Mois de sensibilisation à la cybersécurité 2023 : réflexion sur les 20 ans du Patch Tuesday

Alors que nous célébrons le 20e anniversaire du Patch Tuesday, réfléchissons au parcours remarquable parcouru par l’industrie, célébrons les progrès qui ont été réalisés et réfléchissons aux défis à venir.

Avant le premier déploiement du Patch Tuesday le 15 octobre 2003, Microsoft publiait des mises à jour de sécurité de manière ponctuelle, ce qui rendait difficile pour les professionnels de l’informatique et les organisations de planifier et d’appliquer rapidement les mises à jour critiques. L’objectif était de rationaliser la distribution des mises à jour, réduisant ainsi les coûts. Avant cela, le système de bulletins de sécurité Microsoft offrait des informations détaillées sur les mises à jour de sécurité, les correctifs et les vulnérabilités, finalement remplacés par le Guide de mise à jour de sécurité en 2017.

Initialement conçu pour les mises à jour critiques des systèmes d’exploitation Windows et des produits Microsoft, Patch Tuesday s’est étendu au fil du temps pour inclure des mises à jour non liées à la sécurité, des améliorations de performances et de nouvelles fonctionnalités.

Du scepticisme à la confiance

Initialement, le Patch Tuesday a été accueilli avec scepticisme en raison des inquiétudes concernant les perturbations potentielles causées par les correctifs. Par exemple, en août 2004, Microsoft a publié Windows XP Service Pack 2, qui a introduit divers problèmes de compatibilité avec des applications tierces rencontrés par de nombreuses organisations. Lorsque Microsoft a lancé Windows Vista en janvier 2007, cela a provoqué des problèmes de compatibilité avec le matériel et les logiciels existants, entraînant des perturbations pour les utilisateurs et les organisations. Ainsi, jusqu’à un certain point, de nombreuses organisations ont largement ignoré les correctifs appropriés.

Dans le même temps, le coût du retard dans le déploiement des correctifs en raison des inquiétudes concernant les perturbations du système est devenu évident. En novembre 2008, la vulnérabilité MS08-067, également connue sous le nom de vulnérabilité « Conficker » ou « Downadup », a affecté les systèmes d’exploitation Windows. Malgré la publication d’un correctif en octobre 2008, de nombreuses organisations ont retardé son application, permettant au ver Conficker de se propager rapidement et d’infecter des millions d’ordinateurs dans le monde.

Le 12 mai 2017 a eu lieu l’une des cyberattaques les plus notables et les plus répandues de l’histoire : WannaCry. Cette attaque exploitait une vulnérabilité Windows connue sous le nom d’EternalBlue, qui ciblait la manière dont Microsoft Windows gérait le trafic réseau. Microsoft a publié un correctif de sécurité pour corriger cette vulnérabilité le 14 mars 2017, lors d’une version régulière du Patch Tuesday. Cependant, de nombreuses organisations n’ont pas appliqué le correctif en temps opportun ; ce délai a permis à WannaCry d’infecter et de chiffrer des centaines de milliers d’ordinateurs dans 150 pays.

Ces attaques très médiatisées ont fait prendre conscience de l’importance des correctifs au sein de la communauté informatique. De plus, à mesure que Microsoft améliorait continuellement ses processus de test et sa communication avec les clients, Patch Tuesday a gagné en confiance.

Défis modernes : le flot de correctifs

Depuis 2003, le nombre de correctifs distribués dans chaque version du Patch Tuesday a considérablement augmenté. Bien que Microsoft ait amélioré la qualité des correctifs grâce à des tests approfondis, celle-ci reste imparfaite, ce qui entraîne souvent davantage de correctifs. Par exemple, en janvier 2022, les versions régulières du Patch Tuesday ont provoqué des problèmes avec Active Directory. Pour résoudre ces problèmes, Microsoft a publié des mises à jour hors bande.

