Le monde de la sécurité est en pleine effervescence, et cette agitation n'est pas uniquement due au variant Omicron, particulièrement dangereux. Les entreprises se précipitent pour corriger ce qui a été qualifié de pire cyberattaque de l'histoire, la faille « zero-day » connue sous le nom d'« Log4j ». Des centaines de millions d'ordinateurs fonctionnant sous le système d'exploitation « » pourraient être menacés, ont averti des responsables gouvernementaux, et des pirates sophistiqués, soutenus par des États, s'empressent d'exploiter ces nouvelles vulnérabilités.
La course pour corriger les failles des systèmes et échapper à une vague d'attaques ne pouvait pas tomber à un pire moment. Le passage massif au télétravail pendant la pandémie de COVID-19 a accru la complexité de la gestion des logiciels et des correctifs. Et en un temps record.
« Il a été plus difficile d'appliquer les correctifs du fait que les gens restaient chez eux », explique Nicole Ford, responsable de la sécurité des systèmes d'information (RSSI) chez Carrier, le géant de la climatisation situé à Palm Beach Gardens, en Floride. « On assiste à une prolifération des appareils que les gens utilisent désormais qu’ils travaillent à distance. » « Nous avons besoin d’une meilleure visibilité sur ces appareils. »
Dans le cadre du télétravail, les employés collaborent parfois à de grandes distances et accèdent aux réseaux, aux données et aux services de l'entreprise à l'aide de divers appareils, dont beaucoup ne sont pas sécurisés. En conséquence, 57 % des professionnels de l'informatique et de la sécurité ont déclaré que le télétravail compliquait la mise en place des correctifs, comme l'a révélé une enquête menée en octobre par Ivanti dans le cadre de l' . De manière générale, 71 % des personnes interrogées considèrent que l'application de correctifs est une tâche trop complexe et trop chronophage.
Ainsi, alors que le gouvernement demande aux organisations de passer en mode « application de correctifs » à une vitesse fulgurante, la réalité est que — en raison de la COVID et du fait que nous sommes nombreux à travailler à domicile — de nombreuses entreprises et administrations publiques trouvent ce processus plus difficile que jamais. L'incident « Log4j » met en évidence la nécessité absolue pour les organisations non seulement d'appliquer des correctifs, mais aussi de mettre en place une stratégie de correction bien définie, intégrant à la fois des routines mensuelles de protection et la gestion des interventions d'urgence.
Les problèmes liés aux correctifs
La nécessité d'une nouvelle approche de la mise à jour est relativement récente.
« La mise en place de correctifs est devenue nettement plus complexe, car la surface d’attaque s’est considérablement étendue », explique Phil Reitinger, président-directeur général de la Global Cyber Alliance, ancien responsable de la sécurité informatique chez Sony et haut responsable de la cybersécurité au sein de l’administration Obama. Il explique que l'ancien modèle consistait à ce que chacun se présente au travail, allume son ordinateur de bureau et reste en permanence à l'intérieur du périmètre de l'entreprise. « Ça a complètement disparu », dit-il. « La pandémie a accéléré l'abandon du réseau paramétré d'un ordre de grandeur significatif. »
«La gestion des correctifs est devenue nettement plus complexe en raison de l’augmentation considérable de la surface d’attaque. »Phil Reitinger, président-directeur général de Global Cyber Alliance
Serguei Sviatyi, administrateur cloud chez IPS-Integrated Project Services, une société de conseil en technologie basée en Pennsylvanie, partage cet avis.
« Le télétravail et le travail à distance ont entraîné un changement réel et significatif dans la manière dont les moyennes et grandes entreprises doivent envisager et mettre en œuvre la gestion des correctifs », explique-t-il. « La quasi-totalité de nos terminaux et postes de travail sont désormais des « », hors de la protection offerte par les réseaux d’entreprise . » « Cela complique la tâche consistant à vérifier que les ordinateurs ont bien reçu les correctifs. »
L'application de correctifs est souvent considérée comme l'un des moyens les plus simples et les plus efficaces de lutter contre les cybercriminels. Cela peut toutefois s'avérer délicat dans la pratique. Les pirates informatiques tirent pleinement parti de la lenteur des systèmes de gestion des correctifs. Par ailleurs, l'automatisation complète des systèmes de correctifs peut sembler être une bonne idée en termes de rapidité, mais elle peut présenter des inconvénients.
Il arrive parfois que les correctifs publiés par les éditeurs de logiciels posent eux-mêmes problème, et il peut s'avérer difficile d'atténuer efficacement leurs effets secondaires négatifs à l'aide de processus entièrement automatisés. La solution intermédiaire à privilégier consiste à automatiser la plupart des étapes de l'application mensuelle des correctifs, tout en continuant à effectuer des tests suffisants avant leur déploiement.
Comment remédier à la crise des correctifs
Pour relever ces défis, les entreprises peuvent adopter trois approches différentes en matière de correctifs, selon M. Sviatyi. Chacune d'entre elles présente des avantages et des inconvénients.
Première approche : « Mettez en place votre propre infrastructure et gérez vous-même l'application des correctifs », explique M. Sviatyi. L'avantage, c'est que vous ne dépendez pas de tiers et que vous disposez d'un contrôle total sur l'application des correctifs. « L'inconvénient, c'est que la mise en œuvre réussie de ce projet nécessite des investissements importants en infrastructures et le recours à des ingénieurs qualifiés », explique-t-il. « Cette tâche est d'autant plus difficile qu'il faut effectuer des mises à jour tous les mois, voire toutes les semaines. »
Une deuxième approche : confier la tâche de mise à jour à des prestataires externes. Cette stratégie s'avère utile lorsque l'organisation ne dispose pas des ressources internes nécessaires pour mettre en place et assurer la maintenance de l'infrastructure de manière adéquate.
