Comment AWS sécurise ses infrastructures avec Sonaris

Chaque année, pour protéger ses clients contre des milliers de tentatives malveillantes d'accès à ses ressources, AWS analyse son infrastructure de cloud public avec un outil de détection des menaces à l'échelle mondiale. L'existence de ce dernier, baptisé Sonaris, a été révélée la semaine dernière par l’hyperscaler lors de l’évènement AWS re:Inforce consacré à la sécurité. Utilisé depuis quelques années, ce détecteur a, entre mai 2023 et avril 2024, bloqué plus de 24 milliards de tentatives de scan de données des clients stockées dans Amazon Simple Storage Service (Amazon S3) et près de 2,6 trillions de tentatives de découverte de services vulnérables exécutés sur les serveurs virtuels des clients dans Amazon Elastic Compute Cloud (EC2).

Sonaris est un nom emprunté semble-t-il à la série télévisée en 40 épisodes « Halt and Catch Fire », qui mettait en scène un outil d'exploration des réseaux informatiques portant le même nom. « Cette fonctionnalité interne développée par AWS est capable de détecter et de neutraliser certaines tentatives non autorisées et potentiellement abusives d'accès aux ressources AWS », a expliqué Chris Betz, responsable de la sécurité des informations de l'entreprise. « L'infrastructure d'AWS agit comme un capteur, offrant une vision large et profonde des menaces potentielles. La capacité permet à AWS de répondre rapidement et efficacement aux tentatives malveillantes, protégeant ainsi ses clients et renforçant la sécurité globale de l'Internet », a-t-il ajouté.

Une TDR de luxe ?

Si l'ampleur des capacités revendiquées par Sonaris pour défendre les ressources critiques des entreprises dans l'infrastructure AWS est stupéfiante, il est difficile de voir en quoi l’outil diffère des solutions classiques de détection et de réponse aux menaces (Threat Detection and Response, TDR) comme CWPP, NDR et EDR, en particulier en raison de son mode de fonctionnement. Selon M. Betz, la fonction première de Sonaris est de traiter les logs de service afin de détecter les menaces et de publier des recommandations d'atténuation contextualisées à des fins d'alerte et de réponse. C’est une approche de routine sur laquelle fonctionnent la plupart des scanners de menaces. Alors, qu’est-ce qui rend Sonaris aussi efficace ? David Vance, analyste principal chez ESG Global, propose une explication fondée sur MadPot, le réseau de pots de miel qu'AWS a intégré au système. « Sonaris exploite beaucoup de renseignements sur les menaces recueillis à partir de MadPot, le framework de capteurs de menaces d'AWS, ce qui explique peut-être pourquoi c’est un outil de première ligne efficace pour défendre AWS contre de nombreux types d'attaques », a-t-il avancé.

C'est logique si l'on considère les renseignements de première main sur les menaces qu'AWS récolte à partir de sa vaste infrastructure et la façon dont ces renseignements, associés à une télémétrie externe, peuvent contribuer à la capacité de Sonaris à détecter les tentatives d'accès non autorisées. « Une fois le trafic non autorisé détecté, Sonaris se connecte aux services AWS comme Amazon GuardDuty, AWS WAF et AWS Shield pour bloquer automatiquement et de manière préventive les accès malveillants aux ressources et aux données des clients hébergées sur AWS », a ajouté M. Vance, qui insiste aussi sur la nécessité pour AWS de disposer d'une capacité complète. « Sonaris peut également détecter et alerter si des utilisateurs non autorisés accèdent à des comptes clients en utilisant des clés d'accès IAM compromises. »

Une nouvelle source de revenus ?

Malgré son fort potentiel commercial, il est intéressant de noter que Sonaris n'a pas encore été proposé au public. Selon M. Betz, AWS n'a pas l'intention de transformer Sonaris en offre commerciale. « C’est une capacité unique qui utilise l'infrastructure d'AWS à grande échelle pour identifier les attaques et les attaquants, et qui alimente de manière transparente nos produits », a déclaré M. Betz. « Nous ne vendons pas Sonaris, mais nous l'utilisons pour protéger nos clients ». À propos de la réticence du fournisseur à proposer ce service sur abonnement, M. Vance d'ESG a déclaré : « AWS pourrait facturer l’usage de Sonaris, mais je pense qu’en dévoilant Sonaris, AWS a voulu la faire valoir comme capacité de sécurité inclusive plutôt que comme une offre supplémentaire payante, parce qu'AWS estime que ce niveau de sécurité devrait être considéré comme « un atout » par ses clients. De plus, en fournissant Sonaris gratuitement, AWS bénéficie d'un avantage tarifaire par rapport à ses concurrents ».

Alors que les géants du cloud, rivaux d’AWS, comme GCP et Microsoft Azure, proposent des offres commerciales équivalentes, à savoir Google Cloud Armour et Azure DDoS protection, Sonaris d'AWS est strictement interne, pour le moment du moins, et destiné uniquement à la protection globale des charges de travail hébergées par AWS. « Selon nous, il est important de discuter de cette capacité maintenant, d'autant plus que le paysage des menaces continue d'évoluer et de se complexifier, afin d'aider nos clients à mieux comprendre les mesures que nous prenons pour nous protéger contre les menaces malveillantes », a ajouté M. Betz à propos du dévoilement de Sonaris aujourd’hui. « En outre, la collaboration et la communication au sein de l'industrie sont essentielles pour créer des principes de sécurité plus solides pour toutes les parties prenantes et pour lutter contre l'anonymat des attaquants. »

Si les chiffres communiqués par AWS se vérifient, l'outil jouera certainement un rôle essentiel dans le renforcement de l'infrastructure de sécurité du fournisseur. Même si AWS a refusé de dire précisément depuis quand Sonaris était opérationnel, il est important de noter que le leader du cloud continue de faire face à des attaques de grande ampleur, dont certaines ont eu lieu pendant la période où Sonaris était censé fonctionner à plein régime. « Sonaris utilise un tas de capteurs et de renseignements sur les menaces pour dénombrer les ressources AWS, dont les modèles sont différents de ceux de l'activité normale », a indiqué M. Betz. « Nous expérimentons en permanence de nouveaux modèles pour mieux protéger les clients d'AWS ».