Gestion des correctifs (patch management)
Processus qui identifie, priorise, installe et vérifie les mises à jour de sécurité sur tous les logiciels et équipements.
Définition complète
La gestion des correctifs (patch management) est, selon le NIST, le processus qui consiste à identifier, prioriser, obtenir, installer et vérifier l'installation des correctifs, mises à jour et évolutions sur l'ensemble d'une organisation. Le NIST la présente comme de la maintenance préventive, un coût normal de fonctionnement plutôt qu'une option.
Le guide d'hygiène informatique de l'ANSSI demande d'appliquer les correctifs de sécurité sur tous les composants dans le mois qui suit leur publication par l'éditeur, et de formaliser une politique de mise à jour : comment l'inventaire est tenu, où l'on s'informe des nouvelles mises à jour, avec quels outils on les déploie, et comment on les teste avant un déploiement progressif. Les composants qui ne sont plus maintenus doivent être isolés.
Pour les petites structures, l'ANSSI recommande d'activer la mise à jour automatique des logiciels et des matériels et de vérifier que le prestataire informatique l'assure bien.
Sources : ANSSI, Guide d'hygiène informatique ; NIST SP 800-40 Rev. 4, Guide to Enterprise Patch Management Planning ; ANSSI, La cybersécurité pour les TPE/PME en treize questions
Exemple concret
Une PME de BTP de 40 salariés découvre lors d'un audit que 30 % de ses postes n'ont pas reçu de mise à jour depuis six mois et que son serveur de messagerie n'est plus maintenu par l'éditeur. Elle met en place un outil de déploiement centralisé, un créneau mensuel de mise à jour testé d'abord sur trois postes pilotes, et migre sa messagerie vers un service maintenu.
Comment se protéger
- Tenir un inventaire complet : postes, serveurs, téléphones, boîtiers réseau, logiciels métiers
- Activer les mises à jour automatiques quand c'est possible
- Appliquer les correctifs dans le mois, et en urgence pour les failles critiques exploitées
- Tester sur quelques machines pilotes avant un déploiement général
- Vérifier que les mises à jour ont bien été installées
- Suivre les dates de fin de support et remplacer à temps les systèmes obsolètes
Questions fréquentes
Dès qu'un correctif est publié, les attaquants peuvent l'analyser pour exploiter la faille chez ceux qui ne l'ont pas installé. L'ANSSI fixe un délai d'un mois au plus pour les correctifs de sécurité.
Le remplacer dès que possible. En attendant, l'ANSSI recommande de l'isoler du reste du système d'information.
Termes liés
Durcissement (hardening)
Configuration d'un système pour supprimer tout ce qui est inutile et activer les protections, afin de réduire les possibilités d'attaque.
Ransomware
Logiciel malveillant qui chiffre vos données et exige une rançon.
Surface d'attaque
Ensemble des points par lesquels un attaquant peut tenter d'entrer dans le système d'information ou d'en extraire des données.
Vulnérabilité
Faiblesse d'un logiciel, d'un équipement, d'une configuration ou d'une procédure qu'un attaquant peut exploiter.
Vous avez besoin d'un expert en Gestion des correctifs (patch management) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.