Discussion:Sécurité des infrastructures du cloud

message: Bonjour, je suis Aurélia, l'une des relectrice de votre sujet. Je tiens tout d'abord à vous féliciter pour votre travail, nous sommes bien conscients de l'effort que vous avez dû fournir. Ainsi, je me permets de vous faire une nouvelle formulation pour votre plan, ainsi que certaines remarques sur votre sujet, en suivant les sections de votre plan. --Aurélia Catrice
: Bonjour, Merci pour votre relecture, je vais commencer à prendre en considération vos retours à partir du Lundi 03 Février. Par contre, pensez à ajouter votre signature à la fin de vos différentes remarques. --David De Macedo (discuter) 1 février 2020 à 11:32 (CET)
replies: text: Votre autre collègue relecteur à fait aussi une proposition de reformulation, je vais tacher de modifier en prenant compte de vos différentes remarques. --David De Macedo (discuter) 5 février 2020 à 15:42 (CET)

text: J'ai justement fait une référence vers une source qui explique très bien les notions de cloud privé, hybride, etc...Concernant la suspicion de délit d'initié, quelques sites Internet en parle, Effectivement, ce serait mieux d'ajouter une référence, je vais tacher d'en ajouter une. --David De Macedo (discuter) 5 février 2020 à 15:16 (CET)
replies: text:  J'ai ajouté 3 références concernant le délit d'initié. --David De Macedo (discuter) 5 février 2020 à 17:12 (CET)

text: On peut trouver plus d'info sur les sources bibliographique que j'indique en référence pour ce sujet. Il y en a 2 qui indiquent plus ou moins la même chose et qui traite des sujet spécifique à la sécurité sur le cloud. --David De Macedo (discuter) 5 février 2020 à 15:22 (CET)

text: Effectivement, ça me semble mieux. Je modifie dans ce sens. --David De Macedo (discuter) 5 février 2020 à 15:25 (CET)

text: En faite, ce paragraphe est une introduction à ce qui suit. Les sections suivantes traitent des différents contrôles un peu plus dans le détail. --David De Macedo (discuter) 5 février 2020 à 15:25 (CET)
replies: text:  Je suis tout à fait d'accord, je me suis peut être mal exprimée (j'aurais dû citer dans la partie Contrôles de sécurité des clouds). J'ai un peu de mal à voir la spécificité de certaines mesures pour le cloud. Par exemple concernant les tests d'intrusion et les audits, j'ai peur que cela reste très général à la sécurité. De plus vous faites une classification des contrôles, mais si vous pouvez apporter des exemples de tests pour les infrastructures cloud, cela permettrait de mieux axer cette section.  --Aurélia Catrice 8 février 2020 à 21:42 (CET)

text: Je ne connais pas trop, je vais creuser le sujet. --David De Macedo (discuter) 5 février 2020 à 15:25 (CET)

text: J'indique 2 références sur ce sujet. Si le lecteur est intéressé par ces sujet, il peut aller voir ce qui est indiqué dans les sources ou bien allé voir les lien wikipédia que j'indique plus bas. --David De Macedo (discuter) 5 février 2020 à 17:27 (CET)

text: sauf erreur de ma part, j'ai fais un lien pour renvoyer vers la page wiki du load balancer, je penses pas qu'il soit nécessaire d'en parler. Concernant la remarque : "il  ne me semble pas que le répartiteur de charge soit centré sur le cloud", je site la source qui indique cette information, précisément en page 125. --David De Macedo (discuter) 5 février 2020 à 15:35 (CET)
replies: text:  Les répartiteurs de charge sont également utilisés pour des infrastructures virtualisées et même physiques. De plus cela permet d'assurer un aspect de la sécurité (plus particulièrement la disponibilité) et j'ai l'impression qu'il en va de même pour les contrôleurs de livraison d'applications. Voilà pourquoi je pense qu'il faudrait tout de même modifier la phrase. --Aurélia Catrice 8 février 2020 à 22:09 (CET)

text: Oui, il est indiqué dans la source qu'il faut verrouiller les commandes & ports la stack LAMP utilisée dans le cloud. --David De Macedo (discuter) 5 février 2020 à 15:39 (CET)
replies: text:  D'accord, merci pour cette précision --Aurélia Catrice 8 février 2020 à 22:13 (CET)
thread_title:  Relecture 

