GuardDuty RDS : détecter l’exfiltration sans confondre détection et gouvernance
AWS a étendu GuardDuty RDS Protection pour détecter des comportements associés à l’exfiltration et à la destruction de données sur Amazon Aurora PostgreSQL et Amazon RDS for PostgreSQL. Cette couche est utile lorsqu’un identifiant valide a déjà été compromis ; elle ne rend pas une base métier gouvernée par défaut.
1. Ce que l’annonce confirme
AWS indique que l’option « RDS Protection for data activity » établit une référence des requêtes habituelles et combine détection d’anomalies et renseignement sur les menaces. Elle complète la protection des connexions et peut être activée à l’échelle d’une organisation ou par API, SDK, CLI ou CloudFormation, pour les déploiements PostgreSQL pris en charge.
2. Pourquoi l’identité légitime reste un risque
Une requête SQL exécutée avec un compte autorisé peut sembler normale jusqu’à ce que son volume, son origine ou son rythme s’écarte de la référence. Hameçonnage, ingénierie sociale ou mauvaise configuration peuvent ainsi fournir un accès que les contrôles de connexion ne suffisent pas à qualifier. Une alerte améliore la visibilité ; elle ne prouve pas à elle seule une exfiltration ni la couverture de tous les flux.
3. Ce que cela change pour une entreprise belge ou française
Les données ERP, CRM, de facturation ou de support peuvent alimenter un RAG, un agent ou une automatisation Odoo Entreprise. Avant de les ouvrir, séparez comptes humains, applicatifs et agentiques ; limitez tables et opérations ; journalisez lectures et écritures. Les PME gagnent à commencer avec une base non critique et des rôles en lecture seule. ETI, grandes entreprises et administrations doivent relier les alertes à une astreinte, un propriétaire de données et une procédure de qualification.
4. Analyse Underside : une alerte doit conduire à une réponse
Il faut pouvoir comprendre la requête, isoler l’identité, suspendre les intégrations, préserver les traces et restaurer depuis une sauvegarde testée. Droits, rotation des secrets, chiffrement, limites de débit et segmentation réseau restent indispensables. Une architecture européenne ne dispense pas de vérifier résidence, accès de support, rétention et export des journaux.
Recommandation opérationnelle : cartographiez pour chaque base reliée à l’IA les identités, tables, outils, volumes attendus et propriétaires métiers. Simulez une extraction anormale avec des données de test, mesurez l’alerte, la révocation et la restauration, puis seulement ouvrez les écritures Odoo ou ERP.
Sécuriser les données d’une architecture IA