Les mises à jour… c'est pas compliqué?
Un lundi matin, une entreprise nous appelle : tous les fichiers sont chiffrés. La cause ? Une mise à jour jamais faite. Voici comment l'éviter.
Un lundi matin, une entreprise nous appelle. Tous les fichiers sont chiffrés, les copies de sauvegarde aussi. Le directeur général ne comprend pas: ses ordinateurs font pourtant les mises à jour automatiques, comme il se doit. Le problème, c'est que la sécurité informatique ne se résume pas à Windows Update.
Ce qu'on pense, ce qu'on oublie
Quand on parle de vulnérabilités, la plupart des gens pensent tout de suite à Windows Update, cet outil qui tourne en arrière-plan pour installer les correctifs de sécurité et les nouvelles fonctions. Sur un téléphone Android ou un iPhone, c'est pareil: les applications se mettent à jour presque toutes seules. Les manufacturiers font leur travail. Ils corrigent les trous de sécurité découverts dans leurs produits, généralement assez rapidement une fois le problème connu publiquement.
Le hic, c'est que Windows, macOS, Linux et les applications mobiles ne représentent qu'une partie de ce qui tourne dans une PME. Il y a plusieurs aspects à la sécurité informatique, et la gestion des vulnérabilités en est un qui reste largement invisible pour qui ne suit pas l'actualité technologique de près. Résultat: plusieurs failles importantes passent sous le radar sans que personne ne s'en rende compte, jusqu'au jour où ça devient un problème très concret.
L'exemple qui illustre bien le problème
Un cas connu: un équipement de stockage D-Link affecté par cr1pt0r, un logiciel malveillant qui chiffre à peu près n'importe quel appareil vulnérable connecté à Internet. Une entreprise qui utilisait cet équipement nous a contactés après coup. Le directeur général était formel: tous leurs ordinateurs font les mises à jour automatiques. Il ne comprenait pas pourquoi ses fichiers, et même ses copies de sauvegarde, se sont retrouvés chiffrés du jour au lendemain.
La réponse tient en une phrase: l'équipement de stockage lui-même n'était pas couvert par cette politique de mise à jour. Personne n'y pensait, parce que ce n'est pas un ordinateur au sens où on l'entend habituellement. C'est exactement ce genre d'angle mort qui transforme une PME par ailleurs bien gérée en cible facile.
Les mises à jour, oui, mais lesquelles?
C'est bien beau d'avoir configuré les mises à jour automatiques sur les postes de travail. Mais qu'en est-il du reste du parc informatique? Les serveurs sont-ils à jour? Et les versions de micrologiciel (firmware)? Le routeur, les commutateurs réseau (switches), le pare-feu, sont-ils couverts eux aussi? Ce sont souvent les équipements qu'on installe une fois, qu'on oublie ensuite, et qui continuent de tourner sans surveillance pendant des années.
Il faut aussi se poser la question de la fin de vie des produits technologiques. Un fabricant finit toujours par cesser de publier des correctifs pour un modèle donné. À partir de ce moment, chaque vulnérabilité découverte reste ouverte, sans solution officielle. Est-ce qu'il existe un plan de remplacement ou de mise à niveau pour ces équipements avant qu'ils n'atteignent ce point?
Quand un équipement ne peut plus être mis à jour
Dans certains cas, comme celui de l'entreprise touchée par cr1pt0r, l'équipement en question ne peut tout simplement plus être corrigé. Dans cette situation, l'objectif n'est pas d'atteindre le risque zéro, c'est irréaliste, mais de connaître ce risque et de le réduire au minimum. Concrètement, ça peut vouloir dire garder les copies de sauvegarde en dehors de l'équipement vulnérable plutôt que sur le même réseau, ou simplement remplacer l'appareil avant qu'il ne devienne un point d'entrée.
Une vue d'ensemble, pas juste des cases à cocher
L'important, c'est d'avoir une vue d'ensemble sur son parc informatique et de le gérer comme un tout cohérent, pas comme une série d'appareils indépendants dont on espère qu'ils se mettent à jour tout seuls. On ne le répétera jamais assez: la sécurité, c'est comme une chaîne. Elle n'est jamais plus forte que son maillon le plus faible, et ce maillon faible, ce n'est pas toujours l'ordinateur qu'on surveille de près.
Chez MMO Techno, on regarde l'ensemble de votre solution, des postes de travail jusqu'aux équipements réseau qu'on a tendance à oublier, pour avoir une approche globale de la gestion des vulnérabilités plutôt qu'une liste de cases cochées à moitié.