message: • 1 Problèmes de sécurité
        ◦ 1.1 Contexte 
        ◦ 1.2 Menaces communes
    • 2 Préoccupations
        ◦ 2.1 Sécurité de l'information 
            ▪ 2.1.1 Vie privée et Confidentialité 
            ▪ 2.1.2 Intégrité 
            ▪ 2.1.3 Disponibilité 
        ◦ 2.2 Contrôles de sécurité 
            ▪ 2.2.1 Monitoring et Journalisation 
            ▪ 2.2.2 Tests de vulnérabilité et d'intrusion 
            ▪ 2.2.3 Contrôle d'accès 
            ▪ 2.2.4 Audit 
        ◦ 2.3 Compromis de sécurité 
    • 3 Sécurisation
        ◦ 3.1 Physique
        ◦ 3.2 Réseaux 
        ◦ 3.3 Stockage 
        ◦ 3.4 Virtualisation
        ◦ 3.5 Applications 
        ◦ 3.6 Données 
            ▪ 3.6.1 Risques courants
            ▪ 3.6.2 Techniques Cryptographiques
    • 4 Références
: Votre autre collègue relecteur à fait aussi une proposition de reformulation, je vais tacher de modifier en prenant compte de vos différentes remarques. --David De Macedo (discuter) 5 février 2020 à 15:42 (CET)
thread_title:  Proposition de reformulation pour le plan 

message: ==== Contexte ====
Il serait intéressant de revenir plus en détail sur les notions de cloud privé/public/hybride car il s'agit quand même de notions importantes.
Egalement si possible, renseigner l'article présentant le délit d'initié. --Aurélia Catrice
: J'ai justement fait une référence vers une source qui explique très bien les notions de cloud privé, hybride, etc...Concernant la suspicion de délit d'initié, quelques sites Internet en parle, Effectivement, ce serait mieux d'ajouter une référence, je vais tacher d'en ajouter une. --David De Macedo (discuter) 5 février 2020 à 15:16 (CET)
replies: text:  J'ai ajouté 3 références concernant le délit d'initié. --David De Macedo (discuter) 5 février 2020 à 17:12 (CET)

text: On peut trouver plus d'info sur les sources bibliographique que j'indique en référence pour ce sujet. Il y en a 2 qui indiquent plus ou moins la même chose et qui traite des sujet spécifique à la sécurité sur le cloud. --David De Macedo (discuter) 5 février 2020 à 15:22 (CET)
thread_title:  Problèmes de sécurité dans les Infrastructures Cloud 

message: Il serait intéressant de revenir plus en détail sur les notions de cloud privé/public/hybride car il s'agit quand même de notions importantes.
Egalement si possible, renseigner l'article présentant le délit d'initié. --Aurélia Catrice
: J'ai justement fait une référence vers une source qui explique très bien les notions de cloud privé, hybride, etc...Concernant la suspicion de délit d'initié, quelques sites Internet en parle, Effectivement, ce serait mieux d'ajouter une référence, je vais tacher d'en ajouter une. --David De Macedo (discuter) 5 février 2020 à 15:16 (CET)
replies: text:  J'ai ajouté 3 références concernant le délit d'initié. --David De Macedo (discuter) 5 février 2020 à 17:12 (CET)
thread_title:  Contexte 

message: Ce serait plus parlant si vous pouviez trouver un exemple pour chacune des attaques que vous listez, ou au moins dire en quoi elles sont communes dans le contexte du cloud. Essayez de toujours faire le lien avec votre sujet, ne restez pas général sur la sécurité informatique. --Aurélia Catrice
: On peut trouver plus d'info sur les sources bibliographique que j'indique en référence pour ce sujet. Il y en a 2 qui indiquent plus ou moins la même chose et qui traite des sujet spécifique à la sécurité sur le cloud. --David De Macedo (discuter) 5 février 2020 à 15:22 (CET)
thread_title:  Menaces les plus communes sur les Infrastructures Cloud 

