Qu’est-ce que la gestion des correctifs ?

La mise à jour des logiciels a tendance à être une gêne pour les utilisateurs finaux – et trop souvent, les correctifs recommandés sont ignorés. Dans le même temps, les administrateurs peuvent trouver difficile de s’assurer que tous les systèmes sont correctement patchés. Les correctifs et les mises à jour logicielles sont d’une importance capitale, car ils peuvent empêcher vos logiciels et vos systèmes d’être vulnérables aux bogues, aux logiciels malveillants et aux problèmes majeurs.

L’utilisation d’un logiciel de gestion des correctifs peut vous aider à vous assurer que chaque appareil de votre réseau est à jour. Ce type de logiciel peut déployer des correctifs rapidement et efficacement, et vérifier les systèmes et les appareils pour voir lesquels sont sécurisés et lesquels sont vulnérables. Le logiciel de gestion des correctifs que je recommande est SolarWinds® Patch Manager, qui dispose d’une vaste bibliothèque de correctifs pré-testés que vous pouvez appliquer rapidement et automatiquement. Je trouve qu’il fonctionne extrêmement bien pour garder mes systèmes sécurisés et réduire la surface d’attaque que les intrus peuvent cibler.

Définition des correctifs logiciels

Les correctifs logiciels, par définition, sont des mises à jour de code modifiant le code de programmes existants pour corriger des vulnérabilités de sécurité potentielles ou d’autres problèmes. Les patchs sont conçus et testés et peuvent ensuite être appliqués soit par un programmeur humain, soit par un outil automatique.

Il existe plusieurs types de patchs, notamment les correctifs, les patchs de sécurité, les service packs et les patchs non officiels. Les patchs non officiels sont ceux réalisés par un tiers plutôt que par le fournisseur du logiciel que vous utilisez.

Pourquoi la gestion des patchs est-elle importante ?

La gestion des patchs peut ne pas sembler critique, mais elle peut être l’un des aspects les plus importants à la fois pour la productivité et la sécurité de l’ensemble de votre système. Il y a plusieurs raisons différentes pour lesquelles les correctifs et les mises à jour sont importants, et plusieurs autres raisons pour lesquelles vous devriez utiliser un outil automatisé pour effectuer ce processus.

Premièrement, les correctifs sont importants pour s’assurer que tous vos logiciels fonctionnent correctement et de la manière la plus efficace. Parfois, lorsqu’un logiciel n’est pas à jour, il ne fonctionne pas correctement et peut être lent ou planter souvent. Vous devez le mettre à jour pour que ces problèmes soient résolus. Plus vous restez longtemps sans mettre à jour ce genre de problèmes dans un contexte d’entreprise, plus les pertes de productivité sont importantes.

Souvent, les logiciels ou d’autres parties de votre infrastructure obtiennent de nouvelles fonctionnalités à mesure que le fournisseur développe davantage son produit. La mise à jour et l’application de correctifs à votre logiciel ajouteront ces nouvelles fonctionnalités, ce qui vous permettra de suivre les dernières innovations. Dans un environnement commercial concurrentiel, vous ne voulez pas vous retrouver derrière vos concurrents parce que votre logiciel est obsolète.

Cependant, la raison la plus critique pour laquelle vous devez gérer les correctifs et les mises à jour est la sécurité. Les failles logicielles sont un moyen majeur pour les pirates d’accéder aux systèmes individuels – et de là, à votre réseau plus large et à vos données. Les correctifs de sécurité pour votre réseau et votre infrastructure sont primordiaux et l’une des fonctions principales de nombreux correctifs est de corriger des problèmes tels que des bogues ou des failles causant des vulnérabilités de sécurité. L’application d’un correctif aussi rapidement que possible réduit les chances des attaquants d’accéder à vos systèmes. En outre, pour des raisons de conformité, en particulier lorsqu’il s’agit d’informations sur la santé, d’informations financières ou d’autres données personnelles, vous devez disposer de bons protocoles de sécurité.

