Ce qu'il faut savoir
Les risques liés à la chaîne d'approvisionnement logicielle sont désormais l'une des principales préoccupations des entreprises du secteur privé et des organismes publics, quelle que soit leur taille. La principale raison de cette augmentation du risque réside dans le nombre considérable de paquets et de bibliothèques open source utilisés. Par exemple, GitHub, une plateforme en ligne qui gère des logiciels pour le compte de tiers, héberge plus de 200 millions de dépôts de logiciels. Par ailleurs, JavaScript et Python, deux langages de programmation très répandus, prennent en charge, à eux deux, plus d'un million de bibliothèques.
Face à la demande croissante en matière de développement logiciel rapide, les progiciels et bibliothèques open source sont devenus des éléments essentiels permettant ce déploiement rapide. Toutefois, le suivi et le recensement de ce processus sont limités. On sait peu de choses sur la mesure dans laquelle les développeurs et les éditeurs de logiciels utilisent ces progiciels. Aucune base de données n'indique quelles entreprises utilisent quels composants logiciels. Il se peut même que les entreprises elles-mêmes n'aient pas conscience de l'étendue des logiciels qu'elles utilisent pour leurs opérations commerciales essentielles.
Le défi, c'est de le trouver
Pour réduire les risques auxquels votre organisation est exposée, il est essentiel d'identifier les installations concernées et d'y appliquer les correctifs nécessaires ou d'en atténuer les risques dès que possible. Cependant, la difficulté réside dans la mise à jour des bibliothèques open source tierces largement utilisées, telles que cURL, et dans l'identification de toutes les occurrences de leur utilisation au sein de l'entreprise.
CURL, à l'instar d'autres bibliothèques open source, est un code source que les éditeurs de logiciels doivent compiler ; il peut être distribué de différentes manières, qu'il s'agisse d'une intégration statique dans leur programme ou de ressources liées dynamiquement. Les outils traditionnels de détection des vulnérabilités ont du mal (voire, dans de nombreux cas, sont incapables) à détecter ce type de dépendances. Par conséquent, leur identification nécessite une approche à plusieurs niveaux.
En quoi Tanium SBOM peut-il vous aider ?
La solution « » de Tanium Software Bill of Materials (SBOM), lorsqu'elle est associée à Tanium Asset, permet d'identifier les bibliothèques tierces associées aux progiciels. Tanium SBOM est une fonctionnalité complémentaire qui fonctionne à la fois avec Asset et Comply.
Grâce à l'utilisation d'un seul agent Tanium, Tanium SBOM offre une visibilité en temps réel sur les environnements logiciels complexes, ce qui permet aux organisations de prendre des décisions plus éclairées en matière de gestion des risques liés aux terminaux.
Une fois Tanium SBOM configuré, vous disposerez d'informations détaillées sur chaque application logicielle de votre environnement ainsi que sur la présence de paquets vulnérables. Il vous suffit de poser une question à Tanium SBOM pour obtenir, en quelques secondes et à grande échelle, une réponse couvrant l'ensemble de votre environnement.
Comment utiliser Tanium SBOM pour remédier à la vulnérabilité de cURL
Tanium SBOM prend actuellement en charge l'analyse de ces écosystèmes : Java, JavaScript, Python, PHP, Ruby et les binaires GoLang. L'installation et la configuration du contenu SBOM nécessitent quelques étapes supplémentaires.
Grâce à Tanium, vous pourrez :
- Comprendre chaque composant logiciel lors de son exécution, en identifiant les progiciels et en examinant tous les composants qui les constituent, sans dépendre de l'éditeur du logiciel. Il permet d'analyser les fichiers des clients lourds et d'inspecter les environnements de clients légers.
- Remédiez aux vulnérabilités ou aux erreurs de configuration détectées dans ces composants.
- Prenez des mesures pour limiter les risques en mettant fin à l'utilisation d'un appareil affecté, en arrêtant les processus concernés, voire en supprimant complètement les applications des terminaux concernés.
La plateforme Tanium Converged Endpoint Management (XEM) permet d'identifier et de corriger des vulnérabilités telles que celle de cURL dès aujourd'hui, et de mieux préparer votre organisation à faire face aux futures vulnérabilités de la chaîne d'approvisionnement.
Vous trouverez davantage d'informations, notamment dans l'article « » (Comment Tanium peut vous aider : vulnérabilité cURL CVE-2023-38545) :