message: "sur un équipement qui n'appartient pas à l'entreprise à qui appartiennent les données"
Peut-être reformuler la phrase comme ceci: 
"sur un équipement qui n'appartient pas à l'entreprise possédant les données" --Aurélia Catrice
: Effectivement, ça me semble mieux. Je modifie dans ce sens. --David De Macedo (discuter) 5 février 2020 à 15:25 (CET)
replies: text: En faite, ce paragraphe est une introduction à ce qui suit. Les sections suivantes traitent des différents contrôles un peu plus dans le détail. --David De Macedo (discuter) 5 février 2020 à 15:25 (CET)
replies: text:  Je suis tout à fait d'accord, je me suis peut être mal exprimée (j'aurais dû citer dans la partie Contrôles de sécurité des clouds). J'ai un peu de mal à voir la spécificité de certaines mesures pour le cloud. Par exemple concernant les tests d'intrusion et les audits, j'ai peur que cela reste très général à la sécurité. De plus vous faites une classification des contrôles, mais si vous pouvez apporter des exemples de tests pour les infrastructures cloud, cela permettrait de mieux axer cette section.  --Aurélia Catrice 8 février 2020 à 21:42 (CET)

text: Je ne connais pas trop, je vais creuser le sujet. --David De Macedo (discuter) 5 février 2020 à 15:25 (CET)
thread_title:  Préoccupations en matière de sécurité 

message: ==== Contrôle d'accès ====
"Les contrôles d'accès sont généralement décrits comme discrétionnaires ou non discrétionnaires" Pouvez-vous détaillez pourquoi? --Aurélia Catrice
: J'indique 2 références sur ce sujet. Si le lecteur est intéressé par ces sujet, il peut aller voir ce qui est indiqué dans les sources ou bien allé voir les lien wikipédia que j'indique plus bas. --David De Macedo (discuter) 5 février 2020 à 17:27 (CET)
thread_title:  Contrôles de sécurité des clouds 

message: "Les contrôles d'accès sont généralement décrits comme discrétionnaires ou non discrétionnaires" Pouvez-vous détaillez pourquoi? --Aurélia Catrice
: J'indique 2 références sur ce sujet. Si le lecteur est intéressé par ces sujet, il peut aller voir ce qui est indiqué dans les sources ou bien allé voir les lien wikipédia que j'indique plus bas. --David De Macedo (discuter) 5 février 2020 à 17:27 (CET)
thread_title:  Contrôle d'accès 

message: ==== Au niveau du réseau ====
Expliquer à quoi sert un load-balancer (en français répartiteur de charge) (début de réponse: la redondance). Egalement, il  ne me semble pas que le répartiteur de charge soit centré sur le cloud. --Aurélia Catrice
: sauf erreur de ma part, j'ai fais un lien pour renvoyer vers la page wiki du load balancer, je penses pas qu'il soit nécessaire d'en parler. Concernant la remarque : "il  ne me semble pas que le répartiteur de charge soit centré sur le cloud", je site la source qui indique cette information, précisément en page 125. --David De Macedo (discuter) 5 février 2020 à 15:35 (CET)
replies: text:  Les répartiteurs de charge sont également utilisés pour des infrastructures virtualisées et même physiques. De plus cela permet d'assurer un aspect de la sécurité (plus particulièrement la disponibilité) et j'ai l'impression qu'il en va de même pour les contrôleurs de livraison d'applications. Voilà pourquoi je pense qu'il faudrait tout de même modifier la phrase. --Aurélia Catrice 8 février 2020 à 22:09 (CET)

text: Oui, il est indiqué dans la source qu'il faut verrouiller les commandes & ports la stack LAMP utilisée dans le cloud. --David De Macedo (discuter) 5 février 2020 à 15:39 (CET)
replies: text:  D'accord, merci pour cette précision --Aurélia Catrice 8 février 2020 à 22:13 (CET)
thread_title:  Sécurisation infrastructures cloud 

