Les RSSI sont confrontés à des compromis en matière de résilience alors que Microsoft accélère ses conseils en matière de correctifs de sécurité en réponse à l’IA, avec la possibilité que d’autres fournisseurs emboîtent le pas.
Ce mois-ci, Jeremy Chapman, directeur de Microsoft 365, a diffusé une vidéo pour dire aux administrateurs Windows que l’époque où l’on retardait les correctifs de sécurité était révolue.
Les systèmes d’entreprise complexes et les incidents historiques impliquant des problèmes de correctifs ont amené de nombreux administrateurs à hésiter à appliquer immédiatement les correctifs de sécurité, reportant dans de nombreux cas le déploiement des correctifs de deux à quatre semaines, voire plus, pour garantir la stabilité. Microsoft affirme que cette approche prudente, bien que compréhensible, n’est plus viable car l’IA accélère la découverte et l’exploitation des vulnérabilités logicielles.
En conséquence, Microsoft a conseillé aux administrateurs d’agir sur les correctifs dans un délai de trois jours.
Les experts indépendants sont d’accord avec le diagnostic de Microsoft sur les problèmes posés par la découverte de vulnérabilités basée sur l’IA, mais beaucoup affirment que la fenêtre de correction de trois jours de Microsoft est irréaliste pour les grandes entreprises confrontées à de lourdes contraintes de tests, de contrôle des modifications et de compatibilité.
Au lieu d’adopter une approche globale, les entreprises doivent se concentrer davantage sur la résolution rapide des vulnérabilités activement exploitées et pertinentes pour leurs environnements, selon les critiques de l’approche révisée de Microsoft.
Des délais de mise à jour plus serrés
Les conseils révisés de Microsoft en matière de correction des vulnérabilités font suite à son travail avec le projet Glasswing d’Anthropic et aux conclusions du propre faisceau d’analyse agentique multimodèle MDASH de Microsoft. Des délais de mise à jour plus serrés sont configurables via Windows Autopatch et Microsoft Intune ou des options d’outils de mise à jour telles que Microsoft Configuration Manager et Windows Server Update Services.
À mesure que les environnements informatiques deviennent de plus en plus complexes, des problèmes accidentels peuvent survenir avec ce qui semble être un simple correctif.
Les déploiements uniques ou complexes peuvent ne pas être compatibles avec un correctif, ce qui entraîne une corruption potentielle des données, un arrêt du système ou le redoutable « écran bleu de la mort ». Plusieurs fournisseurs de systèmes d’exploitation et du marché des logiciels d’entreprise et de la sécurité ont publié des correctifs qui ont endommagé les produits et provoqué des pannes, de sorte que le problème va bien au-delà des magasins Windows.
Augmenter à la fois le volume et la vitesse des correctifs n’est pas viable pour la plupart des équipes de sécurité, car les organisations ont déjà du mal à réussir leurs remédiations.
« De nombreuses organisations disposent de fenêtres de correctifs, de cycles de révision et d’environnements de test pour identifier ces problèmes avant de mettre à jour les environnements de production », explique Scott Caveza, directeur de recherche senior chez Tenable, société de gestion de l’exposition et d’évaluation des vulnérabilités. « Les organisations qui ne disposent pas des ressources nécessaires pour une validation étendue risquent de déployer des correctifs défectueux qui entraînent des temps d’arrêt ou forcent des modifications de configuration de dernière minute. »
Caveza ajoute : « Les mesures d’atténuation varient pour chaque organisation, mais s’appuyer aveuglément sur les mises à jour automatiques sans validation contextuelle n’est pas une posture de sécurité défendable. »
La liste des vulnérabilités exploitées connues de la CISA et d’autres données du secteur suggèrent que seule une petite fraction des vulnérabilités divulguées est confirmée comme étant exploitée dans la nature.
« (Les entreprises devraient se concentrer sur) l’identification des vulnérabilités avec des PoC crédibles et fonctionnels, une exploitation vérifiée ou une attention soutenue de la part des groupes de ransomwares, des acteurs menaçants et des botnets », déclare Caitlin Condon, vice-présidente de la recherche sur la sécurité chez VulnCheck. « Les informations d’exploitation en temps opportun aident les organisations à identifier les bogues qui nécessitent une attention immédiate, tout en permettant aux problèmes à faible risque de passer par des tests appropriés et un contrôle des modifications. »
D’autres experts indépendants sont plus favorables à l’argument de Microsoft selon lequel l’IA a rendu la découverte des vulnérabilités et le développement des exploits plus rapides que jamais et, par conséquent, les risques de retarder les correctifs sont bien plus grands.
