Analyse Infrastructure as Code (IaC)

​

Aperçu

• Fonctionnement: l’analyse IaC examine vos fichiers de configuration d’infrastructure afin de détecter les mauvaises configurations de sécurité, les violations de politiques et les secrets codés en dur avant leur mise en production. Elle prend en charge différents formats IaC, notamment les manifestes Kubernetes, les fichiers Terraform, les Dockerfiles et les modèles CloudFormation, et fournit des résultats détaillés avec leur sévérité et des recommandations de remédiation.
• Public concerné: cette fonctionnalité s’adresse aux ingénieurs DevOps, aux architectes cloud, aux équipes de sécurité et aux ingénieurs plateforme qui gèrent leur infrastructure sous forme de code. Elle est essentielle pour les équipes qui adoptent des pratiques cloud-native ou des workflows GitOps, ou qui doivent respecter des exigences de conformité dans leurs déploiements d’infrastructure.

​

Caractéristiques clés et avantages

• Couverture IaC complète: scanne le code d’infrastructure de nombreux formats et plateformes, notamment Kubernetes, Docker, Terraform, CloudFormation, les modèles Azure ARM et les charts Helm
• Capacités de double détection:
  • Détection de mauvaise configuration: Identifie les configurations non sécurisées, les contrôles de sécurité manquants, les autorisations excessives et les violations de conformité
  • Détection de secrets: détecte les identifiants codés en dur, les clés d’API, les tokens et les données sensibles intégrés au code d’infrastructure
• Informations détaillées sur les résultats: fournit notamment :
  • Descriptions des problèmes de configuration et impact sur la sécurité
  • Évaluations de gravité (Critique, Élevé, Moyen, Bas)
  • Ressources et emplacements de fichiers affectés
  • Conseils sur la remédiation et recommandations de bonnes pratiques
• Détection intelligente: Identifie automatiquement les fichiers IaC dans votre dépôt et applique les vérifications de sécurité appropriées en fonction du type de fichier

​

Types d’infrastructure pris en charge

​

Instructions de configuration

​

Étapes de configuration

​

Guide d’utilisation

​

Flux de travail clés

1. Découverte automatique: Le système identifie automatiquement les fichiers IaC dans votre dépôt
2. Analyse de configuration: Applique des contrôles de sécurité et des règles de conformité basées sur le type de fichier
3. Détection des mauvaises configurations: identifie les problèmes de sécurité, les violations de politiques et les écarts par rapport aux bonnes pratiques
4. Détection de secrets: Analyse les identifiants codés en dur et les informations sensibles
5. Création des problèmes: Crée un problème de sécurité traçable pour chaque résultat
6. Rapports: Génère des rapports complets avec des recommandations de remédiation classées par priorité

​

Exemples courants de mauvaise configuration

# ❌ Insecure
apiVersion: v1
kind: Pod
spec:
  containers:
  - name: app
    image: myapp:latest
    securityContext:
      privileged: true  # High severity issue

# ❌ Insecure
FROM ubuntu:latest
RUN apt-get update && apt-get install -y myapp
CMD ["myapp"]  # Running as root

# ❌ Insecure
resource "aws_s3_bucket" "data" {
  bucket = "my-data-bucket"
  acl    = "public-read"  # Critical severity issue
}

​

Niveaux de sévérité

• Élevée: doit être traité avant le déploiement en raison du risque de sécurité important
• Moyen: Devrait être traité lors d’une maintenance régulière, impact modéré sur la sécurité
• Faible: amélioration des bonnes pratiques, avec un risque immédiat minimal

​

Bonnes pratiques

• Sécurité shift-left: scanner le code d’infrastructure pendant le développement, et pas seulement avant le déploiement
• Policy as Code: définir et appliquer les politiques de sécurité propres à l’organisation
• Gestion de versions: conserver tout le code d’infrastructure dans un système de gestion de versions afin de disposer d’une piste d’audit
• Principe du moindre privilège: configurer les autorisations minimales nécessaires pour chaque ressource
• Chiffrement: Activer le chiffrement au repos et en transit pour toutes les ressources sensibles
• Revues régulières: Révision et mise à jour périodiques des politiques de sécurité IaC
• Gestion des secrets: utiliser des outils de gestion des secrets (Vault, AWS Secrets Manager) plutôt que de les coder en dur
• Alignement sur les exigences de conformité: associer les résultats aux référentiels de conformité pertinents (CIS, SOC2, etc.)

​

Dépannage

​

Fonctionnalités associées

• Analyse des secrets - Détection dédiée des secrets dans tous les types de fichiers
• Analyse des dépendances (SCA) - Analyse des vulnérabilités pour détecter des dépendances tierces
• SAST natif de l’IA (BLAST) - Tests de sécurité applicative du code source