Article 1 sur 3
Six conseils pour un Patch Tuesday sans douleur
Le cycle mensuel de publication de patch de Microsoft (sa dernière version de patch sort ce mardi) semble avoir rendu le processus de correction relativement plus prévisible. Cependant, la tendance grandissante des hackers à faire de la rétro-ingénierie sur les patches de sécurité pour tirer avantage de la vulnérabilité sous-jacente laisse moins de temps aux entreprises pour tester et déployer des correctifs à travers leurs systèmes.
Ce qu'il faut, par conséquent, aux dires des experts en sécurité, c'est un processus officiel de gestion de patch qui puisse assurer le cycle de vie complet de correction depuis le moment de la disponibilité du correctif jusqu'au moment où il est déployé dans l'entreprise.
Avec cela à l'esprit, voici six conseils pour un Patch Tuesday sans douleur.
Etre organisé
Mettre en place un processus de gestion des correctifs requiert un accompagnement de haut niveau, selon Richard Linke, consultant indépendant basé à Chicago et ancien responsable de la sécurité mondiale de Kraft Foods. Sans cet accompagnement, il va être difficile d'obtenir la coopération nécessaire des nombreux départements et groupes au sein de l'entreprise, explique-t-il. « La gestion des patchs de sécurité est en position n°1 ou n°2 au hit-parade d'importance de l'environnement [de l'entreprise] des DSI et des PDG ».
Créer une équipe centrale de gestion de patch
Malgré le calendrier prévisible de publication de patches de Microsoft, la gestion de patch requiert cependant l'attention exclusive d'un groupe central de collaborateurs à temps plein au sein d'une organisation. La plupart des grandes entreprises disposent d'environnements d'applications très variés et les patchs Microsoft ne sont pas les seules mises à jour de sécurité dont ils doivent se préoccuper, explique Richard Linke. Il est bien placé pour le savoir : il a dirigé le groupe de gestion de patch de Kraft.
« Nous regardions toutes les vulnérabilités qui pouvaient affecter la moindre chose dans l'organisation », telles que celles touchant l'environnement réseau de Cisco ou les bases de données Oracle, le logiciel de sauvegarde et même l'environnement mainframe, poursuit Richard Linke.
Garder en priorité les failles de chacun de ces environnements signifie surveiller constamment les différents services de veille en vulnérabilité et comprendre si une faille particulière affecte un environnement de l'entreprise, quelle en est la gravité et comment planifier les déploiements. « Le plus important est la prise de conscience », commente Eric Schultze, architecte sécurité chez Shavlik Technologies, un éditeur américain d'outils de gestion de patch.
« Vous devez savoir que ces patchs ont été libérés et doivent être déployés. La plupart des gens connaissent ceux de Microsoft, très peu connaissent les patchs des autres vendeurs », explique-t-il.
Le groupe de gestion des patchs de Kraft était chargé d'acquérir chaque patch, de le valider et de le mettre dans une zone Visual Source Safe (VSS) à partir de laquelle tous les groupes participant au test des patchs pouvaient y accéder, raconte Richard Linke. « Nous étions les gardiens des clés de ces patchs. Tous les autres disposaient seulement des droits de lecture » pour les mises à jour, poursuit-il.
Posséder un processus de test
Dans un monde idéal, les entreprises seraient capables de déployer des patchs sans avoir à vérifier si cela risquait d'endommager des applications existantes ou de causer d'autres problèmes. Mais comme tout changement de configuration, un patch peut parfois avoir des conséquences inattendues et entraîner la nécessité d'être désinstallé. Par conséquent, il est vital de le tester sur les configurations et les applications de votre environnement, précise Gregory Toto, vice-président de la direction produit chez BigFix Inc., éditeur de solutions de gestion de patch.
Gregory Toto incite par ailleurs les entreprises à avoir un processus de répétition rapide des patches, pour le cas où les choses commenceraient à aller mal. Avoir une configuration matérielle standard au sein de l'entreprise peut également aider énormément.
Penser à des tests de patch semble être une étape évidente, même si près de la moitié des entreprises déployant des rustines (plus particulièrement les petites et les moyennes entreprises) ne le font pas.
Impliquer les partenaires dans les tests
L'application de patches n'est pas juste un problème pour le service IT. Elle touche virtuellement tout le monde. Par conséquent, il est crucial d'avoir une équipe virtuelle et interfonctionnelle de partenaires provenant de différents groupes (ordinateurs de bureau, serveurs, développement de logiciel, gestion de système, antivirus et support) impliqués dans le test et le déploiement de correctifs, souligne Min Ju, architecte sécurité chez CDW Corp., un intégrateur système basé aux Etats-Unis.
« Le groupe en charge de la gestion de patch ne va pas comprendre les différents processus spécifiques à chacun de ces groupes », ajoute Ju. Cela signifie qu'il convient de les impliquer dans le processus et de s'assurer qu'ils comprennent quelles sont leurs responsabilités.
