Les concepts de Ctadel

Cette page décrit le modèle que toutes les pages de l’application partagent : des ressources reliées dans un graphe, une liste de constats, des chemins d’attaque, des projets, et le parcours qui met tout cela à jour.

Le modèle en une page

Notion	Ce que c’est	Où elle apparaît
Ressource	Un objet lu dans un compte cloud, un cluster ou un dépôt Git : instance, volume, bucket, base, rôle, cluster, fonction.	« Inventaire », « Explorateur »
Relation	Un lien entre deux ressources : contient, utilise, a accès à, est exposé par.	« Explorateur »
Constat	Une règle qui s’applique à une ressource, avec une sévérité, un état et une correction.	« Détections » et ses sous-pages
Chemin d’attaque	Une suite de ressources et de relations qui, ensemble, forment une combinaison toxique.	« Combinaisons toxiques »
Projet	Le périmètre de rattachement d’une ressource : un projet, un compte ou un abonnement cloud.	Sélecteur « Tous les projets »
Parcours	Un cycle complet de lecture et d’évaluation, lancé à la main ou planifié.	« Scan en cours » dans l’en-tête

Les ressources et le graphe

Chaque collecteur lit un cloud par son API et Ctadel écrit ce qu’il trouve dans un graphe. Chaque ressource y devient un nœud typé (instance, volume, bucket, base de données, cluster Kubernetes, rôle, clé de chiffrement, et ainsi de suite), et chaque lien entre deux ressources devient une relation. Un nœud Project représente le projet, le compte ou l’abonnement cloud auquel la ressource appartient ; chaque ressource porte son identifiant de projet.

Le graphe est unique pour toute l’instance : les six clouds, les clusters Kubernetes et les dépôts Git y écrivent côte à côte. C’est ce qui permet de relier un rôle AWS à un bucket, ou une charge de travail Kubernetes à l’image qu’elle exécute. La page Graphe de sécurité détaille ce qu’il contient.

Les constats

Un constat naît quand une règle s’applique à une ressource. Chaque scanner (CSPM, dont les règles AI-SPM ; DSPM ; KSPM ; HCR ; vulnérabilités ; secrets ; IaC ; combinaisons toxiques) produit ses constats avec les mêmes informations essentielles : la ressource, la règle, la sévérité, l’état, la date de première et de dernière observation, et le projet.

La page « Détections » les réunit en une seule liste, quel que soit le module d’origine, et les sous-pages (« Vulnérabilités », « Secrets », « Sécurité des données », « CSPM », « HCR », « KSPM », « AI-SPM », « IaC ») en montrent une famille à la fois.

Un constat porte l’un des états suivants.

État	Qui le pose
OPEN	Le parcours, à la première observation.
RESOLVED	Le parcours, quand la ressource ne déclenche plus la règle ; ou vous, à la main.
IGNORED	Vous, avec une raison et une date d’expiration facultative ; le constat rouvre à l’échéance.
ACCEPTED	Vous, pour un risque accepté.
INVESTIGATING	Les incidents de détection sur journaux (en validation interne).
FIXED	Les vulnérabilités dont le paquet a été mis à jour.

Tout changement d’état est daté et attribué à son auteur : c’est ce qui permet de reconstruire l’historique du tableau de bord. La page Sévérité et score explique l’échelle de sévérité et les scores.

Les chemins d’attaque

Une combinaison toxique est une règle qui ne porte pas sur une ressource isolée mais sur un chemin dans le graphe : par exemple une instance exposée sur Internet, qui porte un rôle, dont le rôle a accès à un bucket contenant des données sensibles. Pris un par un, ces maillons ne sont pas forcément des constats ; ensemble, ils forment un chemin exploitable. La page Chemins d’attaque décrit leur évaluation et leur score.

Les projets et les dossiers

Un projet est la plus petite unité de périmètre. Le sélecteur « Tous les projets » de l’en-tête restreint toutes les pages à un projet, ou à un dossier, c’est-à-dire un groupe de comptes cloud et de dépôts Git que vous définissez. Un utilisateur peut être limité à certains projets ou dossiers par son rôle : il ne voit alors que les ressources et les constats de ce périmètre. La page Projets et dossiers détaille ce fonctionnement.

Le parcours

Un parcours (« Scan » dans l’interface) est un cycle complet. Il se déroule en quatre phases, affichées dans l’en-tête de l’application.

1. Inventaire : chaque compte cloud connecté est relu par son collecteur ; l’en-tête affiche « inventaire 2/4 » tant que des comptes restent à synchroniser.
2. Évaluation des règles : les règles de configuration sont évaluées sur le graphe rafraîchi.
3. « Envoi aux workers » : les analyses de contenu des disques, des buckets, des bases, des clusters et des hôtes démarrent.
4. Terminé : le cycle est clos ; les constats des analyses de contenu continuent d’arriver pendant quelques minutes.

Un seul parcours tourne à la fois : lancer un parcours pendant qu’un autre est en cours renvoie « Un scan est déjà en cours. ». Quand la planification automatique est activée dans les réglages, un parcours est lancé dès que la fréquence choisie (24 heures par défaut) est écoulée depuis le dernier.

Le parcours fait aussi deux choses silencieuses : il rouvre les constats dont l’ignorance temporaire a expiré, et il ferme les constats dont la ressource ne déclenche plus la règle.

Lire la suite

• Graphe de sécurité : ce que le graphe contient et comment l’explorer.
• Chemins d’attaque : comment une chaîne est évaluée, scorée et cassée.
• Sévérité et score : l’échelle de sévérité, le score de risque et le score du tableau de bord.
• Sans agent : comment Ctadel lit sans rien installer, et ce que cela ne permet pas.
• Projets et dossiers : le périmètre des utilisateurs et des vues.
• Référentiels : les références de conformité portées par chaque règle.