- : Le nouveau type de virtualisation qui
devient populaire dans nos réseaux est connu
sous le nom de virtualisation basée sur les conteneurs,
également connue sous le nom de conteneurisation.
Ce type de virtualisation est toutefois beaucoup plus
axé sur les serveurs que sur l'utilisateur final.
Avec ce type de virtualisation, le noyau
du système d'exploitation est partagé entre
plusieurs machines virtuelles, mais l'espace utilisateur de chaque
machine virtuelle est créé et géré de manière unique.
La conteneurisation est un type de virtualisation
appliqué par un système d'exploitation hôte afin de fournir
un environnement d'exécution isolé pour une application.
La conteneurisation est considérée comme relativement
sûre car elle applique la segmentation et la séparation
des ressources au niveau du système d'exploitation.
Aujourd'hui, la conteneurisation est couramment
utilisée avec les serveurs Linux et certains
exemples de cette virtualisation basée
sur les conteneurs incluent des choses comme Docker, Parallels Virtuozzo
et le projet OpenVZ.
Maintenant, à quoi ressemble réellement la conteneurisation ?
Il s'agit d'un matériel sur lequel
est installé un système d'exploitation hôte, généralement
Linux, ainsi qu'un gestionnaire de conteneurs.
Quelque chose comme Kubernetes ou Docker ou quelque chose comme ça.
Ce gestionnaire de conteneurs va être utilisé pour créer
différents conteneurs contenant différentes applications.
Dans ce cas, j'ai trois conteneurs.
J'ai le premier environnement, qui est basé
sur le noyau du système d'exploitation hôte, dans cet exemple,
un système Linux qui est utilisé.
Nous avons donc un conteneur qui fonctionne sous Linnux
et qui contient quelques applications.
Maintenant, le conteneur deux peut faire la même chose
et le conteneur trois peut faire la même chose.
Étant donné que les trois conteneurs partagent les mêmes
fichiers du système d'exploitation hôte.
Cela nécessite beaucoup moins de ressources
que la virtualisation pure à l'aide de machines virtuelles.
Comme dans le cas de la virtualisation.
Si nous utilisons plutôt des machines virtuelles individuelles, chacune d'entre
elles aura besoin de sa propre copie d'un système d'exploitation.
Et cela pourrait représenter 8 à 10 gigaoctets pour chacun d'entre eux.
Mais avec les conteneurs, nous
pouvons tous partager le même système d'exploitation.
La conteneurisation utilise donc beaucoup moins d'espace de
stockage et de puissance de traitement.
C'est là le véritable avantage de l'utilisation d'un outil tel qu'un
conteneur d'un point de vue opérationnel.
Maintenant, parce que ces conteneurs sont logiquement isolés.
Ils ne peuvent pas s'interfacer entre eux.
Si je veux que deux conteneurs se parlent, je dois les connecter
par l'intermédiaire d'un réseau virtuel et effectuer le routage
et la commutation appropriés pour leur
permettre de se parler.
Par défaut, ils n'ont aucun moyen de se parler et c'est
une excellente chose du point de vue de la sécurité
car nous avons cette segmentation.
Voici votre principal avertissement en ce qui concerne
les conteneurs.
Si un attaquant compromet le système d'exploitation hôte,
par exemple le système d'exploitation Linux
dont je viens de parler, devinez ce qui se passe ?
Cette attaque a désormais accès à tous les conteneurs dans
leurs données, car ce système d'exploitation est
utilisé par tous les conteneurs hébergés.
C'est l'une des plus grandes vulnérabilités lorsque
vous utilisez des conteneurs.
Je peux avoir un système de conteneurs qui fait tourner
50 serveurs différents en ce moment même.
Et chacun d'entre eux exécute différents serveurs
et services en utilisant la conteneurisation.
Mais si quelqu'un est capable d'accéder à ce serveur sous
le système d'exploitation Linux, il a désormais accès à l'ensemble
des 50 serveurs hébergés et à toutes leurs données.