message: Expliquer à quoi sert un load-balancer (en français répartiteur de charge) (début de réponse: la redondance). Egalement, il  ne me semble pas que le répartiteur de charge soit centré sur le cloud. --Aurélia Catrice
: sauf erreur de ma part, j'ai fais un lien pour renvoyer vers la page wiki du load balancer, je penses pas qu'il soit nécessaire d'en parler. Concernant la remarque : "il  ne me semble pas que le répartiteur de charge soit centré sur le cloud", je site la source qui indique cette information, précisément en page 125. --David De Macedo (discuter) 5 février 2020 à 15:35 (CET)
replies: text:  Les répartiteurs de charge sont également utilisés pour des infrastructures virtualisées et même physiques. De plus cela permet d'assurer un aspect de la sécurité (plus particulièrement la disponibilité) et j'ai l'impression qu'il en va de même pour les contrôleurs de livraison d'applications. Voilà pourquoi je pense qu'il faudrait tout de même modifier la phrase. --Aurélia Catrice 8 février 2020 à 22:09 (CET)
thread_title:  Au niveau du réseau 

message: "Il faut également veiller à verrouiller les ports et les commandes inutiles sur la stack LAMP utilisée dans le cloud"
Quand vous dites “utilisée sur le cloud”, vous parlez de la stack, ou des ports et des commandes inutiles? Pour moi, j'ai tendance à penser que vous parleriez des ports/commandes. --Aurélia Catrice
: Oui, il est indiqué dans la source qu'il faut verrouiller les commandes & ports la stack LAMP utilisée dans le cloud. --David De Macedo (discuter) 5 février 2020 à 15:39 (CET)
replies: text:  D'accord, merci pour cette précision --Aurélia Catrice 8 février 2020 à 22:13 (CET)
thread_title:  Sécurité des applications 

message: Bonjour, je suis le second relecteur de votre article. Tout comme Aurélia, je vous félicite pour votre article qui m'a permis d'avoir une vision plus éclairée des enjeux de sécurisation des infrastructures Cloud.
Je me permets de vous proposer les améliorations suivantes :
=== Section : "Vie privée et Confidentialité" : Développement la responsabilité juridique ===
À plusieurs reprises, vous évoquez l'importance du respect de la vie privée et de la confidentialité des données (notamment avec l'entrée en vigueur du RGPD). Je pense que développer l'aspect responsabilité juridique de cette section en répondant aux questions suivantes pourrait être bénéfique pour votre article :
 - dans le cas de prestation IaaS, PaaS et SaaS, quel est le degré de responsabilité du fournisseur et de l'utilisateur ?
 - dans le cas du non respect de la législation, quelle sanction peut être appliquée ? Y a -t-il déjà eu des précédents en terme de condamnation ?
Pour répondre à ces questions, je pense qu'utiliser le référentiel d'exigences des prestataires de services d'informatique en nuage de l'ANSSI pourrait être une bonne base de départ.
: Je fais la distinctions du degré de responsabilité entre les différents cloud dans la section Compromis de sécurité. Néanmoins, intégrer en plus dans cette section les différentes informations remontées par l'ansi peut être une bonne idée. Aussi, je vais indiquer le montant de l'amende sur le non respect de la législation rgpd. --David De Macedo (discuter) 5 février 2020 à 17:40 (CET)
replies: text: En effet, inclure ces différents labels dans l'article est une bonne idée. Je vais taché de le faire. --David De Macedo (discuter) 5 février 2020 à 15:55 (CET)

text: Votre autre collègue relecteur à fait aussi une proposition de reformulation, je vais tacher de modifier en prenant compte de vos différentes remarques. --David De Macedo (discuter) 5 février 2020 à 15:42 (CET)

text: Je peux en effet ajouter un paragraphe qui indiquerait que la vie privée et confidentialité ne sont pas vraiment respectées avec cette loi. Mais c'est un avis personnel, il faudrait que je trouves des sources sur lesquelles m'appuyer, en avez vous trouvez ? --David De Macedo (discuter) 5 février 2020 à 15:59 (CET)

text: En effet mais pas simple de trouver des images en Français et libre de droit. --David De Macedo (discuter) 5 février 2020 à 16:01 (CET)

text: En effet, aussi, citer en exemples la stack ELK utilisées massivement dans les infra cloud pourrait être intéressante. Je vais essayer de trouver des sources dans ce sens. --David De Macedo (discuter) 5 février 2020 à 16:11 (CET)

