Compromis de sécurité

La sécurité fournit des garanties de confidentialité, d’intégrité et de disponibilité pour les systèmes d’une charge de travail et pour les données de ses utilisateurs. Les contrôles de sécurité sont requis dans la charge de travail et dans les composants de développement logiciel et opérationnels qui le prennent en charge. Les équipes de charge de travail ne peuvent presque jamais compromettre les contrôles de sécurité.

Lorsque vous concevez une charge de travail, réfléchissez à la façon dont les décisions basées sur les principes de conception de la sécurité et les recommandations de la liste de contrôle de révision de conception pour la sécurité peuvent influencer les objectifs et les optimisations d’autres piliers. Certaines décisions de sécurité bénéficient d’un pilier, mais constituent des compromis pour un autre. Cet article décrit des exemples de compromis que peut rencontrer une équipe de charge de travail lors de l’établissement de garanties de sécurité.

Compromis entre sécurité et fiabilité

Compromis : complexité accrue. Le pilier fiabilité hiérarchise la simplicité et recommande que les points de défaillance soient réduits.

  • Certains contrôles de sécurité peuvent augmenter le risque de mauvaise configuration, ce qui peut entraîner une interruption de service. Parmi les exemples de contrôles de sécurité qui peuvent introduire une configuration incorrecte, citons les règles de trafic réseau, les fournisseurs d’identité, les exclusions d’analyse des virus et les attributions de contrôle d’accès basées sur des rôles ou des attributs.

  • Une segmentation accrue entraîne généralement un environnement plus complexe en termes de topologie des ressources et du réseau, ainsi que d'accès pour les opérateurs. Cette complexité peut entraîner davantage de points de défaillance dans les processus et dans l’exécution de la charge de travail.

  • Les outils de sécurité de charge de travail s’étendent sur de nombreuses couches de l’architecture, des opérations et des exigences d’exécution d’une charge de travail. Ces outils peuvent affecter la résilience, la disponibilité et la planification de la capacité. Ne pas prendre en compte les limitations des outils peut entraîner des incidents de fiabilité, tels que l’épuisement des ports SNAT sur un pare-feu sortant.

Compromis : augmentation des dépendances critiques. Le pilier fiabilité recommande de réduire les dépendances critiques. Une charge de travail qui réduit les dépendances critiques, en particulier les dépendances externes, a plus de contrôle sur ses points de défaillance.

Le pilier Sécurité nécessite une charge de travail pour vérifier explicitement les identités et les actions. La vérification se produit via des dépendances critiques sur les composants de sécurité clés. Si ces composants ne sont pas disponibles ou s’ils dysfonctionnements, la vérification peut ne pas se terminer. Cette défaillance place la charge de travail dans un état détérioré. Voici quelques exemples de ces dépendances critiques à un point de défaillance :

  • Pare-feu d’entrée et de sortie.
  • Listes de révocation de certificats.
  • Heure système précise fournie par un serveur NTP (Network Time Protocol).
  • Fournisseurs d’identité, tels que Microsoft Entra ID.

Compromis : complexité accrue de la reprise d’activité après sinistre. Une charge de travail doit récupérer de manière fiable à partir de toutes les formes de sinistre.

  • Les contrôles de sécurité peuvent étendre les objectifs de temps de récupération. Le temps ajouté peut provenir des étapes nécessaires pour déchiffrer les sauvegardes ou des retards d’accès opérationnels pendant le triage de fiabilité du site.

  • Les contrôles de sécurité eux-mêmes, tels que les coffres secrets et la protection DDoS edge, doivent faire partie du plan de récupération d’urgence du système et être intégrés et validés dans les exercices de récupération.

  • Les exigences de sécurité ou de conformité peuvent limiter la résidence des données ou les contrôles d’accès pour les sauvegardes, ce qui complique davantage la récupération en segmentant même les réplicas hors connexion.

Compromis : augmentation du taux de changement. Une charge de travail qui subit le changement d’exécution est exposée à un risque accru d’impact sur la fiabilité en raison de cette modification.

  • Des politiques de correctifs et de mise à jour plus strictes conduisent à plus de changements dans l’environnement de production d'un workload. Cette modification provient de sources comme celles-ci :

    • Code d’application publié plus fréquemment en raison des mises à jour apportées aux bibliothèques ou aux mises à jour des images conteneur de base
    • Amélioration de la mise à jour corrective de routine des systèmes d’exploitation
    • Rester à jour avec les applications ou plateformes de données avec version
    • Application de correctifs de fournisseur à des logiciels dans l’environnement

  • La rotation des clés, des identifiants du principal de service et des certificats peut entraîner des défaillances temporaires pendant la transition lorsque les clients récupèrent la nouvelle valeur.