D’autres facteurs objectifs, tels que la complexité croissante des systèmes et les interdépendances logicielles accrues, contribuent également à l’augmentation du nombre de correctifs publiés. Naviguer dans ce flot de correctifs est devenu un défi important pour les entreprises modernes travaillant depuis n’importe où, ce qui entraîne des retards dans le déploiement des correctifs. En conséquence, les vulnérabilités non corrigées restent l’une des principales causes de violations.

Les défis du Patch Tuesday d’aujourd’hui

Pourquoi les retards dans le déploiement des correctifs persistent-ils ? Pour trouver des réponses, examinons les défis auxquels sont confrontées les équipes informatiques modernes.

Premièrement, les problèmes de compatibilité persistent, notamment parce que différentes organisations utilisent diverses configurations logicielles et matérielles qui peuvent ne pas correspondre aux mises à jour des correctifs. Dans de tels cas, les mises à jour peuvent déclencher des conflits, mettant en péril la stabilité et les performances du système. Par exemple, les systèmes d’exploitation Windows 10 et Windows 11 présentaient plus de 1 200 failles de sécurité en 2022 seulement. Bien que Microsoft ait rapidement corrigé bon nombre de ces failles de sécurité, ces mises à jour ont apporté leurs propres problèmes aux équipes informatiques, faisant souvent plus de mal que de bien, notamment le Écran bleu de la mort, problèmes de navigateur, problèmes de connexion Internet après la mise à jour et autres.

Des stratégies robustes de test de correctifs et de récupération sont impératives pour faire face à ces complexités. Les tests, qui durent généralement deux semaines, suivis du déploiement et de la surveillance, représentent un défi dans le cadre du calendrier du Patch Tuesday. Pour les grandes entreprises, s’adapter à ce calendrier peut s’avérer une entreprise ardue et coûteuse.

Les conflits de correctifs et les dépendances introduisent des niveaux supplémentaires de complexité. Certaines mises à jour peuvent avoir des dépendances spécifiques ou entrer en conflit avec des correctifs ou des versions logicielles précédemment installés. Lorsque les organisations ignorent l’installation mensuelle des correctifs, la situation peut devenir encore plus compliquée, nécessitant des transitions coûteuses vers de nouveaux systèmes dotés des dernières versions logicielles.

Les temps d’arrêt du système, souvent inévitables en raison des redémarrages requis lors de l’application des correctifs, représentent un défi important pour maintenir un processus de mise à jour continu. Les temps d’arrêt perturbent les opérations commerciales et entraînent des coûts pour les organisations, ce que toute entreprise a tendance à éviter. Selon une récente enquête Action1, la peur des temps d’arrêt est le principal obstacle à une correction efficace des vulnérabilités.

De plus, comme les entreprises disposent souvent d’un large éventail de systèmes, le déploiement de correctifs sur tous les appareils constitue un défi de taille. Les équipes informatiques doivent élaborer des stratégies de déploiement efficaces pour garantir des mises à jour opportunes et coordonnées. Les équipes n’ont qu’une seule option : utiliser le WSUS et la stratégie de groupe de Microsoft, mais ces solutions ont leurs propres limites.

Enfin, l’afflux constant de correctifs nécessite un suivi vigilant des correctifs. Garder un œil sur les correctifs appliqués et surveiller les échecs de déploiement est devenu une tâche longue et difficile. En fait, nous sommes aujourd’hui confrontés à plus de défis en matière de gestion des correctifs qu’il y a 20 ans. Relever ces défis nécessite une approche holistique combinant des tests méticuleux, des évaluations de compatibilité, une planification stratégique et un suivi vigilant pour garantir le fonctionnement fluide et sécurisé des systèmes informatiques.

Microsoft affirme que le Patch Tuesday se poursuivra dans un avenir prévisible, ce qui signifie que la sensibilisation et l’adoption de pratiques efficaces de gestion des correctifs resteront essentielles à la protection de nos systèmes et de nos données. À mesure que le paysage de la cybersécurité continue d’évoluer, nous prévoyons l’émergence de menaces plus sophistiquées, ce qui souligne l’importance d’une correction proactive des vulnérabilités, l’automatisation jouant un rôle important dans la résolution de ces problèmes.

Mike Walters, co-fondateur et président, Action1