Chapitre 5 — Virtualisation, Conteneurs & IoT

La virtualisation et les conteneurs transforment l'infrastructure moderne. Ce module couvre les hyperviseurs, la sécurité des VMs, les conteneurs Docker/Kubernetes, et les considérations de sécurité IoT/OT.

Virtualisation & Hyperviseurs

Mémorisez ! Type 1 (bare-metal) = hyperviseur directement sur le matériel (VMware ESXi, Hyper-V, Xen). Type 2 (hosted) = hyperviseur sur un OS hôte (VirtualBox, VMware Workstation). Type 1 est plus performant et sécurisé pour la production.

Hyperviseur	Fonctionnement	Sécurité	Exemples
Type 1 (Bare-metal)	Directement sur le matériel, pas d'OS hôte	Surface d'attaque réduite, plus isolé	VMware ESXi, Microsoft Hyper-V, Xen, KVM
Type 2 (Hosted)	S'exécute sur un OS hôte (Windows, Linux, macOS)	Surface d'attaque plus large (OS hôte compromis → VMs compromises)	VirtualBox, VMware Workstation, Parallels

Risques de Virtualisation

VM Escape : une VM parvient à s'échapper de son environnement isolé et à accéder à l'hyperviseur ou à d'autres VMs. Attaque critique mais rare.
VM Sprawl : prolifération non contrôlée de VMs. Des VMs oubliées et non patchées créent des vulnérabilités.
Resource Contention : une VM consomme trop de ressources, affectant les autres (déni de service interne).
Snapshot Security : les snapshots contiennent l'état complet de la VM (y compris les clés de chiffrement en mémoire). Doivent être sécurisés et supprimés régulièrement.
VM Data Remanence : données résiduelles dans les fichiers VM même après suppression — chiffrement des disques VM recommandé.

Conteneurs

Les conteneurs partagent le noyau OS de l'hôte (contrairement aux VMs qui ont chacune leur OS). Plus légers mais isolation plus faible.

Docker : plateforme de conteneurisation. Les images Docker doivent être scannées pour les vulnérabilités.
Kubernetes (K8s) : orchestration de conteneurs — gère le déploiement, la mise à l'échelle, la mise en réseau des conteneurs.
Risques conteneurs : image non sécurisée, configuration permissive (root dans conteneur), exploitation du noyau partagé.
Image Scanning : scanner les images Docker avant déploiement (Trivy, Snyk, Clair).
Runtime Security : surveiller le comportement des conteneurs en production (Falco).
Namespace Isolation : Linux namespaces isolent les conteneurs (PID, réseau, filesystem) — l'isolation est moins stricte qu'une VM.

Astuce Examen

VM vs Conteneur : VM = OS complet isolé → meilleure isolation, plus lourd. Conteneur = partage le noyau → plus léger, isolation moindre. Si une question mentionne "isolation maximale entre workloads", la réponse est les VMs (pas les conteneurs).

IoT & OT — Sécurité des Systèmes Embarqués

L'IoT (Internet of Things) et les systèmes OT (Operational Technology) posent des défis de sécurité uniques.

SCADA (Supervisory Control and Data Acquisition) : systèmes de contrôle industriels (centrales électriques, usines, eau). Souvent conçus sans sécurité cyber.
ICS (Industrial Control Systems) : englobe SCADA + DCS + PLCs. Critique pour les infrastructures nationales.
PLC (Programmable Logic Controller) : automatisent les processus industriels. Vulnérables si connectés à des réseaux IP.
Défis IoT : mises à jour rares/impossibles, mots de passe par défaut, protocoles propriétaires, ressources limitées (pas de chiffrement).
Segmentation IoT : isoler les appareils IoT dans un VLAN dédié — limiter leur accès au reste du réseau.
Firmware Security : vérifier l'intégrité du firmware (signature), désactiver les interfaces de débogage (JTAG, UART).

Quiz — Virtualisation, Conteneurs, IoT

1. Quel est le risque d'une "VM Escape" ?

Une VM consomme trop de ressources CPU de l'hôte Une VM ne peut plus accéder à internet Un malware dans une VM parvient à accéder à l'hyperviseur ou à d'autres VMs, brisant l'isolation Les snapshots VM deviennent trop volumineux

VM Escape est une des attaques les plus critiques en virtualisation. Si une VM peut "s'échapper", elle a potentiellement accès à l'hyperviseur (contrôle total) et à toutes les autres VMs sur l'hôte. Mise à jour régulière de l'hyperviseur est essentielle.

2. Quelle est la principale différence de sécurité entre un hyperviseur de Type 1 et de Type 2 ?

Le Type 1 ne supporte pas le chiffrement des VMs Le Type 2 a une surface d'attaque plus large car il s'exécute sur un OS hôte vulnérable Le Type 1 ne peut pas isoler les VMs entre elles Le Type 2 est utilisé en production car plus performant

Hyperviseur Type 2 = si l'OS hôte (Windows, macOS) est compromis, toutes les VMs peuvent l'être aussi. Type 1 (bare-metal) n'a pas d'OS hôte sous-jacent — surface d'attaque réduite, meilleur pour la production.