text: L'article connexe qui renvoi vers la page wikipédia Cryptographie est fait pour ça. --David De Macedo (discuter) 5 février 2020 à 16:14 (CET)

text: Le stockage pour moi est une notion suffisamment importante pour mériter sa section. Je suis d'accord par contre sur le fait qu'elle manque de référence. Je vais regarder ce que vous avez trouvé. --David De Macedo (discuter) 5 février 2020 à 16:28 (CET)

text: En effet, cela peut être vue comme du sabotage d'ailleurs. Je vais regarder la source que vous indiquez. --David De Macedo (discuter) 5 février 2020 à 16:32 (CET)

text: Merci pour le remarque, je viens d'ajuter un petite introduction dans l'utilisation de Kali Linux dans le contexte des testes de vulnérabilité. --Rouben Sefilian (discuter) 6 février 2020 à 09:52 (CET)

text: Merci, je vais modifier les références dans ce sens. --David De Macedo (discuter) 5 février 2020 à 16:34 (CET)
replies: text:  Merci, on vient de modifier les liens, c'etait une bonne idée. --Rouben Sefilian (discuter) 6 février 2020 à 15:46 (CET)
thread_title:  Relecture 

message: À plusieurs reprises, vous évoquez l'importance du respect de la vie privée et de la confidentialité des données (notamment avec l'entrée en vigueur du RGPD). Je pense que développer l'aspect responsabilité juridique de cette section en répondant aux questions suivantes pourrait être bénéfique pour votre article :
 - dans le cas de prestation IaaS, PaaS et SaaS, quel est le degré de responsabilité du fournisseur et de l'utilisateur ?
 - dans le cas du non respect de la législation, quelle sanction peut être appliquée ? Y a -t-il déjà eu des précédents en terme de condamnation ?
Pour répondre à ces questions, je pense qu'utiliser le référentiel d'exigences des prestataires de services d'informatique en nuage de l'ANSSI pourrait être une bonne base de départ.
: Je fais la distinctions du degré de responsabilité entre les différents cloud dans la section Compromis de sécurité. Néanmoins, intégrer en plus dans cette section les différentes informations remontées par l'ansi peut être une bonne idée. Aussi, je vais indiquer le montant de l'amende sur le non respect de la législation rgpd. --David De Macedo (discuter) 5 février 2020 à 17:40 (CET)
thread_title:  Section : "Vie privée et Confidentialité" : Développement la responsabilité juridique 

message: Je pense que vous auriez pu développer une sous section sur les différents types de qualification que peut recevoir un prestataire de service Cloud, comme la qualification SecNumCloud de l'ANSSI, ou encore ESCloud. Cette sous section pourrait développer les différentes exigences auxquelles un prestataire doit répondre pour obtenir ces labels. Je pense qu'utiliser les référentiels d'exigences de l'ANSSI, ainsi que le catalogue C5 pourrait être une bonne base de départ. Ces deux labels dépendent des états français et allemand, de nombreux labels d'entreprises privées émergent et rendent difficile l'harmonisation et la compréhension des labels du cloud. Je pense que mettre en avant ces difficultés pourrait apporter à votre article. Aussi, je vous propose le plan suivant (basé sur celui proposé par Aurélia) pour intégrer cette sous section.
: En effet, inclure ces différents labels dans l'article est une bonne idée. Je vais taché de le faire. --David De Macedo (discuter) 5 février 2020 à 15:55 (CET)
replies: text: Votre autre collègue relecteur à fait aussi une proposition de reformulation, je vais tacher de modifier en prenant compte de vos différentes remarques. --David De Macedo (discuter) 5 février 2020 à 15:42 (CET)
thread_title:  Qualification des prestataires de services Cloud 

message: Pour revenir au domaine juridique, vous n'évoquez pas les enjeux et contraintes (notamment pour les fournisseurs de services étrangers) liées au  Cloud Act adopté aux États-Unis en 2018, ne serait-il pas pertinent d'y faire mention dans votre article ? Je pense que cette loi fédérale pourrait être mentionnée dans la section "Vie privée et Confidentialité" discutée précédemment.
: Je peux en effet ajouter un paragraphe qui indiquerait que la vie privée et confidentialité ne sont pas vraiment respectées avec cette loi. Mais c'est un avis personnel, il faudrait que je trouves des sources sur lesquelles m'appuyer, en avez vous trouvez ? --David De Macedo (discuter) 5 février 2020 à 15:59 (CET)
thread_title:  Les enjeux et contraintes du Cloud Act 

