L’expansion mondiale rapide exige la sécurité du cloud AWS à grande échelle

Fondée en 2010 et basée à Tel Aviv, Fiverr (NYSE : FVRR) est un vaste marché mondial en ligne de services indépendants. Sa plateforme permet aux travailleurs indépendants d’offrir des services aux clients du monde entier tout en aidant les entreprises à trouver les services dont elles ont besoin, en naviguant simplement dans un catalogue ou en effectuant une recherche.

La plateforme Fiverr a servi plus de 5,5 millions d’entreprises et a facilité plus de 50 millions de transactions. Compte tenu du nombre de personnes qui accèdent à la plateforme, il est essentiel de maintenir une infrastructure AWS sécurisée.

Shahar Maor, le RSSI chez Fiverr, savait que la sécurisation des environnements du cloud était une entreprise complexe

« J’ai été le premier professionnel de la sécurité à plein temps que Fiverr a embauché », explique Shahar Maor. « Bien que la sécurité ait déjà été profondément ancrée dans la culture de Fiverr. »

L’analyse initiale de l’infrastructure AWS qu’avait effectuée Maor révélait des possibilités d’attaques de vecteurs externes, de pirates informatiques, de bots malveillants et de virus. Mais il savait que les environnements cloud recelaient des recoins cachés.

« Les organisations présument souvent qu’il suffit de protéger le périmètre et l’infrastructure du cloud est souvent négligée », explique Maor. « Vous ne pensez peut-être pas au fait qu’une mauvaise configuration sur la plateforme elle-même pourrait être un problème. C’est une idée fausse de penser que si vous avez une infrastructure cloud-native, vous y voyez plus clairement. Il y a beaucoup de complications lors de la sécurisation des environnements cloud. »

Maor s’inquiétait des mots de passe faibles qu’employaient certains utilisateurs de la plateforme et de la possibilité que des logiciels malveillants soient exécutés sur les serveurs AWS. « Lorsque j’ai cartographié pour la première fois les risques liés à nos actifs de grande valeur, il était évident que nous avions des angles morts. De plus, je passais beaucoup trop de temps à surveiller manuellement les actifs, en particulier les compartiments AWS S3, pour m’assurer que rien n’était exposé. C’était très fastidieux. »

La solution idéale devait fournir une visibilité approfondie sur tous les actifs AWS

Maor a entrepris de trouver une solution de sécurité cloud AWS avec ces exigences à l’esprit. « Il nous fallait une solution qui pouvait fournir une visibilité complète sur notre environnement AWS tout en recherchant les logiciels malveillants, identifiant les mauvaises configurations et protégeant les PII. »

L’outil de sécurité cloud optimal serait une solution qui couvrirait tous les risques identifiés et qui fournirait des informations et une valeur exploitables au service informatique, aux DevOps et à l’ingénierie. Les objectifs et les exigences supplémentaires d’une solution de sécurité AWS étaient les suivants :

• Aucun agent à gérer
• Visibilité complète ; aucun actif négligé
• Rechercher et protéger les PII
• Contrôler l’état des serveurs
• Identifier les mots de passe faibles
• Trouver les mauvaises configurations
• Rechercher des « secrets » laissés dans le code existant
• Surveiller les actifs exposés, comme les compartiments S3
• Simplifier la conformité réglementaire, en particulier pour la PCI

« Il nous fallait une solution qui pouvait fournir une visibilité complète sur notre environnement AWS tout en recherchant les logiciels malveillants, identifiant les mauvaises configurations et protégeant les PII. »

Shahar Maor

RSSI

Source : fiverr.com/resources/guides/digital-marketing/how-to-promote-your-youtube-channel

Les outils natifs, les analyseurs existants et les approches basées sur des agents ne feraient pas l’affaire

Maor comprit que l’environnement cloud de Fiverr présentait des exigences uniques auxquelles de nombreux outils de sécurité cloud disponibles ne pouvaient pas répondre. « Des outils natifs tels qu’Amazon Inspector ou GuardDuty fournissent des fonctionnalités de base, mais ils ne corrèlent pas la logique avec les incidents ou ne comprennent pas le contexte complet de ce qui se passe. Vous devez toujours analyser les journaux et investir plus de temps pour donner un sens aux données. C’est mieux que rien, tout comme les outils open source, mais il n’y a pas de flux de travail pour fournir les résultats à vos équipes pour qu’elles agissent. »

