Pour une PME, le cloud apporte agilité et économie, mais aussi des surfaces d'attaque qu'il faut maîtriser vite. J'ai réalisé et supervisé de nombreux audits express en environnement cloud — AWS, Azure, GCP ou clouds privés — et je partage ici un protocole concret et réalisable en une demi-journée à une journée. L'idée : des tests simples, actionnables et priorisables pour réduire immédiatement les risques les plus courants.
Pourquoi un audit express ?
Dans beaucoup d'organisations, la sécurité cloud est « en cours » : des équipes déploient des services, des comptes se multiplient et les bonnes pratiques ne suivent pas toujours. Un audit profond est idéal, mais il prend du temps. Un audit express permet d'identifier les vulnérabilités critiques, de corriger rapidement les failles les plus courantes et d'orienter les actions à moyen terme. Je le fais souvent comme point de départ avant de lancer des chantiers plus lourds (IAM, gouvernance, chiffrement).
Pré-requis rapides
Avant d'attaquer les tests, il faut :
Avec ça, vous pouvez lancer la série de tests ci-dessous.
Les 10 tests à réaliser aujourd'hui
Regardez les utilisateurs et rôles avec droits « Owner/Administrator ». Recherchez les comptes partagés, les clés d'API permanentes et les sessions actives. Supprimez ou remplacez les clés non nécessaires, activez l'authentification multifactorielle (MFA) pour tous les comptes à privilèges. Outils : AWS IAM Access Analyzer, Azure AD Privileged Identity Management (PIM).
Recherchez les politiques « * » (wildcards) ou les rôles combinant trop de privilèges. Appliquez le principe du moindre privilège et segmentez les rôles. Je privilégie des rôles orientés tâche plutôt que des permissions larges.
Les fuites via S3, Azure Blob ou Google Cloud Storage sont courantes. Testez l'accessibilité publique des buckets contenant des données sensibles, et activez l'encryption par défaut si ce n'est pas déjà fait. Outils : AWS CLI, GCP gsutil, l'outil open-source truffleHog ou CloudSploit pour repérage automatisé.
Faites un scan des IP publiques et des endpoints pour repérer bases de données, interfaces de management ou services non protégés. Un simple nmap, ou des outils comme Masscan, suffit pour obtenir une cartographie rapide. Pour un test non intrusif, limitez les scans et prévenez l'équipe réseau.
Recherchez les règles « 0.0.0.0/0 » exposant des services sensibles (SSH, RDP, bases de données). Remplacez-les par des plages IP restreintes, ou configurez des bastions et Zero Trust Network Access (ZTNA). Les consoles AWS Security Group, Azure NSG et GCP Firewall permettent une revue rapide.
Repérez les clés d'API, secrets dans des dépôts ou variables d'environnement non chiffrées. Mettez en place la rotation automatique (AWS Secrets Manager, Azure Key Vault, HashiCorp Vault) et scannez les dépôts Git pour détections de secrets (outil : git-secrets ou truffleHog).
Vérifiez que les logs importants (authentification, modifications IAM, accès réseau) sont collectés et conservés suffisamment longtemps. Confirmez que des alertes critiques existent (accès console, création de clés, changements de règles réseau). Si les alertes manquent, définissez au moins quelques règles basiques via CloudTrail, Azure Monitor ou Cloud Logging.
Vérifiez que le chiffrement est activé au repos et en transit pour les services critiques (bases, objets, disques). Préférez la gestion des clés par un service centralisé et contrôlé plutôt que des clés locales non révoquées.
Pour Kubernetes ou services managés (EKS, AKS, GKE), vérifiez les RBAC, les admission controllers, l'exposition des dashboards et des workloads en mode root. Scannez les images pour vulnérabilités (Trivy, Clair) et analysez les configurations inadéquates (PodSecurityPolicies, NetworkPolicies).
Confirmez que les sauvegardes existent, sont chiffrées et testées. Un backup non vérifié est dangereux. Assurez-vous aussi que les accès aux sauvegardes sont restreints et audités.
Checklist synthétique
| Test | Action minimale | Outils suggérés |
|---|---|---|
| Accès admin | Activer MFA, révoquer clés inutiles | AWS IAM, Azure AD |
| IAM | Réduire permissions excessives | Policy Simulator, PIM |
| Buckets publics | Restreindre accès, activer chiffrement | AWS CLI, gsutil |
| Ports exposés | Scan, restreindre SSH/RDP | nmap, Masscan |
| Groupes de sécurité | Supprimer 0.0.0.0/0 | Console cloud |
| Secrets | Centraliser, activer rotation | Key Vault, Vault |
| Logs | Activer audit+alertes | CloudTrail, Cloud Logging |
| Chiffrement | Activer au repos/en transit | KMS, TLS |
| Containers | RBAC, scanner images | Trivy, kube-bench |
| Sauvegardes | Test de restauration | Outils natifs cloud |
Après l'audit express : prioriser et agir
Une fois les tests réalisés, j'identifie trois priorités :
Je propose de documenter les corrections et d'automatiser les contrôles (scripts IaC, règles Cloud Security Posture Management). Des outils comme Prisma Cloud, Security Hub d'AWS ou Microsoft Defender for Cloud aident à industrialiser ces vérifications.
Si vous voulez, je peux vous fournir une checklist exportable ou un petit script pour automatiser quelques contrôles avec AWS CLI ou gcloud. Dites-moi vos environnements (AWS/Azure/GCP) et je m'adapte.