Pour garantir le succès, vous devriez utiliser un outil de gestion automatisée des correctifs, car tenter ces processus manuellement peut rapidement devenir accablant, et vous devenez plus susceptible de faire des erreurs. Si vous n’avez pas patché une machine, un programme ou une partie de votre réseau, vous laissez cette partie vulnérable aux attaques. Avec un logiciel de gestion des correctifs, vous pouvez voir quels logiciels et quels dispositifs ont besoin de mises à jour, programmer des mises à jour à des moments précis et mettre automatiquement à jour les logiciels si vous le souhaitez. La gestion automatisée des patchs peut vous aider à réduire les vulnérabilités et à respecter vos obligations de conformité.

Qu’est-ce que la gestion des patchs ?

Vous vous demandez peut-être : qu’est-ce que la gestion des patchs ? Pour la plupart des correctifs, le fournisseur publiera un patch et vous serez informé qu’une mise à jour du logiciel est disponible. La mise à jour d’un logiciel d’un seul fournisseur est généralement un processus simple, mais si vous avez beaucoup d’appareils avec de nombreux programmes, ou si vous voulez vous assurer que tous vos appareils sont mis à jour en même temps, vous devrez avoir un plan de gestion des correctifs et utiliser un logiciel de gestion des correctifs. En particulier, si certaines parties de votre système sont physiques, d’autres virtuelles et d’autres encore basées sur le cloud, vous aurez peut-être besoin d’un outil spécial pour surveiller cet environnement hybride. Les logiciels de gestion des correctifs peuvent vous aider à appliquer ces correctifs sur l’ensemble de votre système en une seule fois, au lieu de devoir appliquer chaque correctif à chaque application individuellement.

Qu’est-ce que le correctif de serveur ?

Le correctif de serveur est beaucoup plus compliqué que le correctif logiciel ordinaire, étant donné la grande importance des serveurs pour les fonctionnalités du réseau et de l’entreprise. Les systèmes d’exploitation et les applications des serveurs doivent être patchés dans des fenêtres de maintenance claires et discrètes, avec des tests approfondis pour s’assurer que les correctifs n’échouent pas ou ne compromettent pas d’autres systèmes en place. L’utilisation d’un outil pour passer par ce processus est fortement recommandée, car les processus de patching manuels peuvent manquer de petits détails ou prendre beaucoup plus de temps qu’un processus automatisé.

Qu’est-ce que le patch dans Windows ?

Pour les systèmes Microsoft, un couple d’outils de gestion des patchs fait partie de Windows. Par exemple, le premier s’appelle Windows Server Update Services (WSUS). WSUS est un service de mise à jour de logiciels capable de gérer et de déployer les différentes mises à jour publiées par Microsoft pour le système d’exploitation et les logiciels Microsoft sur vos machines. Les mises à jour sont téléchargées depuis Microsoft, puis distribuées dans votre système et installées sur chaque appareil concerné. Cela signifie que vous n’avez pas besoin de mettre à jour chaque ordinateur individuellement.

Le deuxième outil Windows impliqué dans le patching est appelé System Center Configuration Manager (SCCM). SCCM est également une application Microsoft centralisée et est généralement considéré comme un système d’automatisation de la gestion des correctifs de niveau entreprise, alors que WSUS est un peu plus limité. WSUS convient aux petites et moyennes entreprises, mais SCCM devrait être utilisé par les grandes entreprises. SCCM utilise WSUS et étend ses offres, et inclut la possibilité de définir des fenêtres de maintenance, la planification des correctifs et le déploiement automatique. Il comprend également davantage de fonctionnalités de configuration et de reporting. SCCM peut également installer des systèmes d’exploitation et des applications et faire l’inventaire du matériel et des logiciels de votre réseau. Cependant, il est également payant, alors que WSUS est entièrement gratuit avec les systèmes d’exploitation Windows.

Même avec WSUS et SCCM pour le patching de Windows, vous avez toujours besoin d’autres outils pour travailler avec et patcher les applications tierces sur vos systèmes. Bien que SCCM offre des capacités limitées de patching tiers, il ne couvre que les applications courantes et vous aurez besoin de quelque chose en dehors de cela si vous utilisez des produits non-Microsoft sur votre système. Vous devriez en chercher un qui peut s’intégrer à WSUS ou SCCM, afin de pouvoir combiner votre gestion des correctifs pour Windows et les applications tierces dans une console centralisée.

