Lenteur des mises à jour de sécurité sur Mac : causes et solutions

Introduction

Les mises à jour de sécurité comptent parmi les responsabilités les plus cruciales des équipes informatiques.

Pendant le délai qui sépare la découverte des failles de sécurité et la publication des correctifs, les organisations sont exposées à des risques importants. Mais ces risques ne disparaissent pas avec la publication de correctifs, qui ne fait que souligner l’urgence et la gravité du problème.

Une fois la mise à jour disponible, qu’elle concerne le système, les applications ou la sécurité, elle doit être déployée rapidement sur chaque point de terminaison de votre infrastructure afin de limiter les risques et de garantir la conformité.

Pourtant, de nombreuses équipes informatiques des entreprises de taille moyenne savent que la réalité est tout autre.

Il faut souvent beaucoup plus de temps que prévu pour parvenir à un déploiement homogène. Si la mise à jour est rapide sur certains terminaux, d’autres restent à la traîne ; d’autres encore ignorent même totalement le cycle de correction.

L’écart se creuse alors progressivement entre la fréquence à laquelle les mises à jour devraient être effectuées et la réalité de la mise en œuvre dans le cadre de la conformité continue. Cet écart découle rarement d’un manque de discipline de la part de l’équipe informatique ; il souligne plutôt que les modèles de gestion traditionnels n’ont pas été conçus pour offrir la rapidité, la flexibilité, ni l’évolutivité requises par les environnements modernes.

Même lorsque les équipes informatiques font de l’application des correctifs une priorité, communiquent à ce sujet et utilisent au mieux les outils existants, les limites des modèles traditionnels deviennent de plus en plus évidentes et difficiles à contourner lorsque les organisations grandissent et évoluent.

Lenteur des mises à jour : les causes

Pour comprendre pourquoi l’application des mises à jour de sécurité et des correctifs reste aussi hétérogène sur Mac, il est intéressant d’examiner le fonctionnement des workflows MDM traditionnels. Ceux-ci reposent sur un modèle basé sur des commandes, dans lequel le serveur (hébergé dans le cloud ou sur site) déclenche des actions auxquelles répondent les appareils gérés.

En pratique, ce processus se décompose en plusieurs étapes qui peuvent toutes entraîner des retards et nuire à l’efficacité de l’application des correctifs. Vous trouverez ci-dessous le détail du déroulement d’un workflow MDM classique pour la gestion des correctifs :

1. Push du serveur : commande initiale envoyée par la solution MDM. Si une commande échoue, qu’elle est retardée ou qu’elle n’atteint pas l’appareil, le processus de mise à jour est suspendu jusqu’à la prochaine tentative.
2. Contact de l’appareil : l’appareil ne signale pas son état en continu, mais contacte le serveur à intervalles réguliers. Si un appareil est hors ligne ou qu’il manque une fenêtre de contact, il ne recevra pas la mise à jour à temps.
3. Notification d’installation de mise à jour : l’utilisateur est invité, par le biais d’une notification, à approuver ou à annuler la mise à jour.
   1. Approbation : la mise à jour est téléchargée et l’installation s’effectue dans la foulée. L’utilisateur est momentanément interrompu dans son travail, et le redémarrage en fin d’installation marque la fin du processus.
   2. Annulation : cela entraîne non seulement l’annulation des notifications, mais aussi l’arrêt complet du workflow. Les utilisateurs choisissent généralement cette option pour continuer de travailler, mais cela retarde d’autant l’installation de la mise à jour.

Quelques considérations supplémentaires concernant le déploiement de mises à jour à l’aide de workflows MDM classiques :

• Exigence de connectivité : il arrive souvent que les appareils appartenant à l’entreprise doivent être connectés au réseau ou au VPN de l’entreprise pour recevoir des instructions. Dans les environnements distribués, cela ajoute un facteur d’imprévisibilité.
• Visibilité en temps réel : sans une image claire de l’état de santé des points de terminaison, les équipes informatiques auront du mal à savoir si des mises à jour sont en attente, en cours ou en échec, ce qui les empêche de réagir rapidement.
• Évolutivité et flexibilité : les commandes sont mises en file d’attente au niveau du serveur avant d’être traitées directement sur les appareils gérés. Les retards dans le traitement des commandes ne sont pas rares, et leur accumulation rend les processus de gestion moins prévisibles.