Un autre risque à prendre en compte est la manière dont
vos conteneurs et autres machines virtuelles seront hébergés.
Lorsque nous commençons à nous appuyer sur la virtualisation et l'informatique
en nuage, il devient très important de reconnaître
que nos données peuvent être hébergées sur le même serveur physique que
les données d'une autre organisation.
Ce faisant, nous introduisons certaines vulnérabilités
dans la sécurité de nos systèmes.
Tout d'abord, si le serveur physique tombe en panne à cause d'une
action de l'une des autres organisations,
cela peut affecter
toutes les organisations sur ce même serveur.
De même, si une organisation n'assure pas la sécurité
de ses environnements virtuels, qui sont
hébergés sur ce serveur physique, il est possible
qu'un attaquant puisse utiliser cette situation au détriment
de toutes les autres organisations hébergées sur
ce même serveur.
Tout comme l'interconnexion de nos réseaux avec ceux de quelqu'un
d'autre pose des problèmes, l'hébergement des données
de plusieurs organisations sur le même serveur physique
en pose également.
Il est important pour nous de configurer, de gérer et d'auditer
correctement l'accès des utilisateurs aux machines
virtuelles hébergées sur ces serveurs.
Nous voulons également nous assurer que nos machines virtuelles
disposent des derniers correctifs, de l'antivirus, de l'animwire
et du contrôle d'accès.
Afin de minimiser le risque de voir
les ressources des serveurs physiques débordées, c'est toujours
une bonne idée de configurer nos machines virtuelles avec
un basculement, une redondance et une élasticité appropriés.
En surveillant les performances du
réseau et les ressources des serveurs physiques,
nous devrions être en mesure d'équilibrer la
charge entre plusieurs machines physiques au lieu
de dépendre d'une seule.
Une autre vulnérabilité susceptible d'être
exploitée par un pirate est l'utilisation du
même type d'hyperviseur pour toutes nos machines virtuelles.
Par exemple, si notre organisation s'appuie uniquement
sur l'hyperviseur ESXi de VMware et qu'un nouvel
exploit est créé pour cet hyperviseur, un pirate
pourrait l'utiliser contre tous nos systèmes.
Par conséquent, si l'opération réussit sur l'un de nos serveurs,
il est probable qu'elle sera tentée sur les autres serveurs.
Et si tous nos serveurs utilisent la même plateforme,
en l'occurrence ESXi de VMware, cette vulnérabilité pourrait être
exploitée dans l'ensemble de notre organisation.
Le problème est que si nous utilisons plusieurs
plates-formes d'hyperviseurs, nos coûts d'assistance
et nos besoins de formation vont également
augmenter.
Pour cette raison, la plupart des organisations choisissent d'utiliser
une plateforme unique, mais elles prennent au moins une décision
mesurée en termes de risques.
Pour réduire ce risque, l'organisation doit utiliser des
configurations appropriées, s'assurer que l'hyperviseur
reste toujours patché et à jour et qu'il n'est
accessible qu'à travers une interface de gestion sécurisée, ainsi
que contrôler étroitement le contrôle d'accès.
Ce sont là quelques-uns des éléments que vous devez prendre
en compte lorsque vous commencez à réfléchir à la possibilité
de virtualiser vos systèmes et de les migrer vers une solution
sur site ou dans le nuage.
Tout d'abord, allez-vous virtualiser ?
Dans ce cas, allez-vous utiliser des machines virtuelles traditionnelles
ou allez-vous recourir à la conteneurisation ?
Quel est le rapport risque/récompense dans ce cas ?
Il faut trouver un équilibre.
Il s'agit d'une décision
commerciale et d'une décision de cybersécurité.
Vous allez donc devoir mesurer ces éléments
et décider ce qui convient le mieux à votre organisation et à ses
cas d'utilisation particuliers.