 58 % ne l\u2019imposent m\u00eame pas aux comptes root ou administrateurs. En combinaison avec le phishing par usurpation d\u2019identit\u00e9 (AiTM)<\/a>, cela devient une porte grande ouverte.<\/p>\n 3. Buckets de stockage accessibles publiquement.<\/strong> Unit 42 documente que 63 % des buckets S3 accessibles publiquement contiennent des donn\u00e9es sensibles. R\u00e9sultat : donn\u00e9es clients, documents internes et identifiants r\u00e9cup\u00e9rables via une simple URL. En 2019, Capital One a perdu les donn\u00e9es de 106 millions de clients suite \u00e0 une combinaison entre une WAF mal configur\u00e9e et des autorisations S3 trop larges.<\/p>\n 4. Journalisation d\u00e9sactiv\u00e9e ou incompl\u00e8te.<\/strong> Sans CloudTrail (AWS), Azure Monitor ou les journaux d\u2019audit Cloud de GCP, la r\u00e9ponse aux incidents repose sur du sable. Si une violation survient sans journal, il n\u2019existe aucun \u00e9l\u00e9ment probatoire. Selon Unit 42, les \u00e9quipes de s\u00e9curit\u00e9 passent en moyenne 145 heures \u00e0 r\u00e9soudre chaque alerte de s\u00e9curit\u00e9. Sans journaux, ce d\u00e9lai double.<\/p>\n 5. Groupes de s\u00e9curit\u00e9 et groupes de s\u00e9curit\u00e9 r\u00e9seau (NSG) ouverts.<\/strong> Orca Security signale que 81 % des organisations poss\u00e8dent des ressources expos\u00e9es au public avec des ports ouverts (80, 443, 8080, 22, 3389, 5900). Chaque port ouvert est un point d\u2019entr\u00e9e. Les protocoles RDP (3389) et SSH (22) sur des adresses IP publiques sont scann\u00e9s et attaqu\u00e9s en quelques minutes.<\/p>\n \n\u00ab En 2025, 99 % des erreurs de s\u00e9curit\u00e9 dans le cloud seront caus\u00e9es par les clients, et non par les fournisseurs de cloud. \u00bb 6. Bases de donn\u00e9es accessibles publiquement.<\/strong> Wiz, dans son Cloud Data Security Report 2025<\/em>, r\u00e9v\u00e8le que 72 % des environnements cloud comportent des bases de donn\u00e9es PaaS expos\u00e9es publiquement, sans contr\u00f4le d\u2019acc\u00e8s. Des instances RDS, Cosmos DB ou Cloud SQL fonctionnant sans isolation VPC ni liste blanche d\u2019adresses IP sont accessibles \u00e0 tous.<\/p>\n 7. Absence de chiffrement des donn\u00e9es au repos.<\/strong> Des donn\u00e9es stock\u00e9es dans S3, Azure Blob Storage ou GCS sans chiffrement au repos sont imm\u00e9diatement lisibles en cas de violation. AWS propose SSE-S3 comme chiffrement par d\u00e9faut depuis 2023, mais les buckets anciens et les cl\u00e9s g\u00e9r\u00e9es manuellement sont souvent oubli\u00e9s. Il en va de m\u00eame pour les volumes EBS et les instantan\u00e9s RDS.<\/p>\n 8. Images de conteneurs non mises \u00e0 jour.<\/strong> Unit 42 rapporte que 63 % des bases de code en production contiennent des vuln\u00e9rabilit\u00e9s non corrig\u00e9es avec un score CVSS de 7,0 ou plus. Wiz ajoute que 12 % des conteneurs sont \u00e0 la fois expos\u00e9s publiquement et vuln\u00e9rables via des failles connues. Les images de base obsol\u00e8tes constituent la cause la plus fr\u00e9quente.<\/p>\n 9. Absence de segmentation r\u00e9seau.<\/strong> Des r\u00e9seaux plats, sans contr\u00f4les de peering VPC ni isolement de sous-r\u00e9seaux, facilitent les d\u00e9placements lat\u00e9raux. Si un attaquant compromet une charge de travail, il peut, sans segmentation, acc\u00e9der \u00e0 toutes les ressources du m\u00eame r\u00e9seau. La d\u00e9marche Zero Trust<\/a> ralentit ces d\u00e9placements, mais ne les bloque pas lorsqu\u2019un compte valide est utilis\u00e9.<\/p>\n 10. Identifiants par d\u00e9faut et cl\u00e9s API int\u00e9gr\u00e9es dans le code.<\/strong> Cl\u00e9s d\u2019acc\u00e8s AWS, secrets de principal de service Azure ou mots de passe de base de donn\u00e9es cod\u00e9s en dur dans des d\u00e9p\u00f4ts Git. Une fois pouss\u00e9s, ils restent visibles pour toujours dans l\u2019historique des commits. Des scanners automatis\u00e9s parcourent GitHub en temps r\u00e9el \u00e0 la recherche de ces identifiants expos\u00e9s.<\/p>\n Les r\u00e9f\u00e9rentiels CIS comme point de d\u00e9part.<\/strong> Le Center for Internet Security (CIS) publie des r\u00e9f\u00e9rentiels de configuration gratuits pour AWS, Azure et GCP. Ils d\u00e9finissent des v\u00e9rifications concr\u00e8tes : CloudTrail est-il activ\u00e9 ? La MFA est-elle impos\u00e9e pour le compte root ? Les buckets S3 sont-ils publics ? AWS Security Hub int\u00e8gre directement le CIS AWS Foundations Benchmark. Azure propose le Microsoft Cloud Security Benchmark comme \u00e9quivalent.