Bonnes pratiques de gestion des correctifs

Les correctifs devraient toujours être appliqués en suivant quelques bonnes pratiques. Lorsque vous vous engagez dans des processus de gestion des correctifs, si vous ne faites pas les choses correctement, cela peut entraîner des perturbations dans votre activité, laisser des périphériques ou des applications vulnérables, ou causer d’autres problèmes dans votre système.

1. Inventaire du réseau et des périphériques : Tout d’abord, faites un inventaire complet et précis de l’ensemble de votre infrastructure. Cela signifie que vous devez connaître chaque appareil sur le réseau, comment il se connecte aux autres appareils, quels systèmes d’exploitation et applications sont installés, et quelles versions vous avez de chaque composant. Il est fréquent qu’un réseau ou un système soit compromis à cause d’un vieux matériel ou d’un logiciel que quelqu’un a oublié. De nombreux outils sont disponibles pour les petites entreprises et les entreprises pour scanner leur infrastructure et faire le point sur l’ensemble de votre inventaire. Ce type de balayage doit être effectué régulièrement et son exactitude vérifiée, afin de s’assurer qu’au fur et à mesure que de nouveaux appareils et applications sont ajoutés, l’inventaire ne devient pas obsolète.
2. Normalisation : Une fois que vous avez un inventaire complet de votre réseau et de vos appareils, envisagez de normaliser les appareils et les applications dans la mesure du possible. Si vous pouvez vous assurer que tous vos appareils exécutent le même système d’exploitation, utilisent le même matériel, sont configurés de la même manière et exécutent les mêmes applications, lorsqu’il s’agira d’appliquer des correctifs et de détecter des vulnérabilités, vous pourrez mener à bien ce processus plus rapidement. Évidemment, tout ne peut pas être normalisé dans l’infrastructure, mais toutes les mesures que vous pouvez prendre pour atteindre cet objectif vous aideront à faire en sorte que votre processus de gestion des correctifs soit plus efficace.
3. Évaluation des risques : La réalisation d’une évaluation approfondie des risques de vos systèmes est l’étape suivante pour garantir le bon déroulement de votre processus de gestion des correctifs. Sans connaissance de vos vulnérabilités et des risques possibles, vous ne pouvez pas cibler correctement les patchs et les mises à jour. Vous devez examiner les vulnérabilités sous plusieurs angles. Tout d’abord, quelle serait la gravité d’une menace éventuelle, quelle est la vulnérabilité de vos systèmes à ce type de menace et quel en serait l’impact ? Vous pouvez ensuite classer vos dispositifs ou sections de réseau en groupes par niveau de menace et vous assurer que les correctifs sont appliqués à chaque dispositif ou application selon un calendrier correspondant à l’importance des risques pour cette partie de votre système. Cela permettra de supprimer les interférences inutiles avec les parties à faible risque du système et de s’assurer que les parties les plus vulnérables sont vérifiées et patchées le plus régulièrement.
4. Analyse et surveillance régulières : Ensuite, pour effectuer les correctifs et les mises à jour appropriés, vous devez scanner et surveiller régulièrement vos systèmes. Vous pouvez utiliser des outils de surveillance pour déterminer quelles parties de votre système manquent de correctifs critiques. En outre, assurez-vous de garder un œil sur les calendriers de diffusion des correctifs des fournisseurs et soyez attentif à la disponibilité de nouveaux correctifs. Un outil de gestion des correctifs peut également analyser ces éléments et vous faire savoir quand de nouveaux correctifs sont disponibles pour être appliqués.
5. Tests des correctifs : Si vous créez vos propres correctifs, vous devez vous assurer qu’ils sont testés en profondeur. Veillez à tester comment un patch s’applique à votre système avant de le déployer sur l’ensemble de votre réseau. Certains logiciels de gestion des correctifs ont des correctifs pré-testés qu’ils peuvent appliquer, vous pouvez donc être sûr que les correctifs que vous allez utiliser sont déjà confirmés pour fonctionner correctement.
6. Déploiement des correctifs : Le déploiement des correctifs doit d’abord être bien documenté, avec un schéma planifié pour les changements qui se produiront une fois le correctif appliqué. Ensuite, vous devez déterminer un moment approprié pour déployer chaque type de patch (par exemple, sur vos systèmes à haut risque et sur les systèmes à plus faible risque) afin d’éviter toute perturbation inutile pour vos utilisateurs. Les processus d’application de correctifs peuvent ralentir les réseaux, rendre les programmes temporairement inutilisables et empêcher les utilisateurs de faire leur travail ou d’utiliser certaines parties d’un service. Les correctifs devraient idéalement être déployés en dehors des périodes de pointe, par exemple tard le soir ou le week-end, mais ils devraient également être supervisés par une personne qui peut intervenir si quelque chose ne va pas pendant le processus. Bien que les perturbations soient quelque chose que vous voulez éviter, vous ne voulez pas non plus laisser simplement un patch être déployé le vendredi soir et ne réaliser qu’il y a un problème le lundi matin.
7. Audit et rapports : Lorsque vous diffusez un correctif, vous devez non seulement garder la trace de tout ce qui se passe avant et pendant la diffusion, mais vous devez également examiner ce qui se passe après. Vous devez vérifier si des correctifs sont encore en attente d’application, ou si certains correctifs n’ont pas réussi à se déployer ou ont rencontré des erreurs au cours du processus. De plus, assurez-vous qu’un processus est en place pour vérifier les systèmes après le déploiement d’un correctif afin de vous assurer que celui-ci n’a pas causé de problèmes ou créé de nouveaux bogues.
8. Politiques de repli : Enfin, vous devez mettre en place des politiques de repli claires si un patch est déployé et cause des problèmes, ou si une vulnérabilité n’est pas corrigée et que votre système est pénétré. Vous devez mettre en place des lignes de communication claires pour indiquer comment faire remonter un problème, et à qui le personnel peut s’adresser s’il a des problèmes avec un logiciel obsolète ou des correctifs déployés. Vous pouvez également avoir besoin de politiques en place pour le patch rollback (suppression d’un patch) si le patch lui-même a un problème affectant d’autres parties de votre système.

