L’application de correctifs aux logiciels et systèmes vulnérables est plus importante et plus difficile à suivre que jamais. Voici comment les professionnels de l’informatique peuvent rendre leur processus de gestion des correctifs plus efficace, éliminer les interruptions et assurer la sécurité de leurs réseaux.
Qu’est-ce que la gestion des correctifs (patch management) ?
Identifiez et corrigez automatiquement les vulnérabilités de l’ensemble de votre parc informatique, rapidement et à grande échelle, à partir d’un panneau de contrôle centralisé, aucune infrastructure n’est requise.
Si les appareils Windows dominent toujours le marché des entreprises, les terminaux Mac et Linux sont de plus en plus répandus. Une gestion des correctifs moderne nécessite un outil permettant de sécuriser efficacement les trois systèmes d’exploitation.
Téléchargez notre guide pour savoir comment évaluer l’état de préparation de votre entreprise en matière de correctifs et comment évaluer les solutions potentielles.
Pourquoi le processus de gestion des correctifs (patch management) est-il important ?
L’application de correctifs permet aux systèmes et aux applications de fonctionner sans heurts et constitue également l’une des activités essentielles pour assurer la sécurité des entreprises. Laisser les machines non patchées les rend vulnérables aux cyberattaques, et le risque est réel. En effet, selon l’Institut Ponemon, la majorité des violations de données (57%) peuvent être directement attribuées à des attaquants exploitant une vulnérabilité connue qui n’a pas été corrigée.
Un examen rapide des titres relatifs à la sécurité offre de nombreux exemples l’affaire Equifax (cause: une vulnérabilité d’Apache Struts non corrigée datant de deux mois) à SingHealth (les données de 1,5 million de patients ont été exposées grâce à une version obsolète d’Outlook)).
Tous ces événements ont entraîné des incidents de sécurité et des violations de données très médiatisés qui auraient pu être évités grâce à un processus de gestion des correctifs plus rigoureux et plus efficace.
L’empressement soudain à faire travailler les employés à distance pendant la crise de la COVID a aggravé le problème, les attaquants cherchant régulièrement à exploiter les vulnérabilités des solutions courantes de réseau privé virtuel (VPN), y compris :
- Citrix (CVE-2019-19781)
- Palo Alto (CVE-2020-2021)
- Pulse Secure (CVE-2019-11510)
- SonicWall (CVE-2020-5135).
Le défi pour les petites et moyennes entreprises
Si certaines des entreprises les plus grandes et les mieux financées du monde ont des difficultés avec la gestion des correctifs, qu’en est-il des petites et moyennes entreprises dont le support informatique est limité ?
Plus de 18 000 CVE ont été publiés en 2020.
Source : Magazine InfoSecurity
Certaines des plus grandes difficultés avec les applications de correctifs sont centrées sur le fait que le processus peut prendre du temps, être compliqué et perturber les utilisateurs finaux. Par conséquent, il est facile de remettre à plus tard l’application des correctifs ou de laisser des mises à jour importantes se perdre dans la masse. Et avec plus de 18 000 CVE publiés en 2020, il n’est pas surprenant que de nombreuses entreprises aient du mal à suivre.
Le délai moyen de l’application d’un correctif est de 102 jours.
Source : Ponemon
Malheureusement, le risque que représentent les systèmes non corrigés est en augmentation. Une fois qu’une vulnérabilité a été divulguée et qu’un correctif a été publié, c’est la course pour que les entreprises appliquent le correctif avant que les attaquants ne commencent à l’exploiter activement. Cette fenêtre de temps se rétrécit considérablement, avec de nombreux exemples récents où les attaquants ont pu lancer des attaques en exploitant de nouvelles vulnérabilités avant ou quelques jours seulement après leur divulgation.
Une fois que des exploits fonctionnels ont été développés, ils sont rapidement adoptés à grande échelle. Les outils d’analyse comme Shodan, nmap et masscan permettent alors aux attaquants d’identifier facilement les systèmes vulnérables et de lancer des campagnes ciblées.
Pour de nombreuses petites entreprises, la solution pour rester à jour au niveau des correctifs consiste à confier cette tâche à un fournisseur de services gérés (MSP) ou une entreprise d’infogérance. Mais comment les meilleures entreprises MSP font face à ce problème ?
Découvrez comment le groupe Syscomm a pu exploiter NinjaOne pour tirer le meilleur parti de sa surveillance de la sécurité.
« Nous utilisons NinjaOne pour automatiser l’application des correctifs sur nos appareils et nos serveurs. Nous gagnons beaucoup de temps sur les mises à jour car nous n’avons plus d’étapes manuelles dans notre flux de travail. »
Martin Wells, PDG de Syscomm
Les 10 étapes clés d’un processus de gestion des correctifs (patch management)
Vous trouverez ci-dessous un modèle de processus de gestion des correctifs en 10 étapes qui met en évidence les éléments fondamentaux à prendre en compte dans tout plan de gestion des correctifs. Avant tout, vous devez vous assurer que vous avez établi des rôles et responsabilités pour chaque étape, et que toutes les parties prenantes clés sont pleinement impliquées.
