Comme les locusts, les bugs zero-day ne cessent de se produire. La dernière, surnommée Spring4Shell, est une vulnérabilité dans le produit de printemps VMware,
une boîte à outils Java open source pour la création d’applications. Personne ne sait encore à quel point ce défaut sera problématique.
Comme pour la vulnérabilité Log4Shell de même nom, que les chercheurs ont divulguée publiquement en décembre 2021, elle nécessitera une action collaborative rapide de la part des professionnels de la cybersécurité et des développeurs de logiciels. Cette collaboration prend forme.
Le nouveau piratage, a révélé 31 mars, est le deuxième bug de printemps signalé en une semaine, et vient quelques jours seulement après que Google a annoncé que son navigateur Chrome, utilisé par environ 3,2 milliards de personnes, contenait un défaut zero-day dans son moteur JavaScript. Le navigateur Edge de Microsoft a subi le même bug. Les deux entreprises ont émis des correctifs et ont exhorté les utilisateurs à mettre à jour ces navigateurs dès que possible.
Les défauts logiciels sont réparables. Mais seulement si vous corrigez vos trucs. Et bien que l’application de correctifs puisse être le travail des équipes des opérations informatiques, les membres du conseil d’administration et les cadres dirigeants entrent de plus en plus dans la conversation. Ils demandent à leurs RSSI, DSI et autres s’ils disposent de stratégies de gestion des correctifs appropriées. Si ce n’est pas le cas, pourquoi pas ? Ces discussions sont longtemps en retard.
Vous souhaitez commencer votre propre conversation ? Voici ce que les dirigeants commerciaux et technologiques doivent savoir sur les meilleures approches.
Découvrez les bases de la gestion des correctifs
Un zero-day est la forme de vulnérabilité la plus dangereuse, connue des pirates informatiques avant que les fournisseurs de logiciels ou les utilisateurs n’en aient connaissance. Le défaut de sécurité zero-day annoncé par Google affecte les utilisateurs de Chrome sur Windows, macOS et Linux, ainsi que les utilisateurs du navigateur Edge de Microsoft. Google note que le niveau de menace est élevé, mais n’a publié aucune information supplémentaire.
« Google note que le niveau de menace est élevé, mais n’a publié aucune information supplémentaire. »
Dans de telles situations, les chefs d’entreprise doivent penser comme des oncologues. Il se peut qu’ils ne comprennent pas complètement le cancer, mais ils doivent être totalement au courant du traitement.
Cela signifie comprendre les étapes impliquées dans une gestion efficace des correctifs. Il s’agit notamment d’analyser les correctifs disponibles, de hiérarchiser les plus importants pour une organisation, puis d’installer, de tester et de documenter vos configurations.
La gestion automatisée des correctifs peut aider à simplifier ce processus, en particulier pour les entreprises qui disposent de centaines, voire de milliers, d’endpoints. L’automatisation de la sécurité garantit qu’aucune vulnérabilité n’est laissée sans réponse. Et ce n’est qu’un de ses multiples avantages.
[En savoir plus : Qu’est-ce que la gestion des correctifs ?]
Soyez prêt à relever les défis liés aux correctifs logiciels
Lundi 28 mars, l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a averti les agences civiles fédérales de corriger le défaut de Chrome. Cela leur a donné trois semaines pour le faire. Le mandat ASAP n’est pas nouveau. La CISA a publié une directive d’urgence en décembre, exigeant des agences qu’elles accélèrent l’application de correctifs sur les réseaux pour la vulnérabilité Log4j. Log4j, un utilitaire de journalisation open source, est utilisé dans des millions d’applications Java, et son exploitation a suscité des inquiétudes généralisées, entraînant un regain d’intérêt pour la gestion des correctifs auprès des dirigeants commerciaux et technologiques.
Suzanne Spaulding, conseillère principale pour la sécurité intérieure et directrice du projet Défense des institutions démocratiques au Centre d’études stratégiques et internationales, a appelé les directives de correction de la CISA « gestion des risques 101 ».
Cela signifie que l’application de correctifs logiciels est essentielle. Mais cela peut également être compliqué. En décembre 2021, Endpoint a exposé le besoin de vitesse dans de telles entreprises, les bosses en cours de route et les étapes pour surmonter ces bosses. Première étape : établir un processus complet de découverte et d’inventaire des actifs .
Recherchez les vulnérabilités logicielles dans votre chaîne d’approvisionnement
Pour les chefs d’entreprise et les leaders technologiques toujours gênants par le bug Log4j , les nouvelles concernant la dernière vulnérabilité du printemps ont déjà vu le jour. Mais c’était également un rappel que les tiers de votre écosystème réseau peuvent ouvrir une porte dérobée aux pirates informatiques.
« Les organisations ont probablement plus de tiers dans leur écosystème que jamais auparavant », a averti Sandy Carielli, analyste principal chez Forrester, lors duSecurity & Risk Forum 2021 de l’entreprise.
Trop d’organisations n’ont pas changé leur façon d’atténuer les risques liés aux technologies commerciales et aux tiers. Cela doit changer. En décembre 2021, Endpoint a approfondi les piratages de la chaîne d’approvisionnement : comment ils fonctionnent (c’est moins compliqué que vous ne le pensez), qui est affecté (ce serait nous tous) et pourquoi ils continuent à réussir. (Il existe des erreurs courantes que les entreprises et d’autres groupes commettent et qui aident les attaquants à faire leur travail sale.)
Les actualités de cette semaine auront sans aucun doute beaucoup de personnes qui se connectent au catalogue des vulnérabilités exploitées connues du CISA. CISA ajoute de nouvelles vulnérabilités à cette base de données en fonction des preuves d’exploitation active. Initialement conçue et adaptée pour les agences fédérales, la base de données est un outil utile pour tout le monde, et la CISA encourage les entreprises et autres entités à utiliser les informations qui y sont contenues comme guide pour une activité cybercriminelle importante.
Comme le montrent les titres récents : « Huit vulnérabilités ajoutées », « Neuf », « 32 », « 66 », les succès ne cessent de se produire.
Il est préférable de garder cette page CISA mise en signet.