Le coût réel des retards dans la gestion des correctifs

Les retards dans les mises à jour

entraînent une véritable réaction en chaîne lourde de conséquences. Par exemple :

• Les commandes d’application des correctifs restent dans la file d’attente de traitement.
• Session après session, la file d’attente s’allonge et consomme de plus en plus de ressources.
• Les retards s’accumulent.
• Les appareils restent non corrigés plus longtemps que prévu.
• Cette absence de correction entraîne un risque accru d’exposition.
• Le risque d’exploitation des vulnérabilités connues augmente.
• Les appareils s’écartent des valeurs de référence et ne sont plus en conformité.
• Les failles de sécurité s’aggravent et exposent l’organisation à des problèmes de conformité réglementaire.
• Le service informatique est accaparé par les problèmes urgents et les échanges incessants avec les utilisateurs.

Les opérations sont enferrées dans une approche réactive et ne peuvent pas être proactives. Au lieu de se consacrer à des améliorations, l’équipe est submergée d’une succession interminable de tâches répétitives, car la lenteur de l’application des correctifs allonge les périodes de vulnérabilité.

Tant qu’une faille connue reste non corrigée, la fenêtre d’exposition se prolonge. Quand on sait que les équipes informatiques des entreprises de taille moyenne doivent gérer plus de 500 points de terminaison, on ne parle pas d’incidents isolés, mais plutôt d’un risque opérationnel permanent qui s’accumule à l’échelle de l’organisation.

Qu’est-ce qui change avec la gestion déclarative des appareils (DDM) ?

La gestion déclarative des appareils propose un nouveau modèle moderne de gestion des points de terminaison, conçu pour optimiser la gestion des correctifs en apportant la flexibilité et de l’efficacité qu’exigent les parcs d’appareils modernes.

Ce nouveau modèle s’affranchit des commandes serveur et fait en sorte que les appareils comprennent l’état dans lequel ils doivent se trouver. Voici les grandes lignes de cette approche :

1. Définition des conditions : le service informatique définit l’état que doivent avoir les appareils dans la solution MDM, en précisant notamment les configurations et les versions du système d’exploitation.
2. État souhaité : la DDM communique aux points de terminaison gérés l’état souhaité et conforme qu’ils sont censés maintenir.
3. Signalement de l’état : les appareils signalent immédiatement le moindre changement d’état et donnent ainsi une visibilité constante sur la progression des mises à jour.
4. Application des politiques : si un appareil n’est plus en conformité, il prend automatiquement des mesures pour rétablir la situation, indépendamment du serveur MDM.

Quelques remarques supplémentaires concernant l’efficacité de la DDM sur les plans de la sécurité et des opérations :

• Les appareils guident les utilisateurs en envoyant des notifications et imposent des mises à jour, si nécessaire.
• Les correctifs sont souvent programmés pour être installés automatiquement en dehors des heures de travail, afin de minimiser la sollicitation des utilisateurs.
• En confiant davantage de responsabilités à l’appareil lui-même, on évite bon nombre des retards liés aux processus traditionnels.

Les implications pour les équipes informatiques

Outre les avantages que nous venons d’évoquer liés à l’adoption d’une stratégie moderne de gestion des correctifs, la DDM garantit un déploiement plus rapide des mises à jour, car les appareils agissent dès que les conditions sont réunies.

Pour l’efficacité des opérations, l’intérêt est double : les correctifs sont rapidement déployés sur les appareils, et leur installation est plus homogène à l’échelle du parc, ce qui réduit les lacunes dans la couverture de sécurité.

Pour les équipes, cette approche réduit aussi la charge de travail manuel, et en particulier les tâches répétitives de mise en conformité des appareils gérés. Dernier point, la visibilité accrue offerte par la DDM donne aux équipes informatiques une image en temps réel de l’état de santé des points de terminaison. Elles passent ainsi moins de temps à vérifier les appareils pour résoudre les problèmes liés aux mises à jour manquées.

Pour conclure, la DDM permet à votre entreprise de réduire les fenêtres de vulnérabilité, et donc de renforcer à la fois la protection des appareils et sa posture de sécurité globale Elle libère également le service informatique de la gestion des urgences (approche réactive) et lui permet de consacrer plus de temps à des tâches stratégiques (approche proactive) : développer de meilleures solutions et créer de la valeur grâce à un meilleur alignement sur les objectifs de l’entreprise.