« Les organisations retardent parfois les correctifs pour protéger la disponibilité des systèmes critiques, et de nombreuses mises à jour nécessitent toujours un redémarrage », explique Danny Jenkins, PDG et co-fondateur de ThreatLocker, fournisseur de technologies de protection des points finaux. « Certaines équipes restent également en retard d’un cycle de mise à jour parce qu’elles craignent qu’un nouveau correctif puisse introduire des bugs ou rompre une dépendance négligée. Malheureusement, retarder les correctifs pour préserver la disponibilité devient de plus en plus difficile à justifier. »
Jenkins ajoute : « Les organisations ne doivent pas laisser leurs systèmes critiques exposés en attendant la prochaine fenêtre de maintenance. Les correctifs doivent toujours être testés, mais ce processus doit évoluer rapidement, la plus haute priorité étant accordée aux vulnérabilités qui sont activement exploitées ou exposées à Internet. Une interruption contrôlée est généralement beaucoup moins coûteuse qu’une attaque réussie exploitant une vulnérabilité connue. »
Un impact intersectoriel plus large
La recommandation de trois jours de Microsoft reflète un changement fondamental dans le paysage des menaces. On pourrait s’attendre à ce que d’autres fournisseurs emboîtent le pas, ce qui signifie que les RSSI doivent revoir leur approche en matière de correction des vulnérabilités.
« Les organisations doivent s’attendre à ce que des délais de divulgation jusqu’à l’exploitation plus rapides deviennent la norme, ce qui signifie que les programmes de sécurité doivent mettre l’accent sur l’automatisation, des chaînes d’approvisionnement logicielles fiables et une visibilité continue plutôt que de s’appuyer sur des fenêtres de maintenance périodiques », déclare Mike Nelson, vice-président et directeur technique sur le terrain chez DigiCert.
L’IA réduit le délai entre la découverte et l’exploitation des vulnérabilités, et le secteur passe rapidement de fenêtres de mise à jour de 30, 60 et 90 jours à quelques jours.
Cependant, « une exigence générale de trois jours pour chaque vulnérabilité n’est ni réaliste ni sûre pour la plupart des grandes organisations », déclare Jeff Williams, fondateur et directeur technique de Contrast Security.
Ne pas appliquer de correctif ouvre la voie à des menaces de sécurité, mais précipiter la mise en production d’un correctif insuffisamment testé crée un risque opérationnel.
« L’objectif ne peut pas être de traiter chaque CVE (vulnérabilité) comme une urgence », selon Williams. « Il doit identifier, en quelques heures, quelles vulnérabilités sont réellement exploitables et nécessitent une action immédiate. »
Remédiation globale
Les équipes de sécurité sont déjà confrontées à une pression importante pour appliquer plus rapidement les correctifs et remédier à une vague croissante de nouvelles vulnérabilités, mais de nombreux praticiens perdent du terrain. Le rapport d’enquête sur les violations de données de Verizon, publié plus tôt cette année, a révélé que le délai médian de mise à jour des correctifs était en réalité passé à 43 jours.
Le déploiement de correctifs dans les environnements d’entreprise implique des modifications de configuration, des révisions, des tests et une validation.
Les entreprises doivent devenir plus compétentes en matière de gestion des risques afin d’avoir une vision globale de leur environnement, nécessaire pour identifier les actifs les plus à risque.
« En identifiant les erreurs de configuration, les failles d’identité et les vulnérabilités spécifiques qui présentent le plus grand risque pour leur environnement, les équipes de sécurité peuvent prioriser exactement ce qu’il faut corriger en premier », explique Caveza de Tenable. « L’idée de « tout corriger » est vraiment dépassée, et « corriger plus rapidement » n’est pas réalisable compte tenu du nombre rapidement croissant de vulnérabilités révélées chaque jour.
Les RSSI devront repenser leurs processus de gestion des vulnérabilités et des expositions. « Le modèle traditionnel consistant à tout analyser, à attribuer des scores de gravité génériques et à gérer un retard massif et croissant n’est plus assez rapide », déclare Williams de Contrast Security.
Les organisations doivent identifier le petit nombre de vulnérabilités importantes, s’en protéger immédiatement et y remédier dans un délai que l’entreprise peut respecter en toute sécurité.
Les entreprises devraient donner la priorité à la résolution des « vulnérabilités Internet exploitables à distance et de toute liste de vulnérabilités exploitées connues de la CISA », déclare Jose Lejin, membre senior de l’IEEE.