Compromis de sécurité avec l’optimisation des coûts

Compromis : infrastructure supplémentaire. Une approche de l’optimisation des coûts d’une charge de travail consiste à rechercher des moyens de réduire la diversité et le nombre de composants et d’augmenter la densité.

Certains composants de charge de travail et décisions de conception existent uniquement pour protéger la sécurité (confidentialité, intégrité et disponibilité) des systèmes et des données. Ces composants améliorent la sécurité de l’environnement, mais augmentent les coûts. Ils doivent également être soumis à l’optimisation des coûts eux-mêmes. Voici quelques exemples de ressources centrées sur la sécurité ou de coûts de licence :

  • Calcul, réseau et segmentation des données pour l’isolation, qui implique parfois l’exécution d’instances distinctes, empêchant la colocalisation et la réduction de la densité.
  • Outils d’observabilité spécialisés, tels qu’un SIEM capable d’effectuer une agrégation et des informations sur les menaces.
  • Appliances ou fonctionnalités réseau spécialisées, telles que les pare-feu ou la prévention par déni de service distribué.
  • Outils de classification des données requis pour capturer des étiquettes de confidentialité et de type d’informations.
  • Fonctionnalités de stockage ou de calcul spécialisées pour prendre en charge le chiffrement au repos et en transit, comme un HSM ou une fonctionnalité de calcul confidentielle.
  • Environnements de test dédiés et outils de test pour vérifier que les contrôles de sécurité fonctionnent et pour découvrir les lacunes précédemment non découvertes dans la couverture.

Les éléments précédents existent souvent en dehors des environnements de production, dans les ressources de préproduction et de récupération d’urgence.

Compromis : augmentation de la demande sur l’infrastructure. Le pilier Optimisation des coûts priorise la réduction de la demande sur les ressources pour permettre l’utilisation de SKU moins coûteux, moins d’instances ou une consommation réduite.

  • SKUs Premium : Certaines mesures de sécurité dans les services cloud et des fournisseurs, qui peuvent améliorer la posture de sécurité d'une charge de travail, ne se trouvent que dans des SKUs ou des niveaux plus coûteux.

  • Stockage des journaux : Les données de surveillance sécuritaire à haute fidélité et d'audit, qui fournissent une couverture étendue, augmentent les coûts de stockage. Les données d’observabilité de la sécurité sont également conservées plus longtemps que les insights opérationnels.

  • Consommation accrue des ressources : les contrôles de sécurité in-process et sur hôte ajoutent la demande de ressources concurrentes telles que les cycles processeur, la mémoire, les E/S de disque et la bande passante réseau. Le chiffrement en transit et au repos ajoute également la demande. Les deux peuvent nécessiter des nombres d’instances plus élevés ou des références SKU plus grandes.

Compromis : augmentation du processus et des coûts opérationnels. Les coûts de processus du personnel font partie du coût total global de possession et sont pris en compte dans le retour sur investissement d’une charge de travail. L’optimisation de ces coûts est une recommandation du pilier Optimisation des coûts.

  • Un régime strict de gestion des correctifs augmente le temps et l’argent consacrés aux tâches de routine, et nécessite généralement un investissement dans la préparation aux correctifs ad hoc pour les failles de sécurité zéro jour.

  • Les contrôles d’accès plus stricts réduisent le risque d’accès non autorisé, mais ajoutent de la complexité à la gestion des utilisateurs et à l’accès opérationnel.

  • La formation et la sensibilisation aux outils et processus de sécurité consomment du temps et entraînent des coûts pour les matériaux, les instructeurs et les environnements de formation.

  • La conformité réglementaire peut nécessiter un investissement supplémentaire dans les audits et les rapports de conformité.

  • La planification et l’exécution d’exercices pour la préparation à la réponse aux incidents de sécurité prennent du temps.

  • Les processus de sécurité de routine et ad hoc, tels que la rotation des clés ou des certificats, prennent du temps à concevoir et à effectuer.

  • La validation de la sécurité dans SDLC nécessite généralement des outils spécialisés. Votre organisation peut avoir besoin de payer pour ces outils et de corriger les résultats prend également du temps.

  • L’embauche de praticiens tiers pour effectuer des tests de sécurité, y compris les tests d’intrusion, entraîne des coûts.

Impact des compromis en sécurité sur l’excellence opérationnelle

Compromis : complications dans l’observabilité et la facilité de service. L’excellence opérationnelle exige que les architectures soient utilisables et observables. Les architectures les plus utilisables sont transparentes pour tous les participants.

  • La sécurité bénéficie de la journalisation haute fidélité qui prend en charge les alertes d’écart de ligne de base et la réponse aux incidents. Le volume peut évincer les perspectives ciblées sur la fiabilité ou les performances.

  • Le masquage des données masque les segments de journal, voire de grandes quantités de données tabulaires, pour protéger la confidentialité. L’équipe doit évaluer comment cet écart d’observabilité affecte les alertes et entrave la réponse aux incidents.