Il faut aussi s'assurer que les propriétaires d'application et les groupes financiers soient engagés dans le processus, déclare Richard Linke. Ce sont les gens les plus aptes à certifier si un patch peut être déployé sans danger. « Vous devez avoir des gens au fait de chaque application.... pour procéder au test et certifier que leurs applications ne s'en trouvent pas endommagées. C'est la véritable clé », assure Richard Linke, qui utilise les outils de gestion de patch automatisés de PatchLink Corp.
Chez Kraft, les salariés chargés de tester les rustines étaient informés que la tâche faisait partie de leurs attributions et entrait dans le cadre de l'évaluation de leurs performances, détaille Richard Linke. Dans une plus petite entreprise, les patches peuvent être testés sur un petit nombre de systèmes avant d'être déployés dans toute l'entreprise.
Attribuer des tâches spécifiques aux personnes impliquées dans l'application de patch
Définir clairement les rôles et les tâches des personnes impliquées dans la correction des vulnérabilités peut minimiser la répétition des efforts et assurer une meilleure responsabilisation, déclare Min Ju.
Automatiser le processus autant que possible
La gestion de correctif est un domaine qui peut largement tirer profit de l'automatisation, déclare Richard Linke. Les hackers font de plus en plus de rétro-ingénierie sur des patches afin d'en exploiter la vulnérabilité sous-jacente. De ce fait, les entreprises sont sous pression pour déployer les patches aussi rapidement que possible, contrairement à avant, lorsqu'elles pouvaient attendre les périodes de maintenance planifiées régulièrement pour les installer. L'objectif pour ces entreprises est désormais de voir les correctifs essentiels installés en 48 heures maximum.
Les outils de gestion de patch automatisés peuvent aider les entreprises à faire un inventaire rapide de leurs systèmes, identifier ce qui est vulnérable, déployer les patches, les vérifier et s'assurer de la conformité, détaille Chris Andrew, vice-président de PatchLink. Les systèmes peuvent être utilisés pour déployer des patches à l'échelle mondiale depuis un central et les répéter si nécessaire, ajoute-t-il.
Le propre service de mise à jour de logiciel de Microsoft est un de ces outils. Parallèlement, beaucoup de produits sont disponibles chez des éditeurs tels que BigFix, Shavlik Technologies LLC et PatchLink. Certains outils, comme ceux de PatchLink, impliquent l'utilisation d'un client sur la machine de l'utilisateur final qui transmet les informations relatives à un serveur central.
« Aujourd'hui, le problème dans la gestion des correctifs porte moins sur le fait d'inciter au changement que de comprendre où vous en avez besoin », conclue Gregory Toto. « Actuellement, il s'agit plus d'un problème de visibilité que d'un problème de distribution ».
Ce qu'il faut, par conséquent, aux dires des experts en sécurité, c'est un processus officiel de gestion de patch qui puisse assurer le cycle de vie complet de correction depuis le moment de la disponibilité du correctif jusqu'au moment où il est déployé dans l'entreprise.
Avec cela à l'esprit, voici six conseils pour un Patch Tuesday sans douleur.
Etre organisé
Mettre en place un processus de gestion des correctifs requiert un accompagnement de haut niveau, selon Richard Linke, consultant indépendant basé à Chicago et ancien responsable de la sécurité mondiale de Kraft Foods. Sans cet accompagnement, il va être difficile d'obtenir la coopération nécessaire des nombreux départements et groupes au sein de l'entreprise, explique-t-il. « La gestion des patchs de sécurité est en position n°1 ou n°2 au hit-parade d'importance de l'environnement [de l'entreprise] des DSI et des PDG ».
Créer une équipe centrale de gestion de patch
Malgré le calendrier prévisible de publication de patches de Microsoft, la gestion de patch requiert cependant l'attention exclusive d'un groupe central de collaborateurs à temps plein au sein d'une organisation. La plupart des grandes entreprises disposent d'environnements d'applications très variés et les patchs Microsoft ne sont pas les seules mises à jour de sécurité dont ils doivent se préoccuper, explique Richard Linke. Il est bien placé pour le savoir : il a dirigé le groupe de gestion de patch de Kraft.
« Nous regardions toutes les vulnérabilités qui pouvaient affecter la moindre chose dans l'organisation », telles que celles touchant l'environnement réseau de Cisco ou les bases de données Oracle, le logiciel de sauvegarde et même l'environnement mainframe, poursuit Richard Linke.
Garder en priorité les failles de chacun de ces environnements signifie surveiller constamment les différents services de veille en vulnérabilité et comprendre si une faille particulière affecte un environnement de l'entreprise, quelle en est la gravité et comment planifier les déploiements. « Le plus important est la prise de conscience », commente Eric Schultze, architecte sécurité chez Shavlik Technologies, un éditeur américain d'outils de gestion de patch.
« Vous devez savoir que ces patchs ont été libérés et doivent être déployés. La plupart des gens connaissent ceux de Microsoft, très peu connaissent les patchs des autres vendeurs », explique-t-il.
