Qui est responsable de l'application d'un correctif à une vulnérabilité de sécurité présente dans le code d'une application client qui s'exécute sur une instance Amazon EC2 ?
Une question demandant, dans le modèle de responsabilité partagée, qui est responsable de l'application de correctifs au code applicatif client sur EC2.
AWS en est responsable.
AWS gère la sécurité du matériel physique EC2, de l'hyperviseur et de l'infrastructure réseau (sécurité DU cloud).
Le contenu et les vulnérabilités du code applicatif écrit par le client sont en dehors du périmètre de gestion d'AWS, donc en faire la responsabilité d'AWS est faux et incorrect.
Contrôles partagés
Les contrôles partagés désignent des domaines comme la gestion des correctifs où les deux parties interviennent à travers les couches.
Le code applicatif est entièrement un actif logiciel du client et AWS n'y intervient pas du tout, ce n'est donc pas partagé, et c'est incorrect.
Le client en est responsable.
Correct. Le code d'une application qui s'exécute sur EC2 est un actif logiciel créé et détenu par le client. Détecter, corriger et redéployer les vulnérabilités font tous partie de la sécurité DANS le cloud, que le client réalise, et AWS n'intervient pas dans le contenu du code.
Si une analyse automatique le détecte, AWS le corrige.
Les outils d'analyse comme Amazon Inspector aident à détecter les vulnérabilités, mais ils ne corrigent pas le code.
Le client doit effectuer la correction et le déploiement après la détection, donc la prémisse selon laquelle AWS le corrige est fausse et incorrecte.
Avec EC2 (IaaS), le périmètre du client est large : l'OS invité, l'intergiciel et le code applicatif relèvent tous de la responsabilité du client. AWS gère jusqu'au matériel, à l'hyperviseur et à l'installation.