Trouvez et corrigez les failles de sécurité au sein de vos clouds européens

Les écrans principaux :

• Tableau de bord : vos observations par gravité et par catégorie, les vérifications qui échouent le plus et vos dernières analyses.
• Explorateur d'actifs : tous les actifs de vos clouds, à rechercher, filtrer et étiqueter.
• Détails d'un actif : la configuration d'un actif, ses observations et ses liens avec le reste de votre cloud.
• Vulnérabilités : tous les observations, triés par gravité, avec une recommandation. Écartez un observation en indiquant un motif, ou ouvrez un ticket Jira.
• Chemins d'attaque : les chemins qu'un attaquant pourrait suivre jusqu'à vos données, avec le point de congestion à corriger en premier.
• Conformité : où vous en êtes sur chaque référentiel, contrôle par contrôle.
• Journal d'audit : qui a écarté un observation, modifié un paramètre ou exporté des données, et quand.

Vous pouvez aussi exporter les observations, les chemins d'attaque et le journal d'audit en CSV, inviter votre équipe, activer l'authentification à deux facteurs et analyser chaque cloud selon le calendrier de votre choix.

Oui : la visite guidée. Elle ouvre le vrai produit, sans inscription, sur Orvessa, un éditeur fictif de logiciels de santé dont le cloud est chez OVHcloud et Scaleway. La visite dure environ trois minutes, et vous pouvez la quitter à tout moment pour explorer par vous-même. Elle fonctionne sur les données d'Orvessa : rien de ce que vous y faites ne touche un vrai cloud.

Pour voir PABLO sur votre propre cloud, réservez une installation guidée et nous connecterons votre premier compte avec vous.

Selon la taille de votre cloud : le prix dépend du nombre d'actifs que PABLO surveille dans vos comptes, comme les instances, les volumes, les bases de données et les utilisateurs. Réservez une installation guidée, ou écrivez-nous en indiquant à peu près la taille de votre cloud, et nous vous dirons ce qu'il vous en coûtera.

Non. PABLO ne couvre que les clouds européens, et chacune de ses vérifications est écrite pour le fournisseur sur lequel elle s'exécute. Si vous êtes aussi sur AWS, Azure ou Google Cloud, gardez-y vos outils actuels et utilisez PABLO pour vos comptes européens.

Non. PABLO lit votre configuration par l'API de chaque fournisseur avec une clé API en lecture seule : il n'y a rien à installer sur vos machines, vos clusters ou vos bases de données.

Créez une clé API en lecture seule dans la console de votre fournisseur, ajoutez un connecteur dans PABLO et collez-y la clé. PABLO commence aussitôt à lire vos actifs et affiche ses observations dès la fin de la première analyse. Ensuite, il relit votre cloud selon le calendrier que vous choisissez.

Vous préférez le faire ensemble ? Réservez une installation guidée et nous connecterons votre premier compte avec vous.

Oui, sur Scaleway et OVHcloud. C'est sur l'IAM que PABLO exécute le plus de vérifications, par exemple :

• un propriétaire d'organisation, ou tout autre utilisateur, sans authentification multifacteur
• une politique qui autorise toutes les actions par un caractère générique
• une politique qui donne encore accès à un utilisateur désactivé
• une application API utilisable depuis n'importe quelle adresse IP
• un administrateur rattaché directement à une politique, au lieu de passer par un groupe

Les chemins d'attaque montrent ensuite ce que ces risques donnent une fois combinés : quels utilisateurs et quelles applications pourraient atteindre vos bases de données ou prendre le contrôle de votre organisation.

PABLO transforme votre inventaire en un graphe de vos actifs et de leurs liens : utilisateurs, politiques, réseaux, machines et bases de données. Il suit ensuite les permissions et les routes réseau qu'un attaquant pourrait utiliser, d'un point d'entrée (un utilisateur, une application API ou une adresse IP publique) jusqu'à une cible (votre organisation, une base de données ou une machine ouverte sur Internet). Sur STACKIT et OpenStack, où PABLO ne vérifie pas encore l'IAM, il ne suit que les routes réseau.

Chaque chemin reçoit une gravité et un effort de l'attaquant : la somme de la difficulté de chaque étape, de triviale à coûteuse. Les chemins les plus graves viennent en premier et, parmi eux, les plus faciles. Sur chaque chemin, PABLO marque le point de congestion : la seule étape à corriger pour qu'un attaquant ne puisse plus du tout emprunter le chemin.

PABLO reconstruit les chemins à chaque lecture de votre cloud : une correction se voit aux chemins qui disparaissent. Vous pouvez aussi étiqueter vos propres points d'entrée et cibles.

NIS2, le RGPD (article 32), ISO 27001 et CIS. PABLO couvre les contrôles techniques de chaque référentiel : chacun est relié aux vérifications automatisées qui le valident sur votre cloud, pour que vous voyiez quels contrôles vous respectez, lesquels non, et les observations en cause. Les contrôles organisationnels, comme la formation du personnel ou les procédures de gestion des incidents, ne font pas partie de la vue conformité de PABLO.

En plus des référentiels, chaque observation porte un score CVSS, et des vérifications sur mesure couvrent les erreurs de configuration propres aux clouds européens que les référentiels ne voient pas. Pour NIS2, PABLO vérifie chaque contrôle d'après les orientations techniques de mise en œuvre de l'ENISA (Technical Implementation Guidance), qui traduisent le contrôle en exigences techniques concrètes. Les vérifications viennent de l'European Cloud Baseline, notre ensemble de contrôles de sécurité pour chaque fournisseur, que nous rédigeons à partir de la documentation de ce fournisseur.

Dans la région de Paris de Scaleway, en France. Chaque entreprise dispose de sa propre base de données orientée graphe pour son inventaire. Vos observations, vos utilisateurs et vos paramètres se trouvent dans une base de données distincte, à côté.

PABLO lit la configuration de votre cloud, pas les données de vos bases de données, volumes ou buckets. Votre inventaire et vos observations ne quittent jamais l'UE, sauf si vous les envoyez vous-même, par exemple en ouvrant un ticket Jira pour un observation. Vous pouvez supprimer votre entreprise, ainsi que toutes ses données, depuis votre profil.