Le monde de la sécurité est en feu, et la source de la flambée n’est pas seulement la variante mortelle d’Omicron. Les entreprises se battent pour corriger ce qui a été appelé la pire cyberattaque de l’histoire, l’exploit zero-day connu sous le nom de Log4j. Potentiellement, des centaines de millions d’ ordinateurs sont en danger, des représentants du gouvernement ont averti et des attaquants sophistiqués parrainés par l’État se livrent à une course pour exploiter ces nouvelles vulnérabilités.
La course aux correctifs des systèmes et à l’évasion d’une vague d’attaquants ne pouvait pas se produire à un moment pire. L’énorme passage au travail à distance pendant la pandémie de COVID-19 a augmenté la complexité de la gestion des correctifs logiciels. Et en un temps record.
« Il a été plus difficile d’appliquer des correctifs en raison du fait que les gens étaient chez eux », déclare Nicole Ford, directrice de la sécurité de l’information (RSSI) chez Carrier, le géant de la climatisation situé à Palm Beach Gardens, en Floride. « Nous avons une prolifération d’appareils que les gens utilisent maintenant qu’ils sont distants. Nous avons besoin de plus de visibilité sur ces appareils. »
Sur le lieu de travail distant, les employés collaborent sur des distances parfois importantes, et ils accèdent aux réseaux, données et services de l’entreprise à l’aide d’une gamme d’appareils, dont beaucoup ne sont pas sécurisés. En conséquence, 57 % des professionnels de l’informatique et de la sécurité ont déclaré que le travail à distance rend les correctifs plus complexes, selon une enquête d’octobre d’Ivanti . En général, 71 % considèrent les correctifs comme trop complexes et chronophages.
Alors que le gouvernement demande aux organisations de passer en mode d’application de correctifs à la vitesse de la chaîne, la réalité est que, grâce à la COVID et à tant d’entre nous travaillant à domicile, de nombreuses entreprises et agences gouvernementales trouvent le processus plus difficile que jamais. L’urgence Log4j souligne le besoin vital pour les organisations non seulement de corriger, mais également d’avoir une stratégie de correction calibrée en place, qui intègre à la fois des routines mensuelles de protection et la gestion des tâches d’urgence.
Pires liées aux correctifs
La nécessité d’une vision revigorée des correctifs est relativement nouvelle.
« La correction est devenue beaucoup plus complexe parce que la surface d’attaque a tellement augmenté », déclare Phil Reitinger, président et PDG de la Global Cyber Alliance, ancien RSSI chez Sony et haut responsable de la cybersécurité dans l’administration Obama. Il dit que l’ancien paradigme était que tout le monde s’est présenté au travail, a allumé son ordinateur de bureau et est resté tout le temps dans le périmètre de l’entreprise. « C’est tout simplement parti », dit-il. « La pandémie a accéléré l’éloignement d’un réseau paramétré d’un ordre de grandeur significatif. »
« La correction est devenue beaucoup plus complexe, car la surface d’attaque a tellement augmenté. »Phil Reitinger, président-directeur général, Global Cyber Alliance
Serguei Sviatyi, administrateur cloud chez IPS-Integrated Project Services, une société de conseil technologique basée en Pennsylvanie, est d’accord.
« Le travail à domicile et à distance a entraîné un changement réel et significatif dans la façon dont les entreprises de taille moyenne et grande doivent réfléchir et effectuer des correctifs », déclare-t-il. « Presque tous nos endpoints et postes de travail sont désormais en dehors des protections offertes par les réseaux d’entreprise. Cela rend plus difficile d’atteindre et de vérifier que les ordinateurs ont été corrigés. »
L’application de correctifs est souvent considérée comme l’une des armes les plus simples et les plus efficaces pour combattre les cybercriminels. Cependant, cela peut être difficile dans la pratique. Les pirates informatiques tirent pleinement parti des systèmes de gestion lente des correctifs. Pendant ce temps, l’automatisation complète des systèmes de correctifs peut sembler une bonne idée en termes de vitesse, mais elle peut avoir des inconvénients.
Parfois, les correctifs que les entreprises de logiciels publient sont eux-mêmes problématiques, et il peut être difficile d’atténuer efficacement leurs effets secondaires négatifs avec des processus entièrement automatisés. Le chemin intermédiaire préféré consiste à automatiser la plupart des aspects des correctifs mensuels tout en effectuant des tests suffisants avant le déploiement des correctifs.
Comment résoudre la crise des correctifs
Pour relever ces défis, les entreprises peuvent aborder les correctifs de trois manières, selon Sviatyi. Chacun d’entre eux implique des points positifs et négatifs.
La première approche : « Faites tourner votre propre infrastructure et gérez les correctifs », déclare Sviatyi. L’avantage est que vous ne comptez pas sur des parties externes et que vous disposez d’un contrôle total des correctifs. « L’inconvénient est qu’il y a un investissement important dans l’infrastructure et une ingénierie qualifiée requise pour réussir », déclare-t-il. « Cela est rendu encore plus difficile en ayant à faire des correctifs sur une base mensuelle ou même hebdomadaire. »
Une deuxième approche : externaliser la tâche de correction vers des fournisseurs externes. Cette stratégie est utile si l’organisation ne dispose pas de ressources internes pour configurer et maintenir correctement l’infrastructure.
