À l'instar des sauterelles, les failles « zero-day » ne cessent d'affluer. La dernière en date, baptisée « Spring4Shell », est une vulnérabilité affectant le produit « Spring » de VMware ,
, une boîte à outils Java open source destinée au développement d'applications. Personne ne sait encore dans quelle mesure cette faille posera problème.
Tout comme pour la vulnérabilité « Log4Shell » , dont le nom est similaire et que des chercheurs ont rendue publique dans décembre 2021, cette situation exigera une action rapide et concertée de la part des professionnels de la cybersécurité et des développeurs de logiciels. Cette collaboration commence à prendre forme.
Cette nouvelle faille, révélée sur 31 mars, est la deuxième faille de Spring signalée en une semaine, et survient quelques jours seulement après que Google a annoncé que son navigateur Chrome , utilisé par environ 3,2 milliards de personnes, comportait une faille « zero-day » dans son moteur JavaScript. Le navigateur Edge de Microsoft a été affecté par le même bug. Les deux entreprises ont publié des correctifs et ont exhorté les utilisateurs à mettre à jour ces navigateurs dès que possible.
Les failles logicielles peuvent être corrigées. Mais seulement si vous mettez à jour vos logiciels. Et bien que la mise en place de correctifs relève généralement de la responsabilité des équipes informatiques, les membres du conseil d'administration et les cadres dirigeants s'impliquent de plus en plus dans le débat. Ils demandent à leurs responsables de la sécurité des systèmes d'information (RSSI), à leurs responsables informatiques (DSI) et à d'autres responsables s'ils ont mis en place des stratégies de gestion des correctifs adaptées. Et si ce n'est pas le cas, pourquoi ? Ces discussions auraient dû avoir lieu depuis bien longtemps.
Vous souhaitez lancer votre propre discussion ? Voici ce que les dirigeants du monde des affaires et des technologies doivent savoir concernant les meilleures approches.
Découvrez les principes fondamentaux de la gestion des correctifs
Une faille « zero-day » est la forme la plus dangereuse de vulnérabilité : elle est connue des pirates informatiques avant même que les éditeurs de logiciels ou les utilisateurs n'en aient connaissance. La faille de sécurité « zero-day » annoncée par Google touche les utilisateurs de Chrome sous Windows, macOS et Linux, ainsi que les utilisateurs du navigateur Edge de Microsoft. Google indique que le niveau de menace est élevé, mais n'a fourni aucune autre information.
«Google indique que le niveau de menace est élevé, mais n’a fourni aucune autre information. »
Dans de telles situations, les dirigeants d'entreprise doivent raisonner comme des oncologues. Ils ne comprennent peut-être pas tout à fait ce qu'est le cancer, mais ils devraient parfaitement maîtriser le traitement.
Cela implique de comprendre les étapes nécessaires à une gestion efficace des correctifs. Il s'agit notamment de rechercher les correctifs disponibles, de hiérarchiser ceux qui sont les plus importants pour une organisation, puis de les installer, de les tester et de documenter vos configurations.
La gestion automatisée des correctifs peut contribuer à simplifier ce processus, en particulier pour les entreprises qui comptent des centaines, voire des milliers, de terminaux. L'automatisation de la sécurité garantit qu'aucune vulnérabilité ne reste sans solution. Et ce n'est là qu'un de ses nombreux avantages.
[En savoir plus : Qu'est-ce que la gestion des correctifs ?]
Préparez-vous à relever les défis liés à l'application des correctifs logiciels
Lundi, l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) , dirigée par l' 28 mars, a averti les agences civiles fédérales de corriger la faille de Chrome. Elle leur a accordé trois semaines pour le faire. Le mandat de l'ASAP n'a rien de nouveau. La CISA a publié en décembre une directive d'urgence exigeant des agences qu'elles accélèrent l'application des correctifs sur leurs réseaux pour remédier à la vulnérabilité « Log4j ». Log4j, un utilitaire de journalisation open source, est utilisé dans des millions d'applications Java, et son exploitation a suscité une vive inquiétude, ce qui a ravivé l'intérêt des dirigeants d'entreprise et des responsables techniques pour la gestion des correctifs.
Suzanne Spaulding, a senior adviser for homeland security and director of the Defending Democratic Institutions project at the Center for Strategic and International Studies, called CISA’s patching directives “risk management 101.”
Cela signifie que l'application des correctifs logiciels est indispensable. Mais cela peut aussi s'avérer compliqué. In décembre 2021, Endpoint laid out the need for speed in such endeavors, the bumps along the way, and the steps to overcome those bumps. Première étape : Mettre en place un processus complet de découverte et d'inventaire des actifs .
Recherchez les failles logicielles au sein de votre chaîne d'approvisionnement
Pour les dirigeants du monde des affaires et des technologies, encore sous le choc du bug Log4j , la nouvelle concernant la dernière vulnérabilité de Spring a provoqué un sentiment de déjà-vu. Mais cela nous a également rappelé que les tiers présents dans votre écosystème réseau peuvent offrir une porte dérobée aux pirates informatiques.
« Les entreprises comptent probablement plus de tiers que jamais au sein de leur écosystème », a averti Sandy Carielli, analyste principale chez Forrester, lors de l’événement « » et du « Security & Risk Forum 2021 » organisés par la société.
Trop d'organisations n'ont pas modifié leur approche en matière de gestion des risques liés aux technologies d'entreprise et aux tiers. Cela doit changer. In décembre 2021, Endpoint took a deep dive into supply chain hacks—how they work (it’s less complicated than you might think), who’s affected (that would be all of us), and why they continue to be so successful. (Il existe des erreurs courantes commises par les entreprises et d'autres organisations qui facilitent la tâche des pirates.)
L'actualité de cette semaine incitera sans aucun doute de nombreuses personnes à consulter le catalogue des vulnérabilités connues exploitées de la CISA, intitulé « » (). La CISA ajoute de nouvelles vulnérabilités à cette base de données sur la base de preuves d'exploitation active. Conçue et adaptée à l'origine pour les agences fédérales, cette base de données constitue une ressource utile pour tous, et la CISA encourage les entreprises et autres entités à utiliser les informations qu'elle contient comme indicateur d'activités cybercriminelles importantes.
Comme le montrent les titres récents — «: huit vulnérabilités supplémentaires », «: neuf », «: 32 », «: 66 » —, les révélations ne cessent de se succéder.
Mieux vaut ajouter cette page du CISA à vos favoris.
