Ce n’est ni un algorithme sexy ni une technologie de pointe, mais les recherches montrent qu’une gestion exhaustive des actifs est votre meilleur outil pour atténuer les vulnérabilités les plus couramment exploitées.
Un avis conjoint sur la cybersécurité, rédigé par la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis, l’Australian Cyber Security Centre (ACSC), le National Cyber Security Centre (NCSC) du Royaume-Uni et le Federal Bureau of Investigation (FBI) des États-Unis, a présenté les 30 principales vulnérabilités régulièrement exploitées en 2020. L’importance de maintenir les actifs logiciels à jour et conformes devient alors parfaitement évidente.
Cet article présente les principales conclusions de l’avis conjoint, examine les techniques permettant de s’assurer que l’ensemble de l’inventaire des actifs logiciels est suivi et montre finalement comment une visibilité accrue accélère les délais de remédiation.
Les attaquants se montrent plus agressifs
L’avis sur les principales vulnérabilités régulièrement exploitées a révélé que quatre des 12 CVE les plus couramment exploitées en 2020 avaient été divulguées au cours de cette même année. Étant donné que nombre de ces CVE avaient été divulguées au milieu de l’année, les attaquants n’ont pas perdu de temps pour ajouter ces outils à leur arsenal. Si l’on élargit la période d’observation, on constate que les 12 principales CVE avaient toutes été divulguées au cours des trois années précédentes, entre 2017 et 2020. En clair, cette étude montre que les CVE critiques divulguées au cours des dernières semaines sont très susceptibles d’être exploitées.
Si vous attendez plus de six semaines avant d’appliquer des correctifs ou de mettre vos systèmes à jour, il est déjà trop tard. Les entreprises ont souvent des cycles de mise à jour laborieux, qui durent de plusieurs semaines à plusieurs mois. Ces cycles prolongés offrent aux attaquants de nombreuses occasions d’exploiter les failles de sécurité.
Une gestion efficace des actifs doit être dynamique et réactive face aux menaces émergentes actuelles. C’est pourquoi les 18 contrôles CIS (anciennement les 20 contrôles SANS) donnent la priorité à l’inventaire des actifs logiciels et à l’inventaire des actifs matériels comme les deux domaines les plus importants sur lesquels concentrer les efforts de sécurité, contribuant ainsi à créer un système continu de gestion des vulnérabilités.
La visibilité et la gestion exhaustives des actifs constituent le socle sur lequel bâtir la posture de sécurité de votre entreprise. En cartographiant intégralement votre environnement, vous pouvez facilement gérer vos actifs à grande échelle. À mesure que votre entreprise évolue, sa surface d’attaque se complexifie et le risque que des logiciels et du matériel passent entre les mailles du filet augmente. Le suivi de chaque terminal devient la première étape indispensable de toute bonne pratique de sécurité.
Ce qui est mesuré est fait
Contrairement aux fournisseurs traditionnels qui proposent des outils offrant une photographie ponctuelle de l’environnement, une solution de détection et de réponse étendues (XDR) fournit une plateforme unifiée et exhaustive permettant d’inventorier et de sécuriser les actifs cloud, les conteneurs et les terminaux traditionnels. Avec une plateforme XDR, vous pouvez recueillir un inventaire des actifs en temps réel et comprendre ce qui se passe dans l’environnement de votre entreprise.
Les meilleures solutions XDR normalisent le flux de données provenant de vos actifs dans une base de données facilement interrogeable. Ainsi, que vous cherchiez à répondre à une question sur la configuration de vos conteneurs, que vous réalisiez un audit en direct des applications ou que vous recherchiez des informations sur un logiciel donné, une plateforme XDR doit vous fournir une réponse immédiate.
Avec une solution XDR, commencez par une vue d’ensemble de vos actifs sur un tableau de bord, puis approfondissez facilement l’analyse pour obtenir des informations détaillées sur chaque actif.
Face aux menaces émergentes, une plateforme unifiée de gestion des actifs permet à votre équipe d’analyser, de détecter et d’agir plus rapidement. La protection étendue va au-delà de la visibilité : vous pouvez configurer votre plateforme pour qu’elle prenne en charge les tâches les plus lourdes et fournisse des informations en temps réel sur les ressources sursollicitées, les défaillances de sécurité et les anomalies rares.
Reconstituez les configurations historiques pour comprendre l’état antérieur de votre posture de sécurité ou déterminer si un logiciel donné a créé des problèmes de performances. Une bonne pratique consiste à conserver les données historiques des 30 à 90 jours précédents. Ces données deviennent un outil puissant pour évaluer les risques au fil du temps et vous permettent d’exécuter des requêtes portant sur l’état actuel ou antérieur de vos machines.
Comment la visibilité accélère le cycle de remédiation
Dans le contexte des vulnérabilités critiques émergentes, une solution XDR peut transformer un cycle de remédiation et de déploiement de correctifs de plusieurs mois en une fraction de ce délai. Détaillons un cycle traditionnel de gestion des vulnérabilités, puis identifions les points où une meilleure visibilité sur les actifs soulage le personnel informatique et permet d’accélérer la remédiation.
La méthode traditionnelle de remédiation des vulnérabilités logicielles :
- Une nouvelle CVE critique apparaît. L’équipe de sécurité est généralement informée lorsque de nouvelles CVE critiques font la une, mais cette découverte concerne un fournisseur plus modeste et n’attire donc pas autant l’attention qu’un exploit Microsoft ou qu’un exploit visant une grande infrastructure réseau.