Mais cela signifie également que l'organisation doit accorder des droits d'accès importants à un tiers. Cela peut entraîner des failles de sécurité. « Comme le montrent les incidents impliquant , SolarWinds , et Kaseya , cette dépendance et cette confiance pourraient être exploitées par des acteurs malveillants, avec des conséquences dévastatrices », explique M. Sviatyi.
La troisième approche, qui est également la plus efficace : la gestion automatisée des correctifs « » ( ). L'application d'un correctif à un logiciel est un processus relativement simple. Mais lorsque votre environnement comprend des centaines, voire des milliers d'appareils équipés de logiciels et de systèmes physiques, virtuels et hébergés dans le cloud, vous avez besoin d'une solution plus efficace.
[À lire également : Une lettre adressée aux PDG concernant la vulnérabilité « Log4j »]
La gestion automatisée des correctifs permet aux entreprises d'analyser leurs environnements réseau afin d'identifier les périphériques et les applications pour lesquels des correctifs manquent, de télécharger automatiquement les correctifs publiés par les éditeurs de logiciels et de déployer d'autres correctifs en fonction de diverses politiques de déploiement. Ces fonctionnalités permettent aux organisations d'appliquer rapidement des correctifs à l'ensemble de leurs environnements, de réduire la fenêtre de mise à jour et de minimiser l'exposition aux risques.
Bien que ces opérations puissent être effectuées manuellement, cela n'est pas recommandé. Non seulement les processus manuels mettent à rude épreuve une équipe informatique d' déjà surchargée, mais ils sont souvent source d'erreurs et constituent une perte de temps. En effet, 60 % des entreprises indiquent que les équipes chargées de la sécurité informatique consacrent plus de temps à la gestion des processus manuels qu’à la résolution des vulnérabilités, ce qui entraîne un retard accumulé insurmontable dans les interventions.
La gestion des correctifs est essentielle pour garantir que les vulnérabilités soient bien corrigées. Si la mise en place d'un environnement plus sécurisé constitue la principale raison pour laquelle de nombreuses organisations adoptent une solution de gestion des correctifs, celle-ci présente également d'autres avantages. Ceux-ci comprennent :
- Amélioration de la productivité. L'application des correctifs garantit le bon fonctionnement et l'efficacité de votre logiciel .
- Respect de la réglementation. La mise en œuvre de la gestion des correctifs est généralement exigée par un certain nombre de cadres ou de normes de sécurité. Si une organisation n'applique pas les correctifs, elle s'expose à des amendes s de la part des autorités de régulation.
- Une innovation accélérée. Les correctifs permettent aux organisations de déployer des mises à jour afin d'améliorer les caractéristiques et les fonctionnalités de leurs propres logiciels. Dans un environnement commercial concurrentiel, tout avantage en matière d'innovation constitue une valeur ajoutée.
Il faut une équipe
J. Michael Daniel, qui a été responsable de la cybersécurité sous la présidence d'Obama et qui est aujourd'hui PDG de la Cyber Threat Alliance, estime que les organisations devraient mettre en place un programme de sensibilisation visant à faire prendre conscience à tous de l'importance de la gestion des correctifs. « Il faudrait encourager les adhérents et les employés à mettre à jour leurs appareils », déclare-t-il. « Les appareils doivent être mis à jour s’ils doivent être connectés au système. »
«De nombreuses grandes entreprises finissent inévitablement par écrire du « code de liaison » pour transférer des données provenant de différents fournisseurs de logiciels. »Serguei Sviatyi, administrateur cloud, IPS-Integrated Project Services
Par ailleurs, les responsables informatiques au sein des entreprises doivent déterminer le moment le plus opportun pour appliquer les correctifs. « Une mise à jour ne peut pas intervenir en pleine journée, pendant des réunions importantes avec des clients », explique Daniel. « Vous ne pouvez pas vous immiscer dans le fonctionnement de l'entreprise. »
Selon M. Sviatyi, pour les petites structures, le passage à un cycle continu de mises à jour et d'application de correctifs permettra d'améliorer la protection globale des systèmes. « Ces entreprises ne disposent généralement pas du personnel ni des ressources nécessaires pour se consacrer au déploiement des mises à jour. »
De nouvelles stratégies de mise à jour peuvent également alléger la charge de travail des prestataires qui accompagnent les petites entreprises . Cela leur permet de se contenter de vérifier l'état des mises à jour, plutôt que de déployer eux-mêmes les correctifs et les mises à jour. Pour les grandes organisations, la situation peut être différente.
« De nombreuses grandes entreprises finissent inévitablement par écrire du “code de liaison” pour transférer des données provenant de différents éditeurs de logiciels », explique M. Sviatyi. Ce type de code peut s'appuyer sur une API et des tâches planifiées pour éviter la duplication des données, voire pour exécuter des fonctions essentielles. Cela signifie que les grandes entreprises pourraient hésiter à passer à la nouvelle version.
Si les organisations utilisent des logiciels pour lesquels une faille de sécurité est découverte chaque mois, mais qu'un correctif n'est proposé que dans une nouvelle version, elles pourraient être amenées à réécrire leur code informatique afin de bénéficier de la protection la plus récente.
« Les entreprises se retrouvent prisonnières de logiciels non sécurisés faute de ressources suffisantes pour modifier leurs processus et techniques internes », explique Sviatyi. « Le télétravail a rendu la protection [des logiciels] encore plus difficile. »
