Pr.

Hind Idrissi
IRIC-2 (S4)

2022 / 2023
 Quels sont les concepts de sécurité génériques qui informent une infrastructure IT
conventionnelle ? Sont-ils les mêmes pour le cloud?

Les concepts de sécurité dans l'environnement cloud seront-ils les mêmes que ceux de
l'infrastructure IT d'une entreprise traditionnelle? S'ils diffèrent, de quelle manière le
font-ils?
Les concepts de sécurité seront-ils les mêmes dans tous les types de déploiement
cloud? Ou sont-ils différents dans le cloud privé et public?
Motivations Qui est responsable de la mise en œuvre des concepts de sécurité dans le cloud? S agit -
il des fournisseurs de services cloud? Ou est-ce les utilisateurs du cloud? Ou les deux?
Le partage des responsabilités en matière de sécurité est-il le même dans tous les
modèles de service?
Quels sont les impacts de la virtualisation et de la multi-tenancy sur la sécurité?

Comment la répartition géographique des ressources affecte-t-elle la sécurité?

Qui est responsable des données dans le cloud?

 Access control lists

Nom d’utilisateur
Autoriser
Identification et Utilisateur Autorisation et
Utilisateur l'accès à la
Mot de passe authentification authentifié contrôl d’accès
ressource

Vérifier son identité,

son authenticité et sa
crédibilité:
(Qui êtes-vous? Êtes-
vous un utilisateur
authentifié?)
Trouver les autorisations
d'une personne pour accéder
à différentes ressources: à
quoi pouvez-vous accéder?

Authentification et autorisation
 Les personnes non
autorisées ne peuvent pas
Message sous accéder aux données
forme cryptée
Récepteur
Expéditeur
prévu

Confidentialité
 Message
reçu
Le message et le MAC
sont envoyés

Message Même fonction de hachage

Réseau que celle utilisée par
l'expéditeur
Fonction de hachage
MAC calculé
irréversible

Les deux sont Non

Code d'authentification du CAM reçu
les même?
message (CAM)
Oui
Message non
modifié

Fin de l'envoi Fin de la réception

Intégrité des messages à l'aide de la fonction de hachage

 L'attaquant rend les
données indisponibles
pour l'utilisateur
authentique
Utilisateur autorisé Serveur de base de
données

Attaquant

Disponibilité
Authetification Autorisation Contrôle

“Accountability” suit les actions

Suivi des activités
des personnes autorisées et
vérifie si l'action respecte les
autorisations et les règles définies

Accountability

Accountability
Utilisateur externe

Campus principal
Succursale
Demilitarized
zone (DMZ)

Internet

Pare-feu externe Pare-feu interne

Réseau d'entreprise

Modèle de sécurité d'entreprise traditionnel

 Software as a Service (SaaS)
(applications entièrement développées et
déployées) Cloud privé

Platform as a Service (PaaS) Modèle à un seul tenant.

Une seule entreprise
(plates-formes, middleware, Plus sécurisé
environnement d'exécution, outils de
développement et de déploiement)
Infrastructure en tant que service (IaaS)
(machines virtuelles, stockage virtuel et
réseaux virtuels) Modèle multi-tenant
Le public peut accéder
Hyperviseur Moins sécurisé

Infrastructure physique

Cloud public

Types de services et modèles de déploiement dans le cloud

 Types de menaces de sécurité dans le cloud

Types généraux de menaces Types généraux de

menaces

IaaS
Menaces sur les données Niveaux de virtualisation et leurs menaces
Partage des responsabilités en matière de
sécurité
Menaces sur les applications
PaaS
Niveaux de virtualisation et leurs menaces
Menaces dans les APIs du cloud Partage des responsabilités en matière de
sécurité
Menaces liées au serveur et au réseau SaaS
Niveaux de virtualisation et leurs menaces
Partage des responsabilités en matière de
Menaces internes sécurité

Types de menaces de sécurité dans le cloud