Maor ajoutait que les analyseurs et les outils basés sur des agents sont très limités. « Certains outils commerciaux peuvent analyser un serveur pour détecter ses vulnérabilités, mais c’est tout. En bref, ces outils demandent plus de travail et ils nécessitent une expertise des domaines et des outils supplémentaires pour fonctionner efficacement. »

L’outil unique qui fait tout

Maor considère Orca Security comme un guichet unique pour réduire les risques qui se cachent au sein de l’infrastructure AWS de Fiverr. « Orca fournit une solution holistique pour atténuer les risques dans le centre de données de Fiverr. La méthode unique utilisée par Orca pour analyser AWS s’est avérée la plus appropriée pour nous, et elle a séduit notre équipe DevOps. De plus, nous avons maintenant un seul outil qui fait tout. »

Orca SideScanning™ élimine le besoin d’agents et n’affecte pas les performances

L’exécution des agents de sécurité sur des machines virtuelles individuelles nécessite une gestion et une administration continues. Au lieu d’utiliser cette approche, Orca fonctionne comme un service SaaS avec un accès en lecture seule au stockage de blocs d’exécution des charges de travail AWS, Azure ou GCP du client. Elle reconstruit les bits et les octets à partir de l’instantané pour produire une vue virtuelle et en lecture seule des systèmes d’exploitation, des applications et des données, puis les analyse pour détecter les vulnérabilités et les risques.

« La plateforme Orca est extrêmement légère et n’affecte le réseau d’aucune manière », explique Maor. « Vous obtenez une visibilité sans aucune interférence avec l’instance elle-même. Orca crée simplement une copie, la lit, analyse les résultats, puis les présente dans un tableau de bord pour que nous les examinions. »

« Orca Security envoie des alertes significatives et exploitables en temps réel pour attirer notre attention sur une menace. Si Orca découvre une nouvelle vulnérabilité, nous en sommes immédiatement informés. »

Shahar Maor

RSSI

Des alertes significatives et de haute valeur, sans le bruit

La technologie brevetée SideScanning™ d’Orca Security découvre automatiquement chaque actif dans l’environnement d’un client. Cela donne aux équipes de sécurité une visibilité immédiate sur les ressources compromises, les vulnérabilités, les logiciels malveillants et les mauvaises configurations. En combinant ces informations avec des métadonnées environnementales, Orca envoie des alertes dans le contexte afin de hiérarchiser efficacement les priorités.

« Orca envoie des alertes significatives et exploitables en temps réel pour attirer notre attention sur une menace, au lieu de créer des tonnes de journaux et des milliers d’alertes que personne ne lit ou n’a le temps d’examiner. Nous recevons des alertes Slack sur chaque découverte critique. Si Orca découvre une nouvelle vulnérabilité, nous en sommes immédiatement informés. »

Simplifier la conformité à la réglementation

De plus, Orca Security simplifie la conformité à la réglementation. « La PCI nous oblige à analyser notre environnement, et parce qu’il est sans serveur, cela présente des défis uniques. La solution d’Orca nous permet d’analyser à la fois les conteneurs EKS et ECS, offrant une bonne couverture pour la PCI. »

Visibilité complète, effort minimal

Peu après l’implémentation, Orca a découvert des vulnérabilités que l’équipe de Maor a pu résoudre. « Orca Security fournit des informations précieuses et la capacité d’étendre la posture de sécurité de Fiverr. Avant Orca, je n’avais aucune visibilité. Maintenant, je vois tout ce que j’ai besoin de voir. »

Pour Maor, cela confirmait qu’Orca Security répondait à tous ses besoins. « J’ai toujours Orca et un CASB implémentés sur le système, mais lors de ma prochaine actualisation, je supprimerai le CASB parce qu’il ne fournit aucune information », dit-il. « Je m’appuierai uniquement sur Orca pour surveiller l’environnement de production AWS, de bout en bout. »

Économiser des heures par semaine, pas besoin de compter sur DevOps

Maor passe maintenant deux fois moins de temps sur la sécurité du cloud. « Orca a éliminé des heures de travail chaque semaine en ce qui concerne les travaux de maintenance et d’administration de la sécurité du cloud. De plus, je n’ai pas besoin de compter sur DevOps pour m’aider. »

En prime, Maor peut compter sur l’équipe d’Orca Security pour obtenir des recommandations et des conseils d’experts. « L’équipe Orca apporte une vaste expérience et des connaissances pratiques en matière de sécurité, ainsi qu’une agilité et une flexibilité incroyables. Orca a déjà prouvé sa valeur et nous sommes ravis de nous développer avec elle en tant que notre principale plateforme de sécurité AWS. »