Mais cela signifie également que l’organisation doit donner des privilèges d’accès significatifs à un tiers. Cela peut entraîner des violations. « Comme l’indiquent les incidents avec SolarWinds et Kaseya , la confiance pourrait être exploitée par les acteurs malveillants avec un effet dévastateur », déclare Sviatyi.
La troisième et la plus efficace approche : la gestion automatisée des correctifs. L’application de correctifs à un seul logiciel est un processus relativement simple. Mais lorsque votre environnement comprend des centaines ou des milliers d’appareils avec des logiciels et des systèmes physiques, virtuels et basés sur le cloud, vous avez besoin de quelque chose de plus efficace.
[Lire également : une lettre aux PDG sur la vulnérabilité Log4j ]
La gestion automatisée des correctifs permet aux entreprises d’analyser leurs environnements réseau à la recherche d’appareils et d’applications avec des correctifs manquants, de télécharger automatiquement les correctifs publiés par les fournisseurs d’applications et de déployer d’autres correctifs en fonction de diverses politiques de déploiement. Ces capacités permettent aux organisations de corriger rapidement des environnements complets, de réduire la fenêtre de correctifs et de minimiser l’exposition aux risques.
Bien que ces processus puissent être exécutés manuellement, cela n’est pas recommandé. Non seulement les processus manuels mettent l’accent sur une équipe informatique déjà sous pression, mais ils introduisent souvent des erreurs et constituent une utilisation inefficace du temps. En fait, 60 % des entreprises déclarent que la sécurité informatique passe plus de temps à naviguer dans les processus manuels qu’à répondre aux vulnérabilités, ce qui entraîne un retard de réponse insurmontable.
La gestion des correctifs est essentielle pour s’assurer que les vulnérabilités ne passent pas inaperçues. Bien qu’un environnement plus sécurisé soit la principale raison pour laquelle de nombreuses organisations adoptent une solution de gestion des correctifs, elle a également d’autres avantages. Parmi ces derniers figurent :
- Productivité améliorée. L’application de correctifs garantit que votre logiciel fonctionne correctement et efficacement.
- Conformité à la réglementation. La mise en œuvre de la gestion des correctifs est généralement requise par un certain nombre de cadres ou de normes de sécurité. Si une organisation n’applique pas de correctifs, elle peut être soumise à des amendes de la part des régulateurs.
- Innovation accélérée. Patching fournit aux organisations un moyen de déployer des mises à jour pour améliorer leurs propres fonctionnalités logicielles. Dans un environnement commercial concurrentiel, tout avantage en matière d’innovation est une valeur ajoutée.
Il faut une équipe
J. Michael Daniel, qui était le spécialiste de la cybersécurité du président Obama et qui est désormais PDG de la Cyber Threat Alliance, déclare que les organisations devraient lancer un plan d’éducation pour amener tout le monde à l’ importance de la gestion des correctifs. « Les membres et les employés doivent être encouragés à mettre à jour leurs appareils », dit-il. « Les appareils doivent être mis à jour s’ils vont être connectés au système. »
« De nombreuses grandes entreprises finissent inévitablement par écrire du « code collant » pour déplacer les données de différents fournisseurs de logiciels. »Serguei Sviatyi, administrateur cloud, services de projet intégrés à IPS
Dans le même temps, les technologues des organisations doivent évaluer le moment optimal pour appliquer les correctifs. « Une mise à jour ne peut pas se produire au milieu de la journée pendant les réunions importantes avec les clients », déclare Daniel. « Vous ne pouvez pas interférer avec les opérations commerciales. »
Pour les plus petites organisations, le passage à un cycle continu de mise à jour et de correction entraînera une meilleure protection globale des systèmes, explique Sviatyi. « Ces entreprises n’ont généralement pas de personnel et de ressources à consacrer au déploiement des mises à jour. »
De nouvelles stratégies d’application de correctifs peuvent également réduire les charges de travail pour les fournisseurs qui prennent en charge les petites entreprises. Cela leur permet simplement de vérifier le statut des correctifs au lieu de pousser des correctifs et des correctifs. Pour les grandes organisations, la situation peut être différente.
« De nombreuses grandes entreprises finissent inévitablement par écrire du « code collant » pour déplacer les données de différents fournisseurs de logiciels », déclare Sviatyi. Ce code peut s’appuyer sur une API et des tâches planifiées pour éviter de dupliquer des données ou même d’effectuer des fonctions critiques. Cela signifie que les grandes entreprises peuvent hésiter à effectuer une mise à niveau.
Si les organisations utilisent un logiciel qui a une vulnérabilité découverte tous les mois, mais qu’un correctif n’est proposé que dans une nouvelle version, elles peuvent devoir réécrire leur code numérique pour assurer la dernière protection.
« Les entreprises se retrouvent bloquées dans des logiciels non sécurisés en raison du manque de ressources disponibles pour modifier les processus et techniques internes », déclare Sviatyi. « Le travail à domicile a rendu la protection de [logiciel] encore plus difficile. »
