Lorsqu’une vulnérabilité de sécurité est découverte dans le code d’un logiciel ou d’une infrastructure réseau, il est rarement pertinent de revoir entièrement le produit, notamment en raison du temps, du coût et de la fréquence des mises à jour qu’exigerait le code de remplacement. Les correctifs logiciels sont généralement déployés parce qu’ils permettent de traiter les vulnérabilités du code à une échelle extrêmement précise, en ciblant directement le point problématique du code et en le « corrigeant » avec du code mis à jour jusqu’à la disponibilité d’une nouvelle version du produit. Les grands fournisseurs de technologies et les communautés open source publient régulièrement des correctifs pour leurs logiciels afin de sécuriser leurs produits et de protéger leurs clients professionnels. Le principal problème auquel les entreprises sont confrontées avec les correctifs est de suivre les derniers correctifs et les dernières vulnérabilités de sécurité dans leur environnement d’entreprise. Les logiciels de gestion des correctifs peuvent aider les équipes administratives à surveiller les anomalies du réseau, à tester les correctifs avant leur déploiement à grande échelle et à déployer les correctifs nécessaires sur tous les appareils de l’entreprise, automatiquement ou à la demande. Poursuivez votre lecture pour découvrir le fonctionnement de la gestion des correctifs et les différences entre les principaux fournisseurs du marché.
Qu’est-ce que la gestion des correctifs ?
La gestion des correctifs se concentre sur la surveillance et l’audit de l’infrastructure réseau de l’entreprise afin de détecter d’éventuelles vulnérabilités de sécurité. Les correctifs, ou petites mises à jour du code, peuvent être appliqués à différentes parties du réseau afin d’en améliorer l’efficacité ou la sécurité. Les éléments susceptibles d’être corrigés comprennent les systèmes d’exploitation, les applications et les serveurs. La gestion des correctifs constitue un volet d’une stratégie plus large de gestion des vulnérabilités. Une solution robuste de gestion des correctifs contribue à la réussite de la gestion des vulnérabilités à toutes ses étapes : identification, signalement, priorisation et correction. En savoir plus sur la surveillance de la sécurité : Meilleurs outils open source de surveillance des réseaux
Comment fonctionne un logiciel de gestion des correctifs ?
Les logiciels de gestion des correctifs s’appuient généralement sur une surveillance constante de la sécurité, des référentiels de sécurité propres au secteur et des tableaux de bord détaillés pour aider les équipes de sécurité à identifier et à corriger les vulnérabilités du code. Lorsqu’elles utilisent un logiciel de gestion des correctifs, les équipes chargées des correctifs suivent généralement l’ordre des opérations suivant :
Lorsqu’un fournisseur publie un correctif
La gestion des correctifs commence généralement au niveau du fournisseur technologique. Lorsqu’il identifie un problème de code ou de performances dans l’un de ses produits, ses équipes de développement collaborent pour concevoir et tester un correctif robuste. Après un vaste processus d’approbation et de documentation, elles l’intègrent à une nouvelle version intermédiaire ou à une version corrective destinée aux clients, puis l’annoncent à leur base de clients. Pour les mises à jour particulièrement importantes, elles peuvