Lors de sa conférence Ignite aujourd’hui, Microsoft a annoncé Defender Cloud Security Posture Management et Defender for DevOps, deux nouvelles offres au sein du service Defender for Cloud de la société (anciennement Azure Defender) visant à gérer le développement de logiciels et la sécurité d’exécution dans des environnements multicloud et à plusieurs pipelines. Actuellement disponibles en préversion publique, ils fonctionnent avec GitHub et Azure DevOps pour commencer, avec des intégrations de produits supplémentaires à venir.
Dans une conversation avec TechCrunch, Microsoft CVP de la sécurité cloud, Shawn Bice, a déclaré que Defender for DevOps et Defender Cloud Security Posture Management (ou Defender CSPM, pour l’appeler par son acronyme plus maniable) découlaient des défis auxquels les entreprises sont de plus en plus confrontées lorsqu’elles utilisent des services cloud natifs pour déployer et gérer des applications. Ces clients ont souvent une visibilité incomplète et un manque de mesures d’atténuation prioritaires, a-t-il déclaré, ce qui rend leur sécurité réactive plutôt que proactive.
Il y a du vrai là-dedans. Selon un rapport 2020 d’Orca Security, 59 % des équipes de cybersécurité déclarent recevoir plus de 500 alertes sur la sécurité du cloud par jour, dont une grande partie sont des faux positifs. La prolifération des outils est souvent citée comme un défi pour maintenir la sécurité du code. En réponse à une enquête GitLab d’août, 41 % des équipes DevOps ont déclaré qu’elles utilisaient entre six et 10 outils dans leurs chaînes d’outils de développement, ce qui leur a fait passer à côté de problèmes de sécurité.
« Le parcours accéléré de transformation du cloud pour nos clients a créé un besoin urgent d’une solution unifiée pour gérer la sécurité du développement à l’exécution dans des environnements multicloud et à pipelines multiples », a déclaré le Bice par e-mail.
Crédits image : Microsoft
À cette fin, Defender CSPM s’appuie sur des algorithmes d’IA pour effectuer des analyses de risque contextuelles des environnements de développement logiciel. Les recommandations et les informations qui en résultent sont transmises à des plates-formes de gestion de code source telles que GitHub et Azure DevOps pour piloter les efforts de correction ; alternativement, les utilisateurs peuvent créer des flux de travail connectés aux recommandations de sécurité pour déclencher une correction automatisée.
Defender CSPM fournit également des « requêtes d’attaque » que les équipes de sécurité peuvent utiliser pour explorer les données sur les risques et les menaces, ainsi qu’un tableau de bord montrant toutes les règles mises en œuvre dans les environnements de développement et les outils qui permettent aux administrateurs de sécurité de définir de nouvelles règles.
Quant à Defender pour DevOps, il montre la posture de sécurité du code d’application de pré-production et des configurations de ressources. Les équipes de sécurité peuvent utiliser le service pour activer des modèles et des images de conteneurs conçus pour minimiser le risque que des erreurs de configuration du cloud n’atteignent les environnements de production.
« Tirer parti [insights] au sein de Defender for Cloud, les administrateurs de la sécurité peuvent aider les développeurs à hiérarchiser les correctifs de code critiques avec des mesures correctives et à attribuer la propriété du développeur en déclenchant des flux de travail personnalisés », a expliqué Bice.
Avec le déploiement de Defender CSPM et Defender for Cloud, il est clair que Microsoft vise une plus grande part de l’énorme et croissant segment DevSecOps. Grand View Research estime que le marché de DevSecOps – qui englobe des outils qui automatisent les pratiques de sécurité à chaque étape du développement logiciel – valait 2,79 milliards de dollars en 2020.
Des startups telles que Spectral, qui vise à détecter les problèmes de sécurité potentiels dans les bases de code et les journaux, et Cycode, qui propose des outils pour sécuriser les pipelines DevOps, pourraient être perçues comme des concurrents. Mais l’échelle de Microsoft – et le fait que Defender CSPM et Defender pour Cloud sont gratuits pour les clients Defender pour Cloud pendant la période de prévisualisation – lui donnent un avantage.
« Microsoft s’engage à permettre la sécurité pour tous », a ajouté le Bice, « [with] une référence complète en matière de sécurité dans le cloud sur plusieurs clouds. »
