« Je mettrai à jour plus tard. » Cette phrase, chacun l'a déjà prononcée en reportant une notification de mise à jour. À l'échelle d'une entreprise, ce report systématique devient un véritable risque. Une grande partie des attaques exploite des failles déjà connues pour lesquelles un correctif existe. Les attaquants surveillent la publication des correctifs et automatisent l'exploitation des systèmes qui ne les ont pas encore appliqués. Organiser la gestion des mises à jour, ce que l'on appelle le patching, est donc une mesure de base, peu spectaculaire mais très efficace.
Pourquoi les correctifs sont si importants
Lorsqu'un éditeur publie un correctif de sécurité, il révèle indirectement l'existence d'une faille. À partir de ce moment, une course commence entre les organisations qui appliquent le correctif et les attaquants qui cherchent les systèmes vulnérables. Pour les équipements exposés à Internet, comme les pare-feu, les passerelles VPN ou les serveurs de messagerie, ce délai peut être très court.
Les mises à jour corrigent aussi des bugs et améliorent la stabilité. Et lorsqu'un logiciel ou un système d'exploitation arrive en fin de support, il ne reçoit plus aucun correctif : il devient vulnérable de manière permanente.
Faire l'inventaire de ce qui doit être mis à jour
Les postes de travail ne sont qu'une partie du sujet. Un inventaire complet comprend généralement :
- les systèmes d'exploitation des ordinateurs, serveurs, tablettes et smartphones ;
- les navigateurs et leurs extensions ;
- les applications bureautiques, lecteurs PDF, outils de visioconférence ;
- les logiciels métier et leurs bases de données ;
- le firmware des équipements réseau : pare-feu, routeurs, commutateurs, points d'accès Wi-Fi ;
- les NAS, imprimantes, caméras, enregistreurs et systèmes de contrôle d'accès ;
- le site web et son système de gestion de contenu, avec ses extensions.
Cet inventaire permet aussi d'identifier les systèmes en fin de support, à remplacer ou à isoler en priorité.
Définir une politique simple et réaliste
Une politique de mise à jour n'a pas besoin d'être complexe. Elle doit répondre à quelques questions : qui est responsable, à quel rythme, et comment traiter les urgences. Une approche courante dans les PME est la suivante :
- Postes de travail : mises à jour automatiques activées, avec un redémarrage imposé dans un délai raisonnable.
- Serveurs et applications critiques : application planifiée, par exemple chaque mois, dans une fenêtre de maintenance, après vérification que les sauvegardes sont récentes.
- Équipements exposés à Internet : surveillance active des avis de sécurité et application rapide des correctifs critiques.
- Urgences : lorsqu'une faille grave est activement exploitée, une procédure accélérée est déclenchée.
Le Centre for Cybersecurity Belgium publie régulièrement des avertissements sur des vulnérabilités importantes. Suivre ces publications, ou s'assurer que votre prestataire le fait, aide à repérer les urgences.
Limiter les risques liés aux mises à jour
La crainte qu'une mise à jour casse un logiciel métier est légitime et explique souvent les reports. Quelques précautions permettent de la maîtriser :
- tester les mises à jour importantes sur quelques postes pilotes avant le déploiement général ;
- vérifier les sauvegardes avant toute intervention sur un serveur ;
- consulter l'éditeur du logiciel métier sur la compatibilité avec les nouvelles versions ;
- prévoir une procédure de retour en arrière si nécessaire.
Le risque de ne pas mettre à jour reste, dans la grande majorité des cas, nettement supérieur au risque d'une mise à jour problématique.
Suivre et prouver
Sans suivi, il est difficile de savoir si les mises à jour sont réellement appliquées. Des outils de gestion centralisée permettent de visualiser l'état de chaque appareil, de forcer l'installation et de produire des rapports. Ce suivi est aussi utile pour répondre aux questionnaires de sécurité de vos clients ou pour démontrer votre démarche dans le cadre de référentiels comme les CyberFundamentals.
Si vous n'avez pas le temps ou les compétences pour assurer ce suivi, il peut être confié à un prestataire dans le cadre d'un contrat d'infogérance. Pour les pare-feu et équipements réseau, notre offre de sécurisation réseau inclut le maintien à jour des équipements.
La gestion des correctifs est un travail de fond, jamais terminé. Mais une organisation claire, quelques outils et un peu de discipline suffisent à fermer la porte à une grande partie des attaques opportunistes.