Le groupe de gestion des patchs de Kraft était chargé d'acquérir chaque patch, de le valider et de le mettre dans une zone Visual Source Safe (VSS) à partir de laquelle tous les groupes participant au test des patchs pouvaient y accéder, raconte Richard Linke. « Nous étions les gardiens des clés de ces patchs. Tous les autres disposaient seulement des droits de lecture » pour les mises à jour, poursuit-il.
Posséder un processus de test
Dans un monde idéal, les entreprises seraient capables de déployer des patchs sans avoir à vérifier si cela risquait d'endommager des applications existantes ou de causer d'autres problèmes. Mais comme tout changement de configuration, un patch peut parfois avoir des conséquences inattendues et entraîner la nécessité d'être désinstallé. Par conséquent, il est vital de le tester sur les configurations et les applications de votre environnement, précise Gregory Toto, vice-président de la direction produit chez BigFix Inc., éditeur de solutions de gestion de patch.
Gregory Toto incite par ailleurs les entreprises à avoir un processus de répétition rapide des patches, pour le cas où les choses commenceraient à aller mal. Avoir une configuration matérielle standard au sein de l'entreprise peut également aider énormément.
Penser à des tests de patch semble être une étape évidente, même si près de la moitié des entreprises déployant des rustines (plus particulièrement les petites et les moyennes entreprises) ne le font pas.
Impliquer les partenaires dans les tests
L'application de patches n'est pas juste un problème pour le service IT. Elle touche virtuellement tout le monde. Par conséquent, il est crucial d'avoir une équipe virtuelle et interfonctionnelle de partenaires provenant de différents groupes (ordinateurs de bureau, serveurs, développement de logiciel, gestion de système, antivirus et support) impliqués dans le test et le déploiement de correctifs, souligne Min Ju, architecte sécurité chez CDW Corp., un intégrateur système basé aux Etats-Unis.
« Le groupe en charge de la gestion de patch ne va pas comprendre les différents processus spécifiques à chacun de ces groupes », ajoute Ju. Cela signifie qu'il convient de les impliquer dans le processus et de s'assurer qu'ils comprennent quelles sont leurs responsabilités.
Il faut aussi s'assurer que les propriétaires d'application et les groupes financiers soient engagés dans le processus, déclare Richard Linke. Ce sont les gens les plus aptes à certifier si un patch peut être déployé sans danger. « Vous devez avoir des gens au fait de chaque application.... pour procéder au test et certifier que leurs applications ne s'en trouvent pas endommagées. C'est la véritable clé », assure Richard Linke, qui utilise les outils de gestion de patch automatisés de PatchLink Corp.
Chez Kraft, les salariés chargés de tester les rustines étaient informés que la tâche faisait partie de leurs attributions et entrait dans le cadre de l'évaluation de leurs performances, détaille Richard Linke. Dans une plus petite entreprise, les patches peuvent être testés sur un petit nombre de systèmes avant d'être déployés dans toute l'entreprise.
Attribuer des tâches spécifiques aux personnes impliquées dans l'application de patch
Définir clairement les rôles et les tâches des personnes impliquées dans la correction des vulnérabilités peut minimiser la répétition des efforts et assurer une meilleure responsabilisation, déclare Min Ju.
Automatiser le processus autant que possible
La gestion de correctif est un domaine qui peut largement tirer profit de l'automatisation, déclare Richard Linke. Les hackers font de plus en plus de rétro-ingénierie sur des patches afin d'en exploiter la vulnérabilité sous-jacente. De ce fait, les entreprises sont sous pression pour déployer les patches aussi rapidement que possible, contrairement à avant, lorsqu'elles pouvaient attendre les périodes de maintenance planifiées régulièrement pour les installer. L'objectif pour ces entreprises est désormais de voir les correctifs essentiels installés en 48 heures maximum.
Les outils de gestion de patch automatisés peuvent aider les entreprises à faire un inventaire rapide de leurs systèmes, identifier ce qui est vulnérable, déployer les patches, les vérifier et s'assurer de la conformité, détaille Chris Andrew, vice-président de PatchLink. Les systèmes peuvent être utilisés pour déployer des patches à l'échelle mondiale depuis un central et les répéter si nécessaire, ajoute-t-il.
Le propre service de mise à jour de logiciel de Microsoft est un de ces outils. Parallèlement, beaucoup de produits sont disponibles chez des éditeurs tels que BigFix, Shavlik Technologies LLC et PatchLink. Certains outils, comme ceux de PatchLink, impliquent l'utilisation d'un client sur la machine de l'utilisateur final qui transmet les informations relatives à un serveur central.
« Aujourd'hui, le problème dans la gestion des correctifs porte moins sur le fait d'inciter au changement que de comprendre où vous en avez besoin », conclue Gregory Toto. « Actuellement, il s'agit plus d'un problème de visibilité que d'un problème de distribution ».