<\/p>\n Les outils CSPM pour une surveillance continue.<\/strong> Le Cloud Security Posture Management (CSPM) v\u00e9rifie automatiquement les configurations par rapport \u00e0 des politiques et des cadres de conformit\u00e9. Pas ponctuellement, mais en continu. Chaque modification est \u00e9valu\u00e9e. Les \u00e9carts (drift) sont d\u00e9tect\u00e9s. Les options natives : AWS Config Rules, Azure Policy, GCP Security Command Center. \u00c9diteurs sp\u00e9cialis\u00e9s : Wiz, Prisma Cloud, Orca Security, Microsoft Defender for Cloud.<\/p>\n Analyse de l\u2019Infrastructure as Code.<\/strong> Pr\u00e9venir les mauvaises configurations avant qu\u2019elles n\u2019atteignent la production. Des outils comme Checkov, tfsec ou Bridgecrew analysent les fichiers Terraform, CloudFormation et mod\u00e8les ARM \u00e0 la recherche de probl\u00e8mes de s\u00e9curit\u00e9. M\u00e9thode Shift Left : la s\u00e9curit\u00e9 devient une \u00e9tape int\u00e9gr\u00e9e de la pipeline CI\/CD, et non un audit a posteriori.<\/p>\n Les fournisseurs de cloud offrent une infrastructure s\u00e9curis\u00e9e. Mais la configuration incombe au client. Tant que 76 % des organisations n\u2019imposent pas la MFA, que 63 % laissent des donn\u00e9es sensibles dans des buckets publics, et que 99 % des identit\u00e9s disposent de permissions excessives, la configuration restera le vecteur d\u2019attaque le plus simple. Les outils de v\u00e9rification existent. Les r\u00e9f\u00e9rentiels CIS sont gratuits. Le CSPM est int\u00e9gr\u00e9 \u00e0 chaque grande plateforme cloud. Ce qui manque n\u2019est pas la technologie, mais la discipline.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n Un param\u00e8tre dans AWS, Azure ou GCP qui s\u2019\u00e9carte de la configuration s\u00e9curis\u00e9e par d\u00e9faut ou qui ouvre une faille de s\u00e9curit\u00e9. Exemples : buckets S3 accessibles publiquement, absence de MFA, permissions IAM excessives. Selon la CSA, il s\u2019agit de la menace n\u00b01 dans le cloud depuis 2024.<\/p>\n<\/details>\n Utilisez les r\u00e9f\u00e9rentiels CIS comme checklist, des outils CSPM (AWS Config, Azure Policy, Wiz, Prisma Cloud) pour une surveillance automatis\u00e9e, et des analyseurs d\u2019Infrastructure as Code (Checkov, tfsec) pour pr\u00e9venir les erreurs dans la pipeline CI\/CD.<\/p>\n<\/details>\n Selon le rapport Cost of a Data Breach 2024<\/em> d\u2019IBM, le co\u00fbt moyen est de 4,88 millions de dollars. Les mauvaises configurations du cloud sont \u00e0 l\u2019origine de 15 % de toutes les violations. Capital One a d\u00fb payer une amende de 80 millions de dollars en 2020 suite \u00e0 une violation li\u00e9e \u00e0 des ressources AWS mal configur\u00e9es.<\/p>\n<\/details>\n Les permissions IAM excessives. Selon Unit 42, 99 % des identit\u00e9s cloud disposent de plus de permissions que n\u00e9cessaire. Combin\u00e9 au vol de credentials (usurpation de comptes valides, 35 % de tous les incidents cloud selon CrowdStrike), c\u2019est le chemin le plus direct vers les donn\u00e9es sensibles.<\/p>\n<\/details>\n Pour commencer, oui. AWS Security Hub, Azure Defender for Cloud et GCP Security Command Center couvrent les bases. Pour les environnements multi-cloud, la rem\u00e9diation automatique et les rapports de conformit\u00e9, des solutions CSPM sp\u00e9cialis\u00e9es comme Wiz, Prisma Cloud ou Orca Security sont recommand\u00e9es.<\/p>\n<\/details>\nL’essentiel<\/h2>\n
\n
Pourquoi les mauvaises configurations sont-elles la menace n\u00b01 ?<\/h2>\n
Les 10 erreurs de configuration les plus dangereuses<\/h2>\n
\nGartner (cit\u00e9 \u00e0 plusieurs reprises dans les rapports d\u2019IBM, de la CSA et d\u2019Unit 42)<\/cite>\n<\/p><\/blockquote>\nComment les \u00e9quipes de s\u00e9curit\u00e9 informatique peuvent-elles v\u00e9rifier de mani\u00e8re syst\u00e9matique ?<\/h2>\n
Conclusion : la surface d\u2019attaque r\u00e9side dans la configuration<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Qu\u2019est-ce qu\u2019une mauvaise configuration du cloud ?<\/strong><\/summary>\n
Comment d\u00e9tecter les mauvaises configurations dans mon environnement ?<\/strong><\/summary>\n
Quel est le co\u00fbt d\u2019une violation due \u00e0 une mauvaise configuration ?<\/strong><\/summary>\n
Quelle est la mauvaise configuration la plus dangereuse ?<\/strong><\/summary>\n
Les outils de s\u00e9curit\u00e9 natifs du cloud suffisent-ils ?<\/strong><\/summary>\n
Lectures recommand\u00e9es par la r\u00e9daction<\/h2>\n
\n