Lancer une instance depuis une AMI revient, en pratique, à exécuter dans votre compte un logiciel empaqueté par quelqu’un d’autre. Si l’image contient un logiciel malveillant, des mineurs de cryptomonnaie, des clés intégrées ou simplement des paquets non corrigés, ce risque entre directement dans votre infrastructure. Des cas d’images publiques malveillantes conçues précisément pour cela ont été documentés.
La réponse n’est pas la paranoïa mais un processus de vérification reproductible. Bien choisir une AMI ressemble à un recrutement : on vérifie l’identité, les références et l’état avant de confier les clés.
Les cinq piliers d’une AMI de confiance
Évaluez toute image candidate selon ces cinq axes. Si elle échoue sur plusieurs, cherchez ailleurs.
1. Provenance : qui la publie ?
- Vérifiez l’owner ID du compte qui publie l’image ; méfiez-vous des propriétaires anonymes ou inconnus.
- Préférez les images d’éditeurs officiels, de partenaires vérifiés ou de publieurs à la réputation démontrable.
- Vérifiez que le nom et la description correspondent à une origine légitime : attention aux imitations par typosquatting.
2. Sécurité : qu’y a-t-il dedans ?
- Est-elle durcie (CIS ou équivalent) ou s’agit-il d’une base non protégée ?
- Les snapshots sont-ils chiffrés ?
- Analysez-la vous-même avant la production avec Inspector, Trivy ou équivalent pour détecter CVE et secrets.
- Vérifiez qu’elle ne contient pas de clés SSH autorisées inconnues ni d’utilisateurs superflus.
3. Maintenance : est-elle vivante ?
- À quelle fréquence est-elle mise à jour ? Une image sans nouvelle version depuis un an est un signal d’alarme.
- Le publieur indique-t-il les CVE corrigées dans chaque version ?
- Existe-t-il une documentation claire de son contenu et de sa configuration ?
4. Compatibilité : convient-elle à votre cas ?
- Architecture correcte (x86_64 face à ARM/Graviton) et type de virtualisation.
- Région disponible et possibilité de la copier vers la vôtre.
- Prise en charge du type d’instance nécessaire et compatibilité avec votre automatisation.
5. Coût et licence : que payez-vous, et à quelles conditions ?
- Modèle de coût : gratuite, à l’heure ou BYOL.
- Licence du logiciel inclus et ses obligations.
- Coût des snapshots et du stockage associé.
Checklist rapide de vérification
| Vérification | Bon signe | Signal d’alarme |
|---|---|---|
| Propriétaire | Owner vérifié et connu | Compte anonyme ou tout récent |
| Chiffrement | Snapshots chiffrés | Sans chiffrement |
| Mise à jour | Versions récentes et fréquentes | Aucun changement depuis plus de 12 mois |
| Documentation | Notes de version et CVE | Nulle ou inexistante |
| Analyse maison | Sans CVE critiques ni secrets | Vulnérabilités ou clés intégrées |
| Coût | Modèle clair et prévisible | Coûts de stockage cachés |
Vérifiez chaque point avant de porter une AMI en production.
Bonne pratique : recuire par-dessus ce que vous recevez
Même une image de confiance vieillit. La pratique la plus sûre consiste à prendre une AMI de base fiable et à la recuire dans votre propre pipeline : vous appliquez vos correctifs, votre durcissement et votre configuration, vous la chiffrez avec votre clé et vous la versionnez. Vous héritez ainsi du bon de l’image d’origine tout en ajoutant votre propre contrôle qualité et votre traçabilité.
Questions fréquentes
Est-il sûr d’utiliser une AMI publique de la communauté ?
Cela peut l’être, mais vous devez vérifier le propriétaire, le contenu et l’état, et l’analyser avant usage. En production, mieux vaut une image d’un publieur de confiance, ou la recuire vous-même.
Comment savoir si une AMI comporte une porte dérobée ?
Aucune méthode n’est infaillible, mais analyser l’image, passer en revue utilisateurs et clés autorisées, inspecter les tâches planifiées et observer le trafic réseau sur une instance de test isolée réduit fortement le risque.
Dois-je faire davantage confiance aux images payantes qu’aux gratuites ?
Le prix ne garantit pas la sécurité, mais un publieur qui maintient et documente ses images —payantes ou non— offre en général plus de garanties qu’une image anonyme abandonnée.
Chez imaxe.cloud, nous construisons des images à la provenance claire, chiffrées et mises à jour en continu, pour que vous puissiez déployer en confiance.
