Guide
Comment auditer un compte AWS : méthode, outils et checklist
Auditer un compte AWS, c'est vérifier, avec un accès en lecture seule, la configuration de sa sécurité, de ses coûts et de sa résilience, puis transformer les écarts en plan d'action priorisé. Ce guide donne la méthode pas à pas, les outils natifs d'AWS et les options pour le faire soi-même ou le faire faire.
En résumé
- Cadrer d'abord : quel compte, quelles régions, quel objectif (sécurité, coûts, conformité, avant une migration…).
- Un accès en lecture seule : un rôle IAM dédié avec la politique gérée
ReadOnlyAccess, protégé par un External ID si un tiers réalise l'audit. - Dix domaines à passer en revue : inventaire, IAM, journalisation, protection des données, réseau, applications exposées, secrets et chiffrement, résilience, coûts, conteneurs et serverless.
- Un référentiel : CIS AWS Foundations Benchmark v5.0 et AWS Foundational Security Best Practices (FSBP) pour la sécurité, le Well-Architected Framework pour le reste.
- Un plan priorisé : actions P0 / P1 / P2, classées selon le risque qu'elles suppriment et l'effort qu'elles demandent.
La méthode en sept étapes
- 1. Définir le périmètre. Lister les comptes, les régions réellement utilisées et la raison de l'audit. Un audit avant un comité de direction, une migration ou une revue DORA n'insiste pas sur les mêmes points.
- 2. Donner un accès en lecture seule. Créer un rôle IAM avec
ReadOnlyAccess(plus la lecture des données de facturation pour les coûts). Pas d'utilisateur à clés d'accès permanentes, aucun droit d'écriture. - 3. Faire l'inventaire. Ressources par région, tags, propriétaires. Les ressources oubliées (une instance de test, un snapshot public) sont souvent les plus exposées.
- 4. Vérifier le socle de sécurité. Utilisateur root, MFA, clés d'accès, CloudTrail, GuardDuty, chiffrement, buckets publics, groupes de sécurité ouverts sur Internet : les contrôles CIS v5.0 et FSBP.
- 5. Revoir l'architecture et les coûts. Sauvegardes et multi-AZ, segmentation réseau, couverture des Savings Plans, ressources surdimensionnées ou inutilisées.
- 6. Prioriser. Classer les constats par sévérité, puis selon les scénarios d'attaque qu'ils rendent possibles : un écart qui ouvre un chemin vers des données sensibles passe en premier.
- 7. Corriger et mesurer à nouveau. Traiter d'abord les P0, puis relancer l'audit pour prouver les progrès à date.
Les outils natifs d'AWS qui aident
| Service AWS | Ce qu'il apporte à l'audit | Limite |
|---|---|---|
| AWS Security Hub | Évaluation continue selon FSBP, CIS v5.0, PCI DSS ou NIST | À activer par compte et par région ; constats à trier, pas de rapport |
| AWS Config | Historique des configurations et règles de conformité | Règles à choisir et à maintenir |
| AWS Trusted Advisor | Contrôles sur les coûts, la sécurité, les quotas et la tolérance aux pannes | L'ensemble des contrôles dépend du plan de support |
| IAM Access Analyzer | Ressources partagées hors du compte ou rendues publiques | IAM et partages uniquement |
| Amazon GuardDuty | Détection de menaces (identifiants compromis, trafic suspect) | Détecte des incidents, n'audite pas la configuration |
| Cost Explorer et Compute Optimizer | Analyse des dépenses, redimensionnement et recommandations d'engagement | Coûts uniquement, sans lien avec la sécurité |
| AWS Well-Architected Tool | Questionnaire par workload sur les six piliers | Déclaratif : les réponses viennent de vos équipes, pas de la configuration |
Ces services sont complémentaires, mais aucun ne produit seul une revue transverse, priorisée, avec des livrables pour la direction.
Trois façons de réaliser l'audit
| Option | Effort | Délai | Ce que vous obtenez |
|---|---|---|---|
| En interne, avec les outils natifs ou l'open source (Prowler, ScoutSuite) | Élevé : installer, exécuter, trier, interpréter, rédiger | Jours à semaines, selon la disponibilité | Résultats bruts à analyser vous-même |
| Cabinet de conseil | Entretiens, accès, relectures | Plusieurs jours à plusieurs semaines | Rapport écrit et restitution, peut couvrir l'organisation et les processus |
| Audit automatisé Silamir | Déployer un rôle en lecture seule, choisir les régions | En général 30–60 minutes | 10 rapports par domaine, scénarios d'attaque, plan P0/P1/P2, synthèse exécutive et deck COMEX, pour 299 USD |
Quand un audit automatisé ne suffit pas
- Vous avez besoin d'une surveillance continue : activez Security Hub et GuardDuty, un audit est une photographie à date.
- Vous préparez une certification (ISO 27001, SOC 2) : l'auditeur accrédité examinera aussi vos processus.
- Vous avez besoin d'un test d'intrusion humain sur vos applications.
- Vos workloads ne sont pas sur AWS, ou la question porte davantage sur votre organisation que sur votre configuration.
Auditer un compte AWS : questions fréquentes
De quels accès un audit AWS a-t-il besoin ?
Un accès en lecture seule suffit : un rôle IAM avec la politique gérée ReadOnlyAccess, plus la lecture des données de facturation pour analyser les coûts. Un auditeur tiers doit assumer ce rôle avec un External ID, jamais recevoir de clés d'accès.
Combien de temps dure l'audit d'un compte AWS ?
La collecte prend quelques minutes ; l'analyse et la rédaction prennent l'essentiel du temps. Manuellement, comptez plusieurs jours par compte. L'audit automatisé Silamir livre ses rapports en 30–60 minutes pour un compte et les régions de votre choix.
Combien coûte un audit AWS ?
En interne, le coût est le temps de vos équipes. Une mission de conseil est chiffrée sur devis, selon le nombre de jours. L'audit automatisé Silamir coûte 299 USD par audit, facturé sur votre facture AWS via AWS Marketplace.
À quelle fréquence auditer un compte AWS ?
Au moins une fois par an, et avant tout événement majeur : migration, audit externe, levée de fonds ou acquisition, revue DORA. Entre deux audits, les services continus comme Security Hub et GuardDuty prennent le relais.
Quel référentiel suivre pour un audit de sécurité AWS ?
Le CIS AWS Foundations Benchmark v5.0 pour le socle du compte et AWS Foundational Security Best Practices pour les contrôles par service. Ils se recouvrent en partie : utiliser les deux donne la meilleure couverture.
Où en est votre compte AWS ?
Dix questions, trois minutes, sans accès à votre compte : un score sécurité, un score FinOps et l'article à lire pour chacun de vos trois points les plus faibles. Vos réponses restent dans votre navigateur.
Prêt à auditer votre compte AWS ?
Souscrivez sur AWS Marketplace, déployez le rôle en lecture seule et recevez vos rapports dans l'heure.