Les défis actuels
L’adoption de la technologie cloud apporte de nombreux avantages, dont le plus important est l’augmentation de la vitesse de développement et de déploiement. L’époque où un développeur devait attendre plusieurs jours le provisionnement d’une machine virtuelle, puis passer un temps considérable à installer les composants nécessaires, tels que les files de messages et les bases de données, est révolue. Les machines virtuelles et les plateformes en tant que service (PaaS) associées peuvent être lancées en quelques minutes au sein d’un compte cloud.
Toutefois, accorder aux équipes de développement un accès illimité leur permettant d’instancier manuellement les services cloud et de modifier la configuration engendre des états imprévisibles de l’infrastructure. Cela peut entraîner des défaillances logicielles et une augmentation des attaques du fait d’une surface d’attaque plus vaste et plus exposée. Par conséquent, l’infrastructure en tant que code (IaC) a été rapidement adoptée, permettant aux développeurs de créer une infrastructure immuable à partir de fichiers de configuration déclaratifs et d’avoir l’assurance que l’infrastructure se trouve dans l’état souhaité à toutes les étapes du cycle de vie du logiciel.
Mais que se passe-t-il lorsque l’état souhaité induit des risques de sécurité ? Il existe des centaines de services cloud différents, et chacun d’entre eux dispose d’un ensemble distinct de variables de configuration, ce qui peut facilement introduire une erreur de configuration involontaire. Qui plus est, dans un environnement agile, de nombreuses modifications sont régulièrement mises en œuvre de manière automatique, et garantir la sécurité de vos services cloud devient vite un véritable défi.
Ralentissez-vous le cycle de publication, effectuez-vous des contrôles de sécurité manuels et subissez-vous des retards alors que les équipes de développement se démènent pour remédier aux problèmes, ou peut-être autorisez-vous l’envoi de configurations incorrectes dans la production, augmentant ainsi le risque de faille ? Il existe forcément une meilleure solution.
Intégration de Posture Control de Zscaler et Terraform de HashiCorp : Comment cela fonctionne ?
La plateforme Posture Control de Zscaler résout ces problèmes en permettant aux développeurs d’appliquer les bonnes pratiques de sécurité plus tôt dans le cycle de vie du développement logiciel, ce que l’on appelle souvent « déplacer la sécurité en amont ». Posture Control intègre un scanner IaC qui analyse les fichiers, tels que les modèles Terraform, et identifie les erreurs de configuration au sein des fichiers, fournissant aux développeurs des informations sur la violation et sur les étapes de remédiation.
Fournir un moyen facile d’intégrer ces contrôles de sécurité dans le flux de travail de développement normal est un aspect essentiel du déplacement de la sécurité en amont. Pour les développeurs qui utilisent Terraform Cloud pour déployer leur infrastructure, le scanner IaC de la plateforme Posture Control s’intègre en tant que tâche d’exécution, analysant la sortie du plan Terraform pour identifier les erreurs de configuration.
Les résultats d’une analyse sont disponibles au sein de l’exécution d’un espace de travail et peuvent indiquer le nombre de violations, triées par niveau de gravité, rencontrées dans les fichiers de configuration au cours de cette exécution. Un lien est ensuite fourni permettant de se connecter à la plateforme Posture Control et y consulter des informations détaillées concernant les violations et la manière d’y remédier. La plateforme Posture Control offre la possibilité de faire échouer l’exécution (tâche d’exécution obligatoire) en fonction du niveau de gravité des violations, ou de l’exécuter en mode consultatif où elle affichera les résultats, mais autorisera l’exécution.
Illustration : Intégration Posture Control et Terraform
Comment tirer parti de l’intégration de Posture Control et HashiCorp
La configuration de l’intégration Terraform Cloud et Posture Control prend quelques minutes. Il suffit d’ajouter votre jeton Terraform Cloud à la plateforme Posture Control, puis d’affiner le contrôle en sélectionnant l’entreprise et les espaces de travail que vous souhaitez protéger. Posture Control activera alors la tâche d’exécution Zscaler IaC Scan dans vos espaces de travail.
En savoir plus sur l’intégration de Zscaler et HashiCorp : Inscription au webinaire
Assurer une sécurité dynamique et évolutive sur plusieurs clouds avec Zscaler et HashiCorp
7 décembre | 9 h Heure du Pacifique (PST)
