Ça vous arrive en entreprise de tomber sur un service ouvert en direct sur internet, sans aucun filtre ? Ou ouvert en interne à tous les réseaux de l’entreprise, sans aucune limitation. Je l’ai vu des dizaines de fois.
Très souvent, cela s’explique assez facilement. Une équipe chargé d’un projet se retrouve à devoir déployer un nouveau service dans l’entreprise.
L’équipe projet classique, c’est un chef de projet, un chargé technique du produit à déployer et un ingénieur système qui est censé connaître le S.I de la boîte. Souvent ce dernier n’est sur le projet qu’à temps partiel.
Le nouveau produit est alors testé sur un environnement de développement. Là, en général, tout marche du feu de dieu. Le serveur et le client sont sur le même réseau, aucun pare-feu, tous les indicateurs sont au vert.
Les ennuis commencent quand il faut intégrer la solution à l’environnement existant. Les serveurs d’intégration ou de préproduction tardent à arriver. Très vite, les limitations s’empilent. Règle des pare-feux, limitations des ports ouverts sur les serveurs, restrictions des protocoles autorisés à transiter d’un réseau à l’autre. Le casse-tête apparaît. Et en général, c’est là qu’on comprend qu’il faut associer un architecte infrastructure au projet.
Mais il est souvent trop tard. Le budget du projet est presque épuisé. Le chef de projet est pris à la gorge, contraint de finir le projet ou de passer pour un incompétent. Le chiffrage basé sur les prévisions et l’expérience chez les précédents clients du vendeur du produit s’avère complètement irréaliste et fantaisiste.
Il va alors chercher une solution expéditive et bien sûr s’appuyer sur son propre chef à lui pour imposer son produit. Et finalement, un haut gradé apparaît et ordonne que le produit soit mis en place en quelques jours.
On ouvre alors les réseaux au tout venant, on met le serveur de développement en direct sur internet. On utilise un réseau réservé au développement qu’on fait passer en réseau de production. En un mot, c’est la fête.
Puis on interconnecte le produit avec des briques très importantes du S.I, permettant à un potentiel attaquant de remonter avec facilité jusqu’à des infrastructures critiques de l’entreprise très facilement. Tout marche, champagne, et on passe au projet suivant.
Le recours à un architecte infrastructure en amont du projet devrait être la norme. Ou alors il est dissocié du projet quand les choses se compliquent, pour faire n’importe quoi dans l’urgence. Jusqu’au prochain audit de sécurité, où on demandera de supprimer toutes les verrues existantes.
L’auteur
Je suis architecte infrastructure cloud (AWS et Azure) senior freelance certifié AWS Solutions Architect Associate. Je conçois les infrastructures dont vous avez besoin pour faire tourner les services IT de vos entreprises et vous aide dans vos grands processus de migrations et de remédiations. Disponible pour une nouvelle mission. N’hésitez pas à me contacter si je peux vous aider dans vos projets.
Carl Chenet 
Laisser un commentaire