message: Votre article est rédigé en français et vous utilisez à plusieurs reprises des images en anglais.
: En effet mais pas simple de trouver des images en Français et libre de droit. --David De Macedo (discuter) 5 février 2020 à 16:01 (CET)
thread_title:  Langue des images 

message: Dans cette partie, vous faites références à des techniques à mettre en place pour superviser une infrastructure Cloud, vous auriez pu ajouter des références vers les  systèmes de détection d'intrusion ainsi que sur les  logs informatique. De plus, vous auriez pu citer des exemples de technologies répandues mises en place pour illustrer vos propos.
: En effet, aussi, citer en exemples la stack ELK utilisées massivement dans les infra cloud pourrait être intéressante. Je vais essayer de trouver des sources dans ce sens. --David De Macedo (discuter) 5 février 2020 à 16:11 (CET)
thread_title:  Monitoring et journalisation 

message: Dans cette partie, vous évoquez les techniques cryptographiques utilisées dans les clouds. Ne serait-il pas pertinent de référencer les pages  cryptographie symétrique et cryptographie asymétrique  afin d'en avoir une définition plus complète et précise que la votre ?
: L'article connexe qui renvoi vers la page wikipédia Cryptographie est fait pour ça. --David De Macedo (discuter) 5 février 2020 à 16:14 (CET)
thread_title:  Techniques Cryptographiques dans les clouds 

message: Cette sous section appartient à la section "Sécurisation infrastructures cloud", je pense que vous pourriez l'intégrer dans la sous section "sécurité des données" (manquant elle-même de références) pour étendre vos recherches sur la sécurité du stockage des données, notamment les techniques mises en place pour assurer la préservation des données personnelles. Je pense que ces articles pourraient vous aider à développer cela :
: Le stockage pour moi est une notion suffisamment importante pour mériter sa section. Je suis d'accord par contre sur le fait qu'elle manque de référence. Je vais regarder ce que vous avez trouvé. --David De Macedo (discuter) 5 février 2020 à 16:28 (CET)
thread_title:  Section : Au niveau du stockage 

message: Dans cette section, vous parlez d'attaques externe. Je pense que vous auriez du également développer les attaques interne à une infrastructure cloud (présence d'un utilisateur malveillant du service). Ces attaques peuvent avoir plusieurs directions d'attaques : de l'intérieur vers l'extérieur, et de l'intérieur vers l'intérieur. Je pense que l'article suivant devrait vous aider à développer ce type de menace.
: En effet, cela peut être vue comme du sabotage d'ailleurs. Je vais regarder la source que vous indiquez. --David De Macedo (discuter) 5 février 2020 à 16:32 (CET)
thread_title:  Section : Menaces les plus communes sur les Infrastructures Cloud 

message: Dans cette section, vous intégrez une image de Kali Linux mais vous n'en faites pas mention dans l'article. Pourriez-vous détailler la pertinence de cette image dans l'article ?
: Merci pour le remarque, je viens d'ajuter un petite introduction dans l'utilisation de Kali Linux dans le contexte des testes de vulnérabilité. --Rouben Sefilian (discuter) 6 février 2020 à 09:52 (CET)
thread_title:  Section : Tests de vulnérabilité et d'intrusion 

message: Vos références vers les autres pages ne devraient pas comporter de majuscule pour respecter la syntaxe des phrases françaises. Pour cela, vous pouvez utiliser la syntaxe suivante Ce qui va apparaître.
 Theo.mainguet 02 Février 2020 à 18:49 (CET)
replies: text: Merci, je vais modifier les références dans ce sens. --David De Macedo (discuter) 5 février 2020 à 16:34 (CET)
replies: text:  Merci, on vient de modifier les liens, c'etait une bonne idée. --Rouben Sefilian (discuter) 6 février 2020 à 15:46 (CET)
thread_title:  Syntaxe des références