Gestion des vulnérabilités : un guide complet pour les professionnels de la sécurité

Introduction

Ingénierie sociale. Log4j. Atomic Stealer. Attaque de la chaîne d’approvisionnement SolarWinds.

Autant d’exemples de vulnérabilités de cybersécurité qui, une fois diffusée et exploitée, ont permis à des pirates d’accéder à des données confidentielles, à des systèmes et des réseaux fermés et à des identifiants sensibles, et ainsi de provoquer de graves violations.

Les vulnérabilités ne se limitent pas aux quatre mentionnées dans l’introduction. Elles sont extrêmement variées et toutes peuvent aboutir à la compromission des appareils, des utilisateurs et des ressources de l’organisation. Face au paysage moderne des menaces, les équipes informatiques et de sécurité doivent preuve d’une vigilance sans faille pour protéger l’entreprise.

Ce guide met avant tout l’accent sur l’importance de la gestion des vulnérabilités dans le contexte actuel de la cybersécurité. Il détaille également les points suivants :

• Qu’est-ce que la gestion des vulnérabilités ?
• Le rôle des appareils mobiles dans la gestion des vulnérabilités
• Le processus de gestion des vulnérabilités, étape par étape.
• Comment Jamf aide les organisations à gérer les vulnérabilités

Comprendre la gestion des vulnérabilités

Qu’est-ce que la gestion des vulnérabilités ?

La gestion des vulnérabilités est un processus itératif d’identification, de classification, de hiérarchisation, de correction et d’atténuation des vulnérabilités. Représenté sous la forme d’une boucle, ce cycle vise à remédier aux vulnérabilités affectant divers aspects de la sécurité de l’information :

• Matériel
• Logiciels
• Processus
• Workflows

Pourquoi la gestion des vulnérabilités est-elle incontournable en cybersécurité ?

Il est essentiel de mettre au point et d’intégrer un programme de gestion des vulnérabilités pour maintenir la sécurité de l’organisation. Les organisations doivent faire preuve d’anticipation et être constamment à l’affût des vulnérabilités potentiellement présentes dans tous les appareils et logiciels qu’elles utilisent. Quand elles ne sont pas corrigées, les vulnérabilités de l’infrastructure dégradent la posture de sécurité et la conformité des appareils et les exposent à des compromissions. Pire encore, si elles sont exploitées par des acteurs malveillants, elles peuvent être à l’origine de graves violations de données.

Gestion de la vulnérabilité des appareils mobiles

Les appareils mobiles jouent désormais un rôle central dans les activités professionnelles. Du fait de leur omniprésence, ils sont considérés comme des terminaux critiques dans les infrastructures informatiques du monde entier. Les appareils mobiles permettent aux utilisateurs de travailler partout et à tout moment. Et parce qu’ils conjuguent puissance et performance, ils sont efficaces dans toutes les applications et tous les flux de travail.

Les appareils mobiles permettent de se connecter à distance et en toute sécurité aux ressources de l’entreprise, de communiquer sans effort avec des collaborateurs dispersés et d’autonomiser les utilisateurs en leur donnant accès aux plateformes et aux services qu’ils préfèrent. Si l’on ajoute à cela leur grande flexibilité, on comprend qu’ils soient aujourd’hui l’outil incontournable dans le contexte du travail à distance et des environnements hybrides.

Les défis posés par les vulnérabilités des appareils mobiles

Les utilisateurs et les entreprises ne sont pas les seuls à aimer les appareils mobiles. Le paysage des menaces modernes évolue sans cesse et les pirates perfectionnent leurs outils pour cibler de plus en plus les appareils mobiles utilisés dans un contexte professionnel.

Cet attrait s’explique en premier lieu par le grand nombre d’utilisateurs qui dépendent des appareils mobiles pour le travail. Selon une récente étude sur les appareils mobiles dans l’entreprise menée par Oxford Economics et Samsung, « 80 % des responsables informatiques affirment que les employés ne peuvent travailler efficacement sans un téléphone mobile ».

