Les agences fédérales sont confrontées à un problème d'accumulation de logiciels. Ce problème n'est pas nouveau, mais il s'aggrave d'année en année. Le problème tient au fait que les agences ont le choix entre un nombre quasi infini de logiciels.
Les responsables informatiques achètent et mettent régulièrement en place des environnements dédiés à des missions spécifiques qui nécessitent des logiciels. Toutefois, lorsque ce logiciel n'est plus nécessaire dans la panoplie d'outils de l'agence, celle-ci doit décider s'il convient de le remplacer ou de le supprimer purement et simplement.
Les risques liés aux logiciels ayant atteint leur fin de vie (EOL)
Un autre problème réside dans le fait que les éditeurs cessent souvent d'assurer le support de ces logiciels. C'est ce qu'on appelle la fin de vie (EOL). À ce stade du cycle de vie du logiciel, les coûts de support et les risques cybernétiques augmentent considérablement, car les éditeurs cessent de fournir des correctifs et des mises à jour.
Toutes les organisations n'élaborent pas de plans à long terme pour le retrait des équipements en fin de vie. La plupart des gens pensent pouvoir se reposer sur leurs lauriers — surtout lorsque le contrat relatif au logiciel s'étend sur plusieurs années et que l'outil fonctionne comme prévu.
Et se procurer un nouvel outil de remplacement n'est pas toujours une procédure rapide. La procédure de passation des marchés publics fédéraux est souvent longue.
Lorsqu'il s'agit de remplacer une application ou un outil en fin de vie, l'obtention des autorisations, la négociation des contrats, l'installation des nouveaux logiciels, la formation des collaborateurs et la suppression sécurisée des anciens logiciels peuvent prendre des mois, voire des années.
Les administrations peuvent prendre de meilleures décisions en matière d'outils et anticiper les annonces de fin de vie (EOL) en s'appuyant sur une visibilité en temps réel et sur des outils de gestion logicielle d' : (s'ouvre dans un nouvel onglet).
Dans un article publié sur , , Nextgov,, (s'ouvre dans un nouvel onglet),et , j'explique pourquoi les agences devraient adopter une approche moderne de rationalisation des outils. Cela leur permet de revoir l'ensemble de leur processus d'adoption des outils tout en assurant la protection de leurs réseaux.
Les logiciels non pris en charge constituent une cible pour les pirates malveillants
Prenons l'exemple d' , d'Adobe Flash Player (s'ouvre dans un nouvel onglet), deet de , un logiciel dont la fin de vie (EOL) a été annoncée sur décembre 2020. À l'apogée de sa popularité, ce logiciel était installé sur près d'un milliard de terminaux. Au fil des années, ce chiffre a diminué en raison d'un recours accru à HTML5 pour la diffusion de contenus animés et interactifs.
Lorsque le fournisseur cesse d'assurer le support d'un logiciel, ce n'est un secret pour personne. Les pirates malveillants créent et exploitent, dès qu'ils le peuvent, des failles de type « zero-day », c'est-à-dire des vulnérabilités pour lesquelles il n'existe pas encore de correctif.
Si vous choisissez de continuer à utiliser des logiciels dont le support a pris fin, le seul moyen d'empêcher l'exploitation de failles « zero-day » consiste à mettre en œuvre des mesures d'atténuation ou des stratégies classiques de défense en profondeur — deux approches qui ne garantissent toutefois pas le succès.
Les créateurs de logiciels malveillants restent à l'affût et s'attaquent de manière agressive aux systèmes exécutant des logiciels obsolètes dès que l'occasion se présente — et ils cibleront très probablement les systèmes qui utilisent encore des logiciels dont ils savent qu'ils sont vulnérables.
Comment mettre hors service un logiciel en fin de vie
Lorsqu'elles mettent hors service des logiciels en fin de vie, les équipes informatiques fédérales ont besoin d'une visibilité en temps réel sur leurs environnements. Ils doivent être en mesure d'identifier les terminaux sur lesquels le logiciel a été installé, de déterminer où il est activement utilisé, et de suivre les éventuelles vulnérabilités ainsi que les mesures correctives en cours.
Au fil du temps, le risque lié aux vulnérabilités exploitables augmente, car les éditeurs ne fournissent plus de correctifs. Il arrive souvent que des attaquants parviennent à s'introduire via un seul terminal — un terminal sur lequel le logiciel en fin de vie était encore en cours d'exécution. Dans de nombreux cas, cette faille est passée inaperçue tant auprès des équipes chargées de la sécurité informatique que de celles chargées de l'exploitation, car celles-ci ne disposaient pas d'une visibilité complète sur les terminaux de leur réseau.
Il suffit aux pirates d'accéder à un seul terminal, et la sécurité d'une entreprise dépend de celle de son terminal le plus vulnérable. Un seul terminal vulnérable met toute une organisation en danger.
Lisez l’article complet « » (La fin de vie des logiciels : comment les agences peuvent-elles s’y préparer ?) sur Nextgov (s’ouvre dans un nouvel onglet) pour en savoir plus sur la manière dont Tanium peut aider les agences à gérer la fin de vie des logiciels et à protéger les terminaux et les réseaux des agences (s’ouvre dans un nouvel onglet) à la vitesse et à l’échelle des menaces actuelles.
