Les agences fédérales ont un problème d’accumulation de logiciels. Le problème n’est pas nouveau, mais il s’aggrave avec chaque année passée. Le problème provient de près d’innombrables options pour les logiciels parmi lesquels les agences peuvent choisir.
Les responsables informatiques achètent et créent régulièrement des environnements spécifiques à la mission qui nécessitent des logiciels. Cependant, lorsque ce logiciel n’est plus requis dans le jeu d’outils de l’agence, ils doivent décider de remplacer le logiciel ou de le supprimer complètement.
Les risques liés aux logiciels qui ont atteint la fin de vie
Un autre défi est que les fournisseurs interrompent souvent la prise en charge du logiciel. C’est ce qu’on appelle la fin de vie (FdV). À ce stade du cycle de vie des logiciels, les coûts d’assistance et les cyber-risques augmentent considérablement à mesure que les fournisseurs interrompent les correctifs et les mises à jour.
Toutes les organisations ne prévoient pas de suppression à long terme à la fin de l’étude. La plupart supposent qu’ils peuvent rouler, en particulier lorsque le contrat du logiciel est défini pendant plusieurs années et que l’outil fonctionne comme prévu.
Et obtenir un nouvel outil de remplacement n’est pas toujours un exercice rapide. Le processus d’approvisionnement fédéral est souvent long.
Lorsqu’il est temps de remplacer une application ou un outil EOL, il peut falloir des mois ou des années pour obtenir des approbations, négocier des contrats, installer de nouveaux logiciels, former les employés et assurer la suppression sécurisée des anciens logiciels.
Les agences peuvent prendre de meilleures décisions en matière d’outils et planifier le potentiel des annonces de fin de vie en utilisant des outils de visibilité et de gestion des logiciels en temps réel.
Dans un article de Nextgov , j’explique pourquoi les agences devraient mettre en œuvre une approche moderne de rationalisation des outils. Cela leur permet de revoir l’ensemble de leur processus d’adoption d’outils tout en protégeant les réseaux.
Les logiciels non pris en charge sont la cible des attaquants malveillants
Prenez Adobe Flash Player comme exemple, un logiciel qui a atteint la fin de vie en décembre 2020. Au plus fort de sa popularité, le logiciel a été installé sur près d’un milliard d’endpoints. Au fil des ans, ce nombre a chuté en raison d’une dépendance accrue à HTML5 pour fournir des animations et du contenu interactif.
Lorsque le fournisseur ne prend plus en charge les logiciels, ce n’est pas un secret. Les attaquants malveillants créent et utilisent des exploits zero-day, des vulnérabilités pour lesquelles aucun correctif n’existe, dans la mesure du possible.
Si vous choisissez de continuer à exécuter des logiciels non pris en charge, la seule façon d’empêcher l’exploitation de zero-days est d’appliquer des stratégies d’atténuation ou de défense standard en profondeur, qui ne garantissent pas toutes deux la réussite.
Les créateurs de logiciels malveillants se tiennent en attente et ciblent agressivement les systèmes exécutant d’anciens logiciels dès que l’opportunité se présente, et ils cibleront probablement les systèmes exécutant toujours des logiciels qu’ils savent vulnérables.
Comment mettre hors service le logiciel de fin de vie
Lors de la mise hors service du logiciel EOL, les équipes informatiques fédérales ont besoin d’une visibilité en temps réel sur leurs environnements. Ils ont besoin de pouvoir identifier les endpoints sur lesquels le logiciel a été installé, où il est activement utilisé, et suivre les vulnérabilités et les efforts de remédiation continus.
Au fil du temps, le risque de vulnérabilités exploitables augmente à mesure que les fournisseurs ne fournissent plus de correctifs. Souvent, les adversaires peuvent accéder via un seul endpoint, qui exécutait toujours le logiciel EOL. Dans de nombreux cas, elle n’a pas été détectée par les équipes chargées de la sécurité informatique et des opérations, car elles ne disposaient pas d’une visibilité complète des endpoints sur l’ensemble de leur réseau.
Les attaquants n’ont besoin d’accéder qu’à un seul endpoint, et les organisations ne sont aussi sécurisées que leur endpoint le plus faible. Un endpoint vulnérable expose toute une organisation à des risques.
Lisez l’article complet de Nextgov pour en savoir plus sur la manière dont Tanium peut aider les agences à naviguer dans les logiciels EOL et à protéger les appareils d’endpoint et les réseaux d’agences à la vitesse et à l’échelle des menaces actuelles.