Cet élargissement de l’exposition s’accompagne d’une augmentation des menaces de sécurité. Voici quelques exemples de menaces courantes ciblant les mobiles :

• Connexion à des réseaux sans fil non sécurisés
• Retard dans l’installation des mises à jour et des correctifs du système d’exploitation et des applications
• Utilisation d’applications et de services non approuvés (« shadow IT »)
• Diversité des modèles de propriété (mélange d’appareils personnels et d’appareils d’entreprise)
• Impossibilité d’uniformiser les règles de sécurité dans l’ensemble de l’infrastructure

Processus de gestion des vulnérabilités

Le cycle de vie de la gestion des vulnérabilités se compose de cinq étapes qui guident les professionnels de l’informatique et de la sécurité dans le processus global d’atténuation des vulnérabilités. Chaque étape de ce cycle comprend ses activités propres et sert également à informer les étapes suivantes du workflow, selon un principe d’itération.

Identification

Avant de pouvoir identifier ou corriger les vulnérabilités, les administrateurs doivent dresser un inventaire complet du matériel et des logiciels.

Évaluation

Au cours de cette phase, ils utilisent des scanners, les journaux des appareils et d’autres outils de sécurité pour évaluer les actifs recensés. Cela permet de déterminer l’état de santé des terminaux et de les comparer à des valeurs de référence afin d’en déduire le niveau de conformité.

Hiérarchisation

Sur la base des résultats de l’évaluation, les administrateurs trient et organisent leurs observations en s’appuyant sur des ressources telles que le Système commun d’évaluation des vulnérabilités (CVSS), les Vulnérabilités et expositions communes (CVE) de MITRE et la Base de données nationale des vulnérabilités (NVD) du NIST. Les équipes de sécurité peuvent ainsi classer les vulnérabilités en fonction de leur impact potentiel sur l’organisation, de leur criticité et de leur gravité.

Résolution

Armées d’une liste des vulnérabilités classées par ordre de criticité, les équipes informatiques et de sécurité mettent en place des mesures de correction. Elles procèdent généralement de la vulnérabilité la plus critique ou néfaste à la vulnérabilité la moins grave. La meilleure solution est toujours la correction, c’est-à-dire le traitement complet de la vulnérabilité pour en empêcher l’exploitation. Mais cette approche n’est pas toujours possible. Les autres options sont l’atténuation et l’acceptation. La première minimise le risque posé par la vulnérabilité en rendant son exploitation plus difficile. Quant à la deuxième, on ne s’y réduit que dans des circonstances très précises, par exemple :

• La vulnérabilité se situe dans les limites de la tolérance au risque
• La correction de la vulnérabilité s’avère plus coûteuse que son impact en cas d’exploitation
• La probabilité que des pirates exploitent la vulnérabilité est très faible

Rapport

La dernière phase du cycle de gestion des vulnérabilités consiste à documenter les conclusions de l’équipe pour chaque vulnérabilité. L’objectif est double :

1. Compiler des retours pour informer de manière itérative les workflows actuels et futurs, mais aussi améliorer les plans de sécurité de l’organisation.
2. Documenter les enseignements pour aider les équipes informatiques et de sécurité à mieux aligner leurs stratégies, leurs processus et leurs workflows afin de minimiser les risques futurs.

Les outils et les technologies Jamf au service de la gestion des vulnérabilités

Les professionnels de l’informatique et de la sécurité chargés de gérer et de sécuriser les terminaux Apple ont beaucoup à faire. Mais avec Jamf Pro, ils ne sont pas seuls.

Les solutions Jamf offrent une multitude d’outils pour aider les administrateurs Apple à gérer les vulnérabilités. Voyons comment les solutions Jamf simplifient cette mission :

Jamf Protect

Jamf Protect fournit un tableau de bord de toutes les CVE associées aux systèmes d’exploitation Apple (macOS et iOS/iPadOS), et des CVE liées aux applications installées sur les terminaux gérés.

Jamf Pro

Le catalogue d’applications Jamf veille à ce que les applications tierces soient bien tenues à jour, tandis que la gestion basée sur des règles assure la conformité des applications.

Jamf Connect

Minimisez le risque de vulnérabilités et leur impact grâce à l’accès réseau Zero Trust (ZTNA), qui empêche les identifiants compromis et les terminaux non conformes d’accéder aux ressources protégées.

Conclusion

La gestion des vulnérabilités est une dimension essentielle du plan de sécurité d’une organisation. Les équipes informatiques et de sécurité doivent impérativement identifier, évaluer, hiérarchiser, résoudre et signaler les vulnérabilités pour minimiser les risques pesant sur la sécurité de l’organisation.