1ère étape : Découverte
Tout d’abord, vous devez vous assurer que vous disposez d’un inventaire complet du réseau. Il s’agit notamment de comprendre les types d’appareils, les systèmes d’exploitation, les versions du système d’exploitation et les applications tierces au niveau le plus élémentaire. De nombreuses violations sont dues au fait que les départements informatiques ont négligé ou oublié des systèmes. Les MSP devraient utiliser des outils qui leur permettent de scanner les environnements de leurs clients et d’obtenir des instantanés complets de tout ce qui se trouve sur le réseau.
2ème étape: Catégorisation
Segmenter les systèmes gérés et/ou les utilisateurs en fonction des risques et des priorités. Par exemple, par type de machine (serveur, ordinateur portable, etc.), système d’exploitation, version du système d’exploitation, rôle de l’utilisateur, etc. Cela vous permettra de créer des politiques de mise à jour plus précises au lieu d’adopter une seule approche.
3ème étape : Création d’une stratégie de gestion des correctifs (patch management)
Créez des critères de mise à jour en établissant ce qui sera mis à jour, quand et dans quelles conditions. Par exemple, vous pouvez vouloir vous assurer que certains systèmes/utilisateurs reçoivent des mises à jour automatiquement et plus fréquemment que d’autres (le calendrier des mises à jour pour les utilisateurs finaux d’ordinateurs portables peut être hebdomadaire, tandis que les mises à jour pour les serveurs peuvent être moins fréquentes et plus manuelles). Vous pouvez également traiter différemment les différents types de correctifs, certains ayant un processus de déploiement plus rapide ou plus étendu (pensez aux mises à jour du logiciel de navigation par rapport aux mises à jour du système d’exploitation, aux mises à jour critiques par rapport aux mises à jour non critiques, par exemple). Enfin, vous voudrez identifier les fenêtres de maintenance afin d’éviter toute perturbation (tenez compte des fuseaux horaires pour l’application de correctifs, etc.) et créer des exceptions.
4ème Étape : Surveiller les nouveaux correctifs et les vulnérabilités
Comprendre les calendriers et les modèles de diffusion des mises à jours des fournisseurs, et identifier les sources fiables de divulgation des vulnérabilités en temps voulu. Créez un processus d’urgence d’évaluation des correctifs
5ème étape : Test des correctifs
Créez un environnement de test ou du moins un segment de test pour éviter d’être pris au dépourvu. Cela inclut la création d’un backup pour un retour en arrière facile si nécessaire. Vérifiez le succès du déploiement et surveillez les problèmes d’incompatibilité ou de performance.
6ème étape : Gestion de la configuration
Documentez toute modification sur le point d’être effectuée par le biais d’une mise à jour. Cela vous sera utile si vous rencontrez des problèmes avec le déploiement des mises à jour au-delà du segment ou de l’environnement de test initial.
7ème étape : Déploiement des correctifs
Suivez les stratégies de gestion des correctifs que vous avez créées à la 3ème étape.
8ème étape : Audit des correctifs
Effectuez un audit de la gestion des correctifs pour identifier les mises à jour qui ont échoué ou qui sont en attente, et assurez-vous de continuer à surveiller tout problème inattendu d’incompatibilité ou de performance. Il est également judicieux de faire appel à des utilisateurs finaux spécifiques qui peuvent vous aider en étant des yeux et des oreilles supplémentaires.
9ème étape : Rapports
Créez un rapport de conformité que vous pourrez partager avec vos clients pour offrir une meilleure visibilité de votre travail.
10ème étape : Revoir, améliorer et répéter
Établissez une fréquence pour répéter et optimiser les étapes 1 à 9. Il s’agit notamment de supprimer progressivement ou d’isoler toute machine obsolète ou non prise en charge, de revoir vos stratégies et de réexaminer les exceptions pour vérifier si elles sont toujours applicables ou nécessaires.
Quelles sont les bonnes pratiques de gestion des correctifs ?
De plus en plus d’entreprises requièrent une gestion efficace des correctifs, les entreprises MSP et d’infogérance doivent donc améliorer leurs propres processus et leurs offres. Voici 3 éléments clés pour que les entreprises MSP et d’infogérance fournissent des services de gestion des correctifs plus intelligents, plus efficaces et plus performants en 2022.
1) Automatiser les mises à jour de correctifs
La gestion des correctifs (patch management) est un secteur dans lequel il est extrêmement facile de prendre du retard, surtout si vous comptez encore sur l’identification, l’évaluation et le déploiement manuels des correctifs. Les logiciels de gestion automatisée des correctifs basés sur le cloud permettent aux entreprises MSP de programmer des analyses de mise à jour régulières et de s’assurer que les correctifs sont appliqués dans des conditions spécifiques ou automatiquement.
Comment NinjaOne peut vous aider :
- Automatisez l’application des correctifs pour Windows et les logiciels tiers de plus de 120 fournisseurs.
- Configurez facilement l’analyse des mises à jour et les planifications de mises à jour pour des groupes spécifiques d’appareils ou d’utilisateurs. Obtenez un contrôle total et précis, ou bien configurez-le et laissez-le de côté.