  • La segmentation forte des ressources complique l’observabilité. Il nécessite un suivi distribué et une corrélation interservices supplémentaires pour capturer les traces de flux. La segmentation augmente également la surface de calcul et de données à protéger.

  • Certains contrôles de sécurité entravent l’accès par conception et peuvent ralentir l’accès d’urgence des opérateurs de charge de travail lors de la réponse aux incidents. Les plans de réponse aux incidents nécessitent une planification et des exercices supplémentaires pour rester efficaces.

Compromis : Réduction de l’agilité et complexité accrue. Les équipes de charge de travail mesurent leur vitesse afin qu’elles puissent améliorer la qualité, la fréquence et l’efficacité des activités de livraison au fil du temps. Les facteurs de complexité de la charge de travail influent sur l'effort et le risque impliqués dans les opérations.

  • Les stratégies de contrôle de modification et d’approbation plus strictes réduisent le risque d’introduire des vulnérabilités de sécurité, mais elles ralentissent le développement et le déploiement sécurisé de nouvelles fonctionnalités. En même temps, la nécessité d’expédier des mises à jour de sécurité et des correctifs entraîne la demande de déploiements plus fréquents. En outre, les stratégies d’approbation contrôlées par l’homme dans les processus opérationnels peuvent rendre plus difficile l’automatisation de ces processus.

  • Les tests de sécurité produisent des résultats que l’équipe doit hiérarchiser, ce qui peut bloquer le travail planifié.

  • Les processus de routine, ad hoc et d’urgence peuvent nécessiter la journalisation d’audit pour répondre aux exigences de conformité. Cette journalisation augmente la rigidité de l’exécution des processus.

  • Les équipes de charge de travail peuvent augmenter la complexité des activités de gestion des identités à mesure que la granularité des définitions de rôles et des affectations est augmentée.

  • Des tâches de routine liées à la sécurité, comme la gestion des certificats, augmentent le nombre de processus à automatiser.

Compromis : efforts de coordination accrus. Une équipe qui réduit les points de contact externes et les révisions peut contrôler plus efficacement leurs opérations et leur chronologie.

  • À mesure que les exigences de conformité externes de l’organisation plus grande ou des entités externes augmentent, la complexité d’atteindre et de prouver la conformité avec les auditeurs augmente également.

  • La sécurité nécessite des compétences spécialisées que les équipes de charge de travail n’ont généralement pas. L’approvisionnement de ces compétences auprès de l’organisation plus grande ou de tiers nécessite la coordination des efforts, de l’accès et de la responsabilité.

  • Les plans de communication pour la divulgation responsable des violations sont souvent requis par les mandats de conformité ou d’organisation et doivent être pris en compte dans la coordination de la sécurité.

Compromis de sécurité avec efficacité des performances

Compromis : latence et surcharge accrues. Une charge de travail performante réduit la latence et la surcharge.

  • Les contrôles de sécurité d’inspection, tels que les pare-feu et les filtres de sécurité de contenu, se trouvent dans les flux qu’ils sécurisent. Ces flux sont donc soumis à une vérification supplémentaire, ce qui ajoute la latence aux requêtes. Dans les architectures hautement découplées, les inspections peuvent se produire plusieurs fois pour une transaction de flux de données ou d’utilisateur unique.

  • Les contrôles d’identité nécessitent que chaque appel d’un composant contrôlé soit vérifié explicitement. La vérification consomme des cycles de calcul et peut nécessiter une traversée réseau pour l’autorisation.

  • Le chiffrement et le déchiffrement consomment des cycles de calcul, ce qui augmente le temps et les ressources consommées par ces flux. L’augmentation correspond généralement à la complexité de l’algorithme et à la génération de vecteurs d’initialisation haute entropie (IV).

  • La journalisation plus étendue consomme davantage de ressources système et de bande passante réseau pour transmettre ces journaux.

  • La segmentation des ressources introduit fréquemment des tronçons réseau dans l’architecture d’une charge de travail.

Compromis : augmentation de la probabilité d’une mauvaise configuration. La réalisation fiable des objectifs de performances dépend des implémentations prévisibles de la conception.

Les contrôles de sécurité mal configurés ou surextendés peuvent nuire aux performances en raison d’une configuration inefficace. Voici quelques exemples de configurations de contrôle de sécurité qui peuvent affecter les performances :

  • Classement, complexité et quantité des règles de pare-feu (granularité).

  • Échec de l’exclusion des fichiers clés des moniteurs d’intégrité des fichiers ou des scanneurs antivirus. La négligence de cette étape peut entraîner un conflit de verrouillage.

  • Les pare-feu d’applications web effectuant une inspection approfondie des paquets pour les langages ou plateformes qui ne sont pas pertinents pour les composants qui sont protégés.

Explorez les compromis pour les autres piliers :

  • Last updated on