Exploring Security Practices in Infrastructure as Code: An Empirical Study

L’infonuagique est populaire en partie parce que les outils d’Infrastructure as Code (IaC) permettent d’utiliser des scripts facilitant la gestion et configuration d’infrastructures dans le cloud. Cependant, rien dans le processus de création de scripts n’empêche automatiquement les ingénieurs ou les développeurs d’appliquer des configurations erronées, introduisant des vulnérabilités ou des risques pour la sécurité et le respect de la vie privée. La sécurité dépend de leur compréhension et de l’application de politiques, de directives ou de bonnes pratiques explicites. Ce mémoire analyse la mise en oeuvre réelle, par les ingénieurs et les développeurs, des bonnes pratiques en matière de sécurité dans les scripts IaC. Nous avons collecté 121 extraits de configuration Terraform pour AWS et les avons analysés afin de catégoriser les bonnes pratiques. Ensuite, nous avons mené une étude empirique sur 401 projets GitHub impliquant des infrastructures AWS décrites via Terraform, afin d’étudier l’adoption des bonnes pratiques dans de véritables projets. Les résultats montrent qu’un manque de chiffrement et un manque de l’utilisation de log et de surveillance des ressources sont les défauts de configuration les plus fréquents dans les fichiers Terraform pour AWS. En revanche, les failles admin par default (c’est-à-dire l’octroi par défaut de privilèges administrateurs à tous les utilisateurs) ainsi que les secrets en clair sont rares. Pour déterminer si les résultats obtenus dans la première expérience sont universels et applicables à d’autres fournisseurs populaires de cloud public, nous avons étendu notre étude à Azure (84 politiques de sécurité, 137 projets) et Google Cloud (82 politiques, 274 projets). La comparaison de l’adoption des bonnes pratiques entre les fournisseurs généralise les résultats en matière de Politiques d’accès et l’absence de Secrets en clair, tout en soulignant l’impact des choix de conception des services cloud sur l’adoption des pratiques de sécurité par le biais des configurations par défaut. Enfin, une deuxième expérience a permis d’explorer les corrélations potentielles entre les mesures de popularité des projets et l’adoption des bonnes pratiques de sécurité. Grâce à une analyse statistique, une corrélation a pû être trouvée entre le nombre d’étoiles d’un projet GitHub et l’adoption des pratiques dans son infrastructure cloud, mais pas nécessairement par le biais des forks et/ou du nombre de contributeurs. Sur la base de notre étude, nous proposons des lignes directrices aux praticiens de l’infonuagique afin de limiter la vulnérabilité des infrastructures.