- Vous disposez d’un outil traditionnel d’analyse des vulnérabilités qui capture une analyse ponctuelle de tous les logiciels présents sur les actifs sur lesquels l’agent est déployé. Cette analyse provoque un pic d’utilisation des ressources, si bien que vous ne pouvez l’exécuter qu’une fois par jour ou par semaine. Votre équipe est déjà en sous-effectif et surchargée de travail ; vous organisez donc une réunion hebdomadaire ou bimensuelle pour examiner les résultats des analyses. Des alertes et un tableau de bord sont configurés, mais l’arriéré de CVE à corriger couvre le bruit et empêche les nouvelles découvertes de susciter la moindre réaction dans votre canal.
- Une semaine s’est écoulée et votre équipe prend connaissance de la nouvelle découverte. Elle semble pertinente, mais la priorité à lui accorder n’est pas claire. L’équipe décide de l’inscrire à l’ordre du jour de la prochaine réunion.
- La découverte est évoquée lors de la réunion bimensuelle. Des questions se posent, notamment : Quels actifs exécutent ce logiciel ? S’agit-il d’un faux positif ? Qui assure la maintenance des actifs sur lesquels ce logiciel est exécuté ? Qui a la capacité de s’en charger ? Quelle est la gravité apparente de la découverte ? Concerne-t-elle des actifs exposés à Internet ? Si oui, combien ? Ces actifs contiennent-ils des données sensibles ? Existe-t-il d’ailleurs une liste de tous les actifs sur lesquels ce logiciel est exécuté ? Prenons contact avec l’équipe de développement ou d’exploitation pour comprendre comment une modification de la configuration ou une mise à niveau pourrait affecter la version stable actuelle.
- Il faut encore quelques jours pour obtenir une vision complète de l’endroit où ce logiciel est exécuté, de l’usage qui en est fait sur les actifs concernés et de l’exposition de ces actifs à Internet. Deux semaines après sa publication, l’équipe détermine enfin que cette découverte est présente dans son environnement et qu’elle est pertinente.
- Votre équipe entame la phase de remédiation. Malgré l’urgence de cette découverte, vous devez assurer des opérations de production critiques qui ne peuvent pas être interrompues. Il vous faudra suivre un processus de plusieurs semaines à plusieurs mois pour mettre en œuvre un correctif dans l’environnement de test le moins élevé et surveiller son impact sur les performances. Après vous être assuré de sa stabilité dans les environnements de test, vous étudierez son déploiement progressif dans des environnements de plus en plus élevés, jusqu’à la production.
- Enfin, au terme de ce cycle de plusieurs mois, une fois le correctif déployé en production, vous avez réussi à atténuer la nouvelle CVE en mettant à niveau ou en reconfigurant vos actifs conformément aux recommandations.
Dans ce scénario, vous voyez le temps qui s’écoule entre la publication de la CVE, sa détection en interne, la compréhension de la situation dans son ensemble par une équipe, la priorisation du correctif et sa mise en œuvre et son test. Même si toutes les étapes décrites ci-dessus ne reflètent heureusement pas parfaitement les pratiques actuelles de votre entreprise, l’essentiel est de comprendre ce que la visibilité étendue et la gestion des actifs peuvent faire pour réduire le temps nécessaire à l’accomplissement des phases suivantes : 1) comprendre la situation dans son ensemble et 2) mettre en œuvre le correctif en toute confiance. Les outils XDR répondent rapidement aux questions de périmètre et de priorité, tout en offrant une visibilité sur l’impact opérationnel de tout correctif ou de toute mise à niveau.
Une visibilité et des informations accrues permettent aux équipes de comprendre immédiatement la situation dans son ensemble et de répondre aux questions clés précitées concernant la propriété des actifs, la sensibilité des données et, au final, la priorisation. Les méthodes traditionnelles reposent trop souvent sur la communication entre équipes ou sur quelques personnes clés en interne. Grâce à une vue unifiée, les équipes de sécurité évaluent rapidement l’ensemble de leur parc et peuvent filtrer en temps réel les actifs les plus prioritaires. Elles peuvent déterminer instantanément quel sous-ensemble d’actifs est prioritaire ou vérifier si des mesures compensatoires raisonnables sont en place pour atténuer la nouvelle CVE.
Au cours de la phase de remédiation, la mise en œuvre d’un correctif prend du temps, car vous surveillez progressivement les correctifs et les déployez, ou déployez des configurations mises à jour. Ces délais donnent aux attaquants davantage de temps pour s’infiltrer dans votre environnement et exfiltrer des données sensibles. L’application d’une visibilité étendue au cycle de remédiation réduit le temps nécessaire pour valider un correctif, grâce à une surveillance exhaustive des performances de vos terminaux dans vos environnements de développement, de test et de production, afin de détecter immédiatement tout problème de performance lié au correctif appliqué. La méthode traditionnelle, qui consiste à attendre plusieurs jours ou semaines avant de faire passer les correctifs dans des environnements supérieurs, n’est plus viable dans le paysage actuel des menaces ; une solution XDR fournit aux équipes la visibilité étendue nécessaire pour déployer les mises à jour en toute confiance sur l’ensemble de leur parc et valider un correctif en nettement moins de temps.
Personne ne peut prédire à quoi ressemblera la prochaine menace, mais nous pouvons préparer nos équipes avec les meilleurs outils et processus pour réagir en toute confiance à tout type de CVE. Grâce à une visibilité étendue, à des informations uniques et à une gestion des actifs en temps réel, donnez à votre équipe les moyens d’être prête face aux menaces de demain.
À propos de l’auteur :
Jeremy Colvin, Technical Product Analyst, Uptycs