Résumé : Le patch management, ou gestion de correctifs de sécurité, sous Windows, est une problématique bien connue des personnes en charge de la sécurité de grands parcs informatiques. Les contraintes sont multiples, citons notamment la haute disponibilité pour les serveurs de production par exemple.

Poster un commentaire

Promo interne : Certificats annuels SSL ( Voir les détails ) 128/256 bits à racine unique. Installables en 30 secondes, 99% des navigateurs compatibles ! Disponibles en ligne en 10 minutes : RapidSSL ( 62 EUR - Voir ), RapidSSL Pro réémission gratuite ( 98 EUR - Voir ) & QuickSSL Premium, réémission gratuite, compatible PDA, sceau de validité ( 129 EUR - Voir ) - Promo spéciale 20 % sur les certificats SSL VeriSign jusqu'au 31 mai 2008 ( Voir ) 1 Year VPN Unlimited Who needs VPN4U Services ? Hotspot Wireless Users at risk of having personal datas stolen like passwords ! Home Internet Users, Cable and DSL providers don't filtering exploits ! International Internet Users living where Governments prevent users from enjoying Internet, USA IP = no controls ! 36 USD - Buy

NDLR : ce document a été rédigé en 2006, certaines versions ainsi que certaines configurations des logiciels utilisés selon ces versions peuvent être différentes de celles qui sont mentionnées ; merci de vous reporter vers les sites officiels des projets en question en cas de problème.


Comment déployer un correctif de sécurité sur l’intégralité d’un parc sans saturer le réseau et en s’assurant que celui-ci ne rendra pas indisponibles plus de 10000 machines après une nuit de mises à jour ?

Comment élargir le patch management aux outils non Microsoft, et comment automatiser de façon fiable et robuste ce délicat déploiement ? Autant de questions cruciales que doivent se poser la majeure partie des RSSI.

La gestion des correctifs de sécurité a commencé à s’intégrer petit à petit dans les versions récentes de Windows, tant au niveau des clients qu’au niveau des domaines (avec des déploiements de type MSI au travers d’un Active Directory par exemple).

Mais si ces solutions sont valables pour une machine bureautique isolée ou un nombre très limité, elles le sont beaucoup moins pour un parc de plusieurs milliers de machines, surtout si celui-ci est hétérogène, avec des versions de Windows différentes, voire des OS différents (*NIX, MS Windows, etc.)

Il y a encore quelques années, les correctifs de sécurité n’étaient que très rarement appliqués, et ne concernaient quasiment pas les postes clients.

Les seules machines qui pouvaient l’être étaient les serveurs accessibles depuis l’extérieur du réseau (serveur Web, serveur SMTP, etc.), quand le souci de sécurité était intégré à la politique informatique de l’entreprise, ce qui était rarement le cas, même au sein de grands groupes Français.

Fort heureusement, les choses ont évolué depuis, notamment « grâce » à des attaques d’envergure du type slammer, code red ou encore blaster démontrant les lacunes en matière de mises à jour des systèmes d’information.

Ce périmètre n’était pas considéré comme sensible car il devait être, en théorie, fermé et contenu ; la démocratisation des ordinateurs portables, que les employés utilisent de leur domicile, depuis des accès publics (hotspots, accès FAI), et autres, peuvent entraîner des dégâts considérables quand ils se reconnectent au réseau de l’entreprise.

Un seul poste peut désormais entraîner la destruction quasi entière du système d’information en très peu de temps, d’où l’intérêt grandissant pour la gestion des correctifs de sécurité…

Nous aborderons exclusivement le cas de la gestion (semi) automatique des correctifs de sécurité en environnement Windows. Les principes sont cependant très proches pour d’autres systèmes d’exploitation sur lesquels il est souvent possible d’utiliser les mêmes outils, par exemple pour des machines Linux.


Autres ressouces dans ce dossier :

[Gestion de patch – Partie 2] Les tests de vulnérabilités locales avec Nessus – lien http interne url:[click]

[Gestion de patch – Partie 3] Développement de scripts NASL pour Nessus – lien http interne url:[click]

[Gestion de patch – Partie 4] Microsoft Baseline Security Analyser et Shavlik – lien http interne url:[click]

[Gestion de patch – Partie 5] Conclusion et webographie – lien http interne url:[click]

Poster un commentaire