Audit de sécurité cloud
Dans le cloud, la plupart des incidents partent d’une mauvaise configuration.
Réponse courte
Audit cloud : de quoi s’agit-il, pour qui, à quel prix ?
Revue de configuration AWS, Azure ou GCP croisée avec des tests d’élévation de privilèges réels : identités, stockage, réseau, chaîne de déploiement. Public concerné : équipes passées au cloud sans revue de sécurité depuis la migration. Durée indicative : 2 à 12 jours. Prix d’entrée : à partir de 1 290 € HT. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Les compromissions cloud suivent rarement un scénario d’exploit spectaculaire. Elles suivent un chemin de privilèges : un rôle trop large, une clé qui traîne dans une variable d’environnement, une fonction qui peut s’attribuer des droits, un bucket ouvert au monde parce qu’un jour il fallait « juste tester ».
L’audit part donc de l’inventaire (comptes, identités, politiques, réseau, stockage, secrets), puis cherche les chemins d’escalade qui existent dans votre configuration, depuis les points d’entrée plausibles : un développeur compromis, une application vulnérable, un jeton CI/CD récupéré.
À la fin, vous recevez une poignée de chemins d’attaque documentés plutôt que 400 lignes de non-conformités CIS. Pour chacun, nous indiquons le maillon qui, une fois corrigé, casse la chaîne entière.
Un piège fréquent tient aux comptes dits de bac à sable ou de développement. Ils partagent souvent une fédération d’identités, un registre d’images ou un pipeline avec la production, ce qui fait d’un environnement jugé sans enjeu une porte d’entrée vers celui qui en a. Nous vérifions ces liens avant de décider qu’un environnement peut être écarté du périmètre.
En résumé
- Durée indicative
- 2 à 12 jours
- Prix
- à partir de 1 290 € HT
- Référentiels appliqués
- CIS BenchmarksANSSI, guides d’hygièneISO/IEC 27001MITRE ATT&CK Cloud
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Audit cloud : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Identités et permissions
Rôles et politiques trop larges, droits d’auto-élévation, comptes de service partagés, accès entre comptes, fédération d’identités.
Stockage et données
Buckets et volumes exposés, chiffrement au repos, politiques d’accès, instantanés et sauvegardes accessibles, rétention.
Réseau et exposition
Groupes de sécurité permissifs, services administratifs atteignables depuis Internet, points d’accès internes, segmentation effective.
Conteneurs et orchestration
RBAC Kubernetes, pods privilégiés, accès aux métadonnées de l’instance, secrets montés, admission et politiques réseau.
Chaîne de déploiement
Droits des exécuteurs CI/CD, secrets dans les variables de pipeline, confiance OIDC mal bornée, possibilité de déployer depuis une branche quelconque.
Journalisation et détection
Couverture des journaux d’audit, rétention, altérabilité, alertes branchées sur un destinataire humain.
Audit cloud : que livre la mission ?
- Cartographie des chemins d’élévation de privilèges trouvés
- Liste priorisée des correctifs, avec le maillon qui casse chaque chaîne
- Écarts par rapport aux référentiels CIS et aux guides ANSSI
- Correctifs sous forme d’infrastructure as code quand c’est applicable
- Revue de la couverture de journalisation et de détection
Qu’est-ce que cela change pour vous ?
- Les chemins qui mènent d’un accès banal à l’administration du compte, fermés
- Une configuration de référence réutilisable pour les prochains environnements
- Des éléments concrets pour un dossier de conformité
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Audit cloud : pour qui est-ce utile ?
- Équipes passées au cloud sans revue de sécurité depuis la migration
- Organisations multi-comptes avec dérive de configuration
- Plateformes Kubernetes en production
- Entreprises soumises à NIS 2, ISO 27001 ou à un audit client
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Audit cloud : combien de temps dure la mission ?
Durée indicative : 2 à 12 jours. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Le prix plancher affiché (1 290 € HT) est un point de départ : le devis fixe le prix pour votre périmètre.
Audit cloud : ce qu’on nous demande
Avez-vous besoin de droits administrateur sur notre cloud ?
Un rôle en lecture sur l’ensemble du périmètre audité suffit pour la revue de configuration (l’équivalent de `SecurityAudit` / `ReadOnlyAccess`). Les tests d’élévation de privilèges se font ensuite depuis des identités volontairement limitées, pour reproduire la position réelle d’un attaquant.
Gérez-vous les environnements multi-cloud ?
Oui, et c’est fréquent. L’audit traite alors chaque fournisseur avec son référentiel propre, puis s’intéresse spécifiquement aux ponts entre eux : fédération d’identités, chaînes de déploiement communes, secrets partagés. C’est souvent là que se trouvent les chemins les plus courts.
Un audit cloud remplace-t-il le rapport de notre outil de gestion de la posture cloud ?
Non, les deux répondent à des questions différentes. Un outil de gestion de la posture compare en continu votre configuration à une liste de règles et signale des écarts isolés ; il ne sait pas dire lesquels forment une chaîne exploitable. Il remonte aussi beaucoup d’alertes sur des ressources sans importance, et laisse passer des combinaisons de droits individuellement acceptables mais dangereuses ensemble. L’audit utilise vos résultats comme point de départ, puis vérifie par le test ce qui est atteignable. Nous vous disons quelles alertes de l’outil comptent, lesquelles peuvent être acceptées, et quelles règles personnalisées ajouter pour que la surveillance continue détecte ensuite les chemins que nous avons trouvés.
Auditez-vous aussi Microsoft 365 et Microsoft Entra ID ?
Oui, comme un audit d’identités et de configuration en lecture seule, avec la même méthode que pour AWS, Azure ou GCP. Nous examinons l’authentification multifacteur et ses exclusions, les politiques d’accès conditionnel, les rôles d’administration, les applications et leurs consentements, ainsi que les règles de messagerie et la journalisation. L’objectif est de trouver les enchaînements qui mènent d’un compte ordinaire aux droits d’administration, et non de recopier le score de sécurité de la console.
Pour comprendre avant de décider
- ArticleCombien coûte un test d’intrusion, et ce qui fait varier le prixCe qui fait varier le prix d’un test d’intrusion (périmètre, rôles, environnement, niveau de preuve) et les prix d’entrée publiés avec ce qu’ils couvrent.
- ArticleAudit de sécurité informatique : déroulé, livrables et prixCe qu’est un audit de sécurité informatique, les cinq étapes d’une mission, les livrables à exiger et ce qui fait varier le prix, avec les montants d’entrée de chaque type d’audit.
- ArticleSécurité Microsoft 365 et Entra ID : les points de contrôle prioritairesLes configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
Quelles prestations s’y associent ?
Pentest interne
Simuler ce qui se passe après l’ouverture de la première pièce jointe.
3 à 12 joursdès 2 400 €
Audit de code
Retrouver la ligne de code responsable et la raison pour laquelle elle a été écrite.
3 à 15 jours selon le volume de codedès 1 900 €
Durcissement
Après le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
de quelques jours à un accompagnement au trimestredès 990 €
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Audit cloud » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse