Les professionnels DevOps expriment leur inquiétude quant à la sécurité des environnements de conteneurs

Écoutez cette histoire

Alors que la popularité des conceptions de conteneurs et des microservices s’accélère, la gestion automatisée et proactive sécurité et conformité s’avère être une tâche particulièrement difficile pour les intervenants. C’est l’une des principales conclusions que l’on peut tirer de NeuVecteura récemment mené une enquête sur la sécurité des conteneurs de l’UE en 2021.

NeuVector, une société de sécurité des conteneurs basée dans la Silicon Valley, a interrogé plus de 1 200 spécialistes DevOps d’entreprise à KubeCon UE 2021. Plus de 89 % des personnes interrogées qui ont répondu à l’enquête ont déclaré avoir mis en place des déploiements de conteneurs ou prévu de le faire au cours des 6 à 12 prochains mois.

Kubernetes, Red Hat OpenShift et Rancher sont les plateformes d’orchestration les plus populaires parmi les personnes interrogées. Le plus plateformes cloud populaires parmi les répondants étaient AWS EC2, AWS EKS et AWS Fargate, avec AWS EC2, AWS EKS et AWS Fargate arrivant respectivement en premier, deuxième et troisième.

Cependant, alors que la sécurité des conteneurs et de Kubernetes a été identifiée comme un problème majeur, de nombreux répondants ont également déclaré que leurs outils et procédures de sécurité actuels ne sont pas adaptés pour répondre aux besoins de sécurité continus (et toujours croissants).

Les faits saillants de l’enquête de l’UE sur la sécurité des conteneurs 2021 comprennent :

• La sécurité d’exécution de Kubernetes est une préoccupation croissante – Près des trois quarts des personnes interrogées étaient préoccupées par la sécurité de leur environnement d’exécution Kubernetes, y compris le danger d’attaques réseau, d’attaques de l’homme du milieu et de cryptomining. Alors que 64 % des personnes interrogées affirment avoir un aperçu des données sensibles accessibles par leurs installations Kubernetes, Kubernetes cache certaines de ces données derrière une couche d’abstraction. De nombreux intervenants qui revendiquent cette visibilité, en réalité, ne sont probablement pas au courant de l’accès au serveur de l’API Kubernetes, de la communication de pod à pod, de l’état du cryptage de la connexion et d’autres sujets de préoccupation. De nombreuses entreprises sont probablement moins sécurisées qu’elles ne le pensent, selon les résultats de l’enquête, qui ont révélé une incertitude quant aux outils d’évaluation de la vulnérabilité et aux autres fournisseur de cloud ou les garanties des fournisseurs dont disposent les répondants.
• Une dépendance excessive aux politiques de sécurité intégrées de Kubernetes est inquiétante – Pour protéger leurs déploiements Kubernetes, 72 % des personnes interrogées utilisent Kubernetes Network Policy (KNP) et/ou Pod Security Policy (PSP). Bien que ces réglementations intégrées offrent une sécurité de base, elles sont insuffisantes pour protéger adéquatement les entreprises contre les menaces. Cela est particulièrement vrai avec la PSP, qui a été progressivement supprimée en juin 2021. Les organisations ont besoin de capacités de sécurité natives Kubernetes plus granulaires et automatisées pour fournir des protections Kubernetes totalement fiables.
• Les organisations qui utilisent Kubernetes sur plusieurs clouds doivent prendre en compte les implications de sécurité – La majorité des répondants (70 %) prévoient ou ont déjà fait évoluer leurs charges de travail Kubernetes sur différents clouds. Ces déploiements multi-cloud augmentent le défi du maintien de la sécurité sur les plates-formes et les politiques sur plusieurs clusters, ce qui soulève les problèmes de sécurité d’une organisation. Ces entreprises auraient besoin d’une approche de sécurité native de Kubernetes capable de déployer une sécurité automatisée tout en prenant en charge chaque cloud et plate-forme utilisés.
• L’adoption des outils de conformité est à la traîne mais reste essentielle – Seuls 20 % des personnes interrogées ont mis en place une solution de conformité pour leurs systèmes de conteneurs et Kubernetes. Les entreprises soumises à des lois telles que PCI-DSS, SOC-2, GDPR et d’autres nécessitent des capacités automatisées d’analyse de conformité et de création de rapports dans leurs paramètres de production, et ce secteur en particulier est un axe de développement.

« La plupart des personnes interrogées expriment leur inquiétude quant à la sécurité de leurs environnements de conteneurs, et en particulier de leurs déploiements Kubernetes en production », a déclaré Glen Kosaka, vice-président de la gestion des produits, NeuVecteur. « Mais il est clair que l’inquiétude doit se transformer en action. Beaucoup surestiment probablement les capacités de leurs processus actuels de sécurité et de conformité des conteneurs – et comme les gros titres continuent de le montrer, les environnements de conteneurs sont une cible de plus en plus invitante pour les attaques. Nous sommes impatients d’aider les organisations à mieux comprendre à la fois leurs véritables exigences en matière de sécurité et les capacités de sécurité fiables disponibles pour protéger pleinement leurs environnements. Atteindre la sécurité des conteneurs de bout en bout et maintenir la vitesse et l’agilité du développement des applications n’est pas une décision que les entreprises devraient avoir à prendre.