Comme je l’ai noté ci-dessus, l’utilisation d’outils de gestion des patchs est le meilleur moyen de se tenir au courant des mises à jour nécessaires et de patcher vos systèmes conformément aux meilleures pratiques. L’outil que je recommande est SolarWinds Patch Manager (vous pouvez télécharger une version d’essai gratuite ici), car il dispose de plusieurs fonctionnalités permettant de rendre le processus d’application des correctifs extrêmement facile et efficace.

Premièrement, il s’intègre facilement aux machines Windows avec la gestion des correctifs WSUS et SCCM et inclut des correctifs pré-testés pour les applications tierces. Cela signifie qu’il peut vérifier si votre système d’exploitation et les correctifs Microsoft sont à jour et ont été appliqués avec succès et qu’il peut également garder un œil sur vos autres logiciels. Grâce aux correctifs pré-testés, vous pouvez simplement les appliquer sans vous soucier de leur niveau de qualité. En outre, Patch Manager fournit des rapports de conformité après l’application des correctifs, qui sont extrêmement utiles dans un contexte de sécurité et de conformité.

Principaux enseignements de la gestion des correctifs

L’importance de l’application des correctifs à vos logiciels, serveurs, systèmes d’exploitation ne doit pas être sous-estimée lorsqu’il s’agit de la sécurité et de la fonctionnalité du système. S’assurer que tous vos correctifs sont à jour est essentiel pour protéger votre système contre les bogues affectant les performances ou les failles qui pourraient permettre à un intrus malveillant d’accéder à votre réseau ou à vos datastores. En appliquant les correctifs selon un calendrier approprié et en veillant à ce que toutes les vulnérabilités soient corrigées rapidement, vous pouvez prévenir les problèmes de sécurité, de conformité ou de performance.

Pour tous vos processus de gestion des correctifs, vous devriez utiliser un outil de gestion des correctifs comme Patch Manager, afin de vous assurer que chaque appareil est couvert et que les correctifs ont été déployés correctement. Grâce aux rapports appropriés de votre logiciel de gestion des correctifs, vous pouvez également vous assurer que vous répondez aux exigences de conformité et d’audit pour toutes les informations sensibles que vous devez garder en sécurité.

La gestion des correctifs est un élément essentiel de la sécurité.