Technologie : Le système de rappel de projet sans surveillance de Google permet d’identifier et d’éliminer les projets en cloud laissés sans surveillance qui pourraient devenir un risque pour la sécurité.
La fonction de rappel des projets sans surveillance de Google est passée en avant-première publique et vise à améliorer l’utilisation du cloud et à résoudre les problèmes de sécurité causés par l’oubli de vieux projets d’informatique en cloud qui ne devraient plus exister.
Le programme « Unattended Project Reminder », qui fait partie de l’Active Assist de Google Cloud, pourrait être utile pour réduire les risques de sécurité en repérant ces anciennes initiatives, comme un projet de prototypage, qui ne nécessitent plus d’accès au réseau, de ressources en cloud ou d’API prises en charge.
Google a développé cette fonctionnalité jusqu’à cette année dans le cadre d’un prototype visant à nettoyer les projets internes qui n’étaient pas surveillés. Selon Google Cloud, l’équipe de sécurité interne de Google s’intéressait depuis un certain temps au problème des projets sans surveillance. Les deux unités ont donc commencé à rechercher les projets de cloud computing non surveillés au sein de l’organisation « google.com« .
Réduire la facture du cloud à la clé ?
Bien qu’il s’agisse d’une bonne idée, Google a rencontré des problèmes de détection car il était difficile d’utiliser des signaux – tels que l’activité des API, du réseau et des utilisateurs – pour faire la différence entre un projet réellement non surveillé et un projet dont le niveau d’activité est intentionnellement faible.
Les risques ici comprennent l’identification correcte des projets non surveillés et la suppression accidentelle d’un composant essentiel à une charge de travail de production, provoquant ainsi par inadvertance une perte de données permanente. Mais les avantages comprennent la réduction des factures de cloud pour les ressources inutiles et la réduction des problèmes de configuration, tels que les pare-feu ouverts ou les clés de compte de service privilégiés que les attaquants peuvent exploiter pour mettre la main sur vos ressources de cloud pour le minage de cryptomonnaie ou pour voler des données.
« Ces risques de sécurité ont tendance à croître avec le temps, car les dernières bonnes pratiques et les derniers correctifs ne sont généralement pas appliqués aux projets non surveillés », a déclaré Googe.
Pour résoudre ces problèmes, l’entreprise a travaillé avec des clients en utilisant des données réelles pour trouver des milliers de projets non surveillés. Les principaux signaux utilisés par Unattended Project Reminder comprennent l’activité API, l’activité réseau, l’activité de facturation, l’activité des utilisateurs et l’utilisation des services en cloud (comme les VM actives, les tâches BigQuery et les demandes de stockage).
Les projets sont classés par niveau d’utilisation
« Sur la base de ces signaux, il peut générer des recommandations pour nettoyer les projets qui ont une faible activité d’utilisation (où « faible utilisation » est définie à l’aide d’un modèle de machine learning qui classe les projets de votre organisation par niveau d’utilisation), ou des recommandations pour récupérer les projets qui ont une forte activité d’utilisation mais aucun propriétaire de projet actif », expliquent les chefs de produit Google Cloud, Dima Melnyk et Bakh Inamov.
Les informations et les recommandations peuvent être envoyées automatiquement par courrier électronique ou par chat aux chefs de projet. Les administrateurs disposent d’une option de récupération pour les projets supprimés accidentellement : la période de récupération est de 30 jours. Toutefois, Google note que certaines ressources, telles que les ressources de stockage dans le cloud, sont supprimées avant la fin de la période de 30 jours et peuvent ne pas être entièrement récupérables.
Le spécialiste de la vente d’articles de sport Decathlon a utilisé cette fonctionnalité pour supprimer 775 projets. « Et personne ne s’est plaint », a déclaré Adeline Villette, responsable de la sécurité du cloud de Decathlon.
La société Veolia et la société américaine de stockage de fichiers Box ont également testé cette technologie pour réduire le nombre de projets non surveillés qu’elles prenaient respectivement en charge.
Source : ZDNet.com