- Passez moins de temps à chercher les nouvelles mises à jour et les divulgations de vulnérabilités, et plus de temps à développer votre activité.
2) Diminuer la vérification du déploiement des correctifs grâce aux rapports d’audit
Bien que l’automatisation des correctifs soit de plus en plus populaire, les entreprises MSP et d’infogérance ne peuvent malheureusement pas toujours supposer que les solutions de gestion des correctifs automatisée fonctionnent parfaitement. Cela signifie une vérification manuelle qui prend du temps. Développer des scripts ou des processus pour alléger cette charge (ou, mieux encore, utiliser des solutions qui ne nécessitent pas de double vérification) est un investissement qui en vaut la peine.
Comment NinjaOne peut vous aider :
- Accédez à des rapports détaillés d’audit des mises à jour.
- Éliminez les incertitudes en vous assurant que vous avez accès à des informations fiables en temps réel.
3) Rationaliser les rapports
Tout ce que vous faites en tant qu’entreprise MSP ou d’infogérance doit être communiqué comme une valeur ajoutée à vos clients. La gestion des correctifs ne doit pas faire exception à la règle, mais la fourniture de rapports d’audit sur la gestion des correctifs doit être aussi automatique que possible. Après tout, plus les rapports prennent du temps, moins vous en avez pour fournir des services supplémentaires et développer votre entreprise.
Instructions étape par étape pour l’implémentation de votre processus de gestion des correctifs
L’objectif ultime de la gestion des correctifs est de s’assurer que toutes les solutions logicielles de votre parc informatique sont mises à jour afin de maintenir votre réseau informatique en bonne état. En règle générale, le processus de gestion des correctifs comprend les étapes suivantes.
-
Déterminer les données de base
On ne sait pas ce que l’on ne sait pas, et il en va de même pour votre processus de gestion des correctifs logiciels. La première étape consiste à déterminer les données de base en dressant un inventaire de tous les logiciels de votre entreprise. Cela vous permet de mieux comprendre quels dispositifs doivent être corrigés, quels correctifs ont été mis en œuvre et lesquels peuvent être manquants. Cela vous permet de mettre en place une procédure de gestion des correctifs plus complète.
-
Établir des priorités en fonction des risques et de la criticité
Après avoir examiné les terminaux à patcher et identifié leurs applications logicielles, vous devez d’abord établir une hiérarchie sur les correctifs à implémenter. Établir des priorités en fonction de leur niveau d’importance et de la voie d’attaque potentielle. En concevant votre processus de cette manière, vous garantissez que les vulnérabilités à haut risque sont immédiatement résolues avant qu’elles ne se transforment en problèmes plus importants.
-
Créer une stratégie de gestion des correctifs
Cette stratégie doit énoncer clairement les processus qui doivent être suivis et faire l’objet d’un rapport pour chaque appareil et logiciel. Elle doit également déterminer comment et quand les correctifs de sécurité doivent être déployés et toute autre règle nécessaire pour les correctifs et les mises à jour.
Il s’agit sans doute de l’étape la plus longue de votre stratégie globale. Cependant, la stratégie de gestion des correctifs de votre entreprise doit être facile à comprendre et à mettre en œuvre. Il doit décrire clairement vos techniques, vos lignes directrices, vos rôles et responsabilités, ainsi qu’un processus de documentation complet avant et après l’application des correctifs.
-
Tester les correctifs
Veillez à ce que les correctifs soient évalués et testés avant d’être implémentés et déployés dans l’ensemble de votre entreprise. Cette phase de test vous permet d’évaluer les correctifs dans un environnement contrôlé et d’observer personnellement les incompatibilités potentielles ou les effets négatifs des correctifs apportés à votre serveur. Vous pouvez effectuer les étapes 3 et 4 si nécessaire.
-
Sauvegarde des données
Même si vous estimez que votre stratégie est “parfaite”, il est fortement recommandé de sauvegarder complètement vos systèmes et données clés avant d’appliquer des correctifs. Il s’agit d’un filet de sécurité au cas où des problèmes surviendraient lors de l’application des correctifs de sécurité. Vous pouvez également envisager un outil de récupération des données pour restaurer facilement vos systèmes en cas d’incident.
Le logiciel de récupération de données de NinjaOne offre une sauvegarde complète et une récupération rapide des données.
Protégez vos données dès maintenant.
-
Contrôler les mises à jour des correctifs et résoudre les problèmes
Compte tenu de l’évolution constante des entreprises et de l’informatique, il est essentiel de surveiller en permanence votre processus de gestion des correctifs. Vérifiez si vos correctifs ont été installés avec succès, vérifiez si vous êtes en conformité avec les différentes normes réglementaires, telles que le RGPD et PCI DSS et tenez-vous au courant des nouveaux correctifs à appliquer.
Comment NinjaOne peut vous aider :
- Générez des rapports de conformité qui mettent en évidence le nombre de mises à jour que vous avez appliqués.
- Donnez plus de visibilité de votre travail auprès de vos clients.
- Assurez-vous que vos outils sont à la hauteur de la tâche.
