Le récent ver npm Shai-Hulud montre à quelle vitesse une compromission initiale peut se propager lorsque les secrets sont mal gérés. Après s'être infiltré, le logiciel malveillant a utilisé des outils tels que TruffleHog pour récolter des jetons et des identifiants codés en dur, puis a remonté latéralement à travers les paquets, les pipelines et les comptes cloud. Cela nous rappelle de manière vive que sans politiques strictes, la gestion décentralisée des secrets augmente la portée des attaques.
Grâce à son travail pratique auprès des clients, notre équipe de services de sécurité a identifié quatre pratiques qui exposent le plus les organisations à des risques :
- Accès partagé entre les équipes : un secret ou un compte réutilisé pour plusieurs charges de travail.
- Définitions inadéquates des espaces de noms Kubernetes : mélange des environnements de développement, de test et de production sans limites claires.
- Pipelines sous une seule identité : tâches Jenkins ou Ansible exécutées avec des privilèges illimités.
- Un seul compte ou une seule plateforme cloud pour tout : concentration des risques dans un seul plan d'identité.
Pour chacun de ces points, notre équipe de services de sécurité partage des exemples concrets illustrant comment les attaquants exploitent ces pratiques, ainsi que les solutions à l'épreuve du terrain adoptées par les grandes entreprises pour y remédier. Vous comprendrez pourquoi le véritable risque ne réside pas seulement dans le secret, mais aussi dans l'identité qui se cache derrière, et comment la centralisation de la gestion des secrets réduit l'ampleur des dégâts, améliore la visibilité et permet une évolutivité sécurisée sans perturber le travail des développeurs.
Vous apprendrez :
- Comment de mauvaises pratiques en matière de secrets permettent les mouvements latéraux et l'escalade des failles.
- Quatre pièges réels que nous observons dans les environnements de nos clients, ainsi que des moyens éprouvés pour les corriger.
- Comment la centralisation renforce la gouvernance, la préparation aux audits et la résilience.
Intervenants :
John Walsh, Senior Product Marketing Manager, CyberArk
Nathan Whipple, Senior Manager, Security Services, DevSecOps, CyberArk
Benjamin Dorn, Senior Security Consultant, DevSecOps, CyberArk
