if ( !emtpy($headline_subheadline ) ) : ?>
Igor Sakhnov, responsable du réseau Azure, affirme que les entreprises doivent réduire leur exposition avant que les correctifs ne soient déployés, car les attaquants dépassent les mesures correctives.
endif; ?>
Microsoft prévient que le délai pour corriger les vulnérabilités se réduit rapidement, car les attaquants passent de la divulgation à l’exploitation plus rapidement que les entreprises ne peuvent déployer des correctifs en toute sécurité, et exhorte les organisations à adopter des contrôles au niveau du réseau pour limiter l’exposition pendant cette période.
Dans un article de blog, Igor Sakhnov, vice-président et directeur général d’Azure Networking chez Microsoft, a déclaré que le modèle traditionnel de gestion des vulnérabilités « reflète de plus en plus un monde qui n’existe plus », à mesure que les délais d’attaque modernes se raccourcissent tandis que les processus d’entreprise restent inchangés.
« Lorsqu’une vulnérabilité était révélée, les organisations avaient le temps de comprendre le problème, d’évaluer les systèmes concernés, de tester les correctifs, de coordonner les fenêtres de modification et de déployer des correctifs avant qu’une exploitation généralisée ne se produise », a écrit Sakhnov. « Aujourd’hui, ce délai se réduit rapidement. »
Les délais d’attaque se compriment car les correctifs restent complexes
Microsoft a déclaré que les vulnérabilités sont désormais « plus visibles, plus largement distribuées et plus rapidement militarisées que jamais », tandis que les environnements d’entreprise sont devenus plus complexes, couvrant des infrastructures hybrides et multicloud.
« Les campagnes d’attaque modernes fonctionnent à l’échelle d’Internet. Les recherches sur la sécurité, les divulgations publiques, les exploits de validation de principe et les renseignements sur les menaces circulent dans le monde entier en quelques heures », a écrit Sakhnov, ajoutant que « entre-temps, les réalités opérationnelles des environnements d’entreprise n’ont pas changé ».
Ce décalage crée ce que Microsoft a décrit comme « l’une des périodes les plus dangereuses de la cybersécurité moderne : la fenêtre entre la sensibilisation et la remédiation ».
Shriya Mehrotra, directrice analyste chez Gartner, a déclaré que cette compression est déjà visible dans certains environnements.
« Oui, en particulier pour les systèmes Internet à haut risque. Les attaquants peuvent exploiter des vulnérabilités critiques en quelques heures, alors que de nombreuses entreprises ont encore besoin de semaines pour tester et déployer des correctifs », a déclaré Mehrotra, ajoutant que la dynamique « ne s’applique pas de la même manière à chaque vulnérabilité ou à chaque organisation ».
Microsoft a déclaré que les progrès de l’IA et la diffusion rapide des informations sur les exploits accélèrent encore le délai entre la divulgation et l’attaque.
« À mesure que ces capacités deviennent plus accessibles, le délai entre la divulgation et l’exploitation continue de se réduire », a écrit Sakhnov, décrivant le résultat comme un « déséquilibre structurel » entre les attaquants et les défenseurs.
Contrôles au niveau du réseau en tant que plan de contrôle
Pour combler cette lacune, Microsoft propose une évolution vers ce qu’il décrit comme un nouveau « plan de contrôle » de sécurité centré sur le réseau.
« Lorsqu’une charge de travail ne peut pas se défendre immédiatement, une autre couche doit contribuer à assurer la protection », écrit Sakhnov, ajoutant que les organisations « se tournent de plus en plus vers le réseau » comme couche.
Contrairement aux contrôles basés sur les points finaux, les protections au niveau du réseau « fonctionnent autour des charges de travail plutôt qu’à l’intérieur de celles-ci », permettant d’appliquer les défenses sans attendre le déploiement des correctifs ou la modification des applications.
« L’objectif n’est pas d’éviter les correctifs », a écrit Sakhnov. « L’objectif est de créer une couche de défense significative pendant la période où les correctifs ne sont pas encore terminés. »
Mehrotra a déclaré que cette approche reflète une continuation des pratiques de sécurité existantes plutôt qu’un départ complet.
« Les équipes de sécurité doivent donner la priorité aux vulnérabilités qui sont activement exploitées et exposées en externe, puis utiliser la segmentation, les contrôles de trafic, les politiques WAF/IPS ou l’isolement temporaire jusqu’à ce que les correctifs puissent être déployés en toute sécurité », a-t-elle déclaré. « Même si le plan de contrôle fait progresser l’automatisation, il s’agit en grande partie d’une évolution des approches établies de segmentation, de contrôle compensatoire et de Zero Trust. »
Défis pratiques dans des environnements réels
Même si le modèle met l’accent sur un confinement plus rapide au niveau du réseau, les analystes affirment que sa mise en œuvre reste inégale selon les entreprises.
Mehrotra a noté que l’approche est plus réalisable dans des environnements matures.
« Ce modèle est pratique pour les environnements cloud matures, mais de nombreuses entreprises ont encore du mal à le mettre en œuvre de manière cohérente », a-t-elle déclaré. « Un confinement efficace en temps réel dépend d’inventaires précis des actifs, d’une cartographie de l’exposition, de la visibilité du trafic, du contexte des applications et de l’application centralisée des politiques. »
Bhupendra Chopra, co-fondateur et CRO chez Kanerika, a déclaré que de nombreuses organisations manquent encore de la visibilité fondamentale nécessaire pour faire fonctionner un tel modèle.
« En réalité, pas encore », a déclaré Chopra. « La plupart des grandes entreprises ne disposent pas d’une vue précise de leurs propres systèmes. Les enregistrements d’actifs se trouvent dans différents outils qui ne communiquent pas entre eux, et la propriété d’une application donnée change de mains sans que personne ne sache qui en est responsable. »
Limites de confinement avant patch
Microsoft a déclaré que l’objectif du plan de contrôle est de réduire l’exposition pendant la période entre la divulgation et la correction, et non de remplacer les correctifs.
« Dans cette nouvelle réalité, les organisations ne peuvent pas compter uniquement sur les correctifs », écrit Sakhnov, ajoutant que les stratégies de sécurité doivent combiner « de solides pratiques de gestion des correctifs avec des contrôles compensatoires capables de réagir à la vitesse de la machine ».
Les analystes estiment que s’appuyer sur le confinement comporte ses propres risques s’il n’est pas géré avec soin.
« Le confinement basé sur le réseau peut passer à côté de voies d’attaque non gérées, cryptées, basées sur l’identité ou alternatives », a déclaré Mehrotra, ajoutant que des contrôles trop étendus peuvent perturber les services commerciaux légitimes. « Les organisations devraient considérer le confinement comme un moyen de réduire l’exposition immédiate et de gagner du temps, et non comme un remplacement de correctifs permanents. »
Chopra a déclaré qu’il existe également un risque que les contrôles temporaires deviennent permanents.
« Une règle de réseau bloque un chemin risqué, personne ne revient en arrière pour corriger le système sous-jacent, et dix-huit mois plus tard, cette solution de contournement relève de sa propre responsabilité, personne ne se souvient l’avoir approuvée », a-t-il déclaré.
Le changement souligné par Microsoft met un nouvel accent sur la gestion des risques pendant la période où les vulnérabilités sont connues mais pas encore corrigées. « L’avenir de la cybersécurité dépendra de la capacité d’une organisation à réduire les risques entre la divulgation et la remédiation », a écrit Sakhnov.
