Gestion automatisée des correctifs de sécurité
Une grande partie des violations de sécurité que j’ai examinées n’impliquaient pas une faille « zero-day » sophistiquée — elles concernaient une vulnérabilité pour laquelle un correctif était déjà disponible, parfois depuis des mois, mais qui n’avait tout simplement pas encore été appliqué. Le correctif existait. La solution existait. Elle attendait son tour. La gestion des correctifs semble être l’élément le plus élémentaire de toute liste de contrôle de sécurité, et c’est le cas ; c’est précisément pour cette raison qu’elle est si souvent négligée : elle n’a rien de prestigieux, elle est constante, et c’est la première chose à être reléguée au second plan lorsqu’une équipe est débordée.
Le défi ne réside généralement pas dans la sophistication technique, mais dans la rigueur et la couverture : connaître chaque correctif important sur tous les systèmes que vous exploitez, le tester suffisamment pour être certain qu’il ne causera pas de dysfonctionnement critique, et le déployer avant que le délai entre la « publication du correctif » et son « application » ne devienne une brèche par laquelle un attaquant pourrait s’engouffrer. Cette fenêtre se réduit à l’échelle du secteur ; les attaquants procèdent à une ingénierie inverse des correctifs pour identifier la vulnérabilité presque aussi vite que le correctif est mis à disposition.
Comment j’aborderais la question
Je commencerais par dresser un inventaire précis des actifs, car vous ne pouvez pas appliquer de correctifs à ce dont vous ignorez l’existence — c’est là que la gestion des actifs et la gestion des correctifs se recoupent directement. À partir de là, il convient de procéder à un déploiement automatisé partout où l’automatisation est véritablement sûre, en mettant en place un processus de test et de mise en production raisonnable pour tout ce qui présente un risque plus élevé ; l’objectif n’est donc pas d’« appliquer les correctifs instantanément », mais de « les appliquer aussi rapidement que possible tout en garantissant la sécurité de votre environnement ». Les vulnérabilités critiques doivent être traitées en priorité et traitées en urgence avant les mises à jour de routine, et l’ensemble du processus doit faire l’objet d’un suivi qui vous indique, en toute transparence, ce qui a réellement été corrigé et ce qui reste exposé — il ne s’agit pas de partir du principe que l’automatisation fonctionne, mais de vérifier qu’elle fonctionne bel et bien.
Une gestion des correctifs bien menée est d’une simplicité rassurante : elle fonctionne tout simplement, discrètement, en arrière-plan, et personne n’a à s’en soucier jusqu’à ce qu’un rapport confirme qu’elle est bien en cours. Tel est l’objectif.
Si vous n’êtes pas tout à fait certain que vos systèmes bénéficient des correctifs dans des délais réellement pertinents, discutons ensemble des moyens de combler cette lacune.