3. Pourquoi les conteneurs offrent-ils une isolation plus faible que les VMs ?

Les conteneurs ne supportent pas le chiffrement des données Les conteneurs ne peuvent pas se connecter à internet Les conteneurs n'ont pas de système de fichiers propre Les conteneurs partagent le noyau OS de l'hôte — une vulnérabilité du noyau peut affecter tous les conteneurs

Les VMs ont chacune leur propre OS complet — totalement isolées au niveau noyau. Les conteneurs partagent le noyau Linux de l'hôte. Une exploitation de vulnérabilité kernel (ex: dirty pipe) peut affecter tous les conteneurs en même temps.

4. Le "VM Sprawl" est un problème de sécurité lié à :

La prolifération de VMs non gérées et non patchées qui créent des vulnérabilités Des VMs trop performantes consommant trop de ressources L'expansion non contrôlée des snapshots VM Des VMs qui communiquent entre elles sans pare-feu

VM Sprawl = trop de VMs créées facilement, souvent abandonnées après un projet. Ces VMs oubliées ne sont plus patchées, deviennent vulnérables et représentent un vecteur d'attaque. Solution : inventaire VM, politiques de durée de vie, gouvernance du cloud.

5. Pourquoi les systèmes SCADA/ICS sont-ils difficiles à sécuriser dans les environnements modernes ?

Ils utilisent des protocoles réseau trop récents pour être supportés Ils nécessitent une connexion internet permanente pour fonctionner Ils ont été conçus pour la fiabilité et non la sécurité, avec des mises à jour rares et des systèmes d'exploitation souvent obsolètes Ils ne supportent pas le chiffrement TLS

Les systèmes SCADA ont été conçus dans les années 1970-80 pour la fiabilité et la disponibilité, sans considération pour la cybersécurité. Mise à jour difficile (arrêt de production requis), OS Windows XP non supporté encore courant, protocoles comme Modbus non chiffrés.

6. Quelle bonne pratique réduit le risque associé aux snapshots de VMs ?

Créer un maximum de snapshots pour avoir plusieurs points de restauration Supprimer régulièrement les snapshots inutiles et les stocker chiffrés Partager les snapshots entre plusieurs hyperviseurs Convertir les snapshots en templates pour les réutiliser

Les snapshots contiennent l'état complet de la VM : mémoire, disque, clés de chiffrement actives. Mal sécurisés ou stockés trop longtemps, ils représentent un risque. Chiffrer le datastore, supprimer les snapshots devenus inutiles, contrôler qui peut créer/accéder aux snapshots.

7. La meilleure pratique pour sécuriser les appareils IoT sur un réseau d'entreprise est :

Les connecter au même VLAN que les postes de travail pour faciliter la gestion Désactiver tous les appareils IoT Installer un agent antivirus sur chaque appareil IoT Isoler les appareils IoT dans un VLAN dédié avec accès limité au reste du réseau

La segmentation via VLAN dédié est la pratique principale pour l'IoT. Les appareils IoT souvent non patchables deviennent une menace si compromis. Les isoler limite les mouvements latéraux potentiels vers le réseau interne.

8. Kubernetes (K8s) est principalement utilisé pour :

Orchestrer le déploiement, la mise à l'échelle et la gestion de conteneurs en production Créer des images Docker sécurisées Scanner les vulnérabilités dans les conteneurs Remplacer les VMs par des conteneurs dans les datacenters

Kubernetes orchestre les conteneurs : déploiement automatique, mise à l'échelle (scaling), load balancing, rolling updates, self-healing. Il gère des clusters de milliers de conteneurs. La sécurité K8s inclut RBAC, Network Policies, Pod Security Standards.

9. Le "Firmware Security" pour les appareils IoT inclut :

Installer un antivirus sur l'appareil IoT Connecter l'appareil à un serveur RADIUS pour l'authentification Vérifier la signature du firmware, désactiver les interfaces de débogage (JTAG/UART), appliquer les mises à jour Utiliser WPA3 pour la connexion Wi-Fi de l'appareil

La sécurité du firmware IoT comprend : vérification d'intégrité (hash/signature), désactivation des interfaces de débogage physiques (JTAG, UART, serial) qui permettent l'accès direct au système, et processus de mise à jour sécurisée (OTA avec signature).

10. Quelle est la principale recommandation lors de la réception d'un appareil IoT par défaut ?

L'isoler dans un air gap complet Changer immédiatement les credentials par défaut (identifiant/mot de passe) Désactiver le Wi-Fi et utiliser uniquement l'Ethernet Installer un certificat TLS avant la première utilisation

La première action est toujours de changer les credentials par défaut. Les IoT souvent livrés avec admin/admin ou admin/password — ces credentials sont publics et les attaquants les essaient en premier. Le botnet Mirai s'est propagé en exploitant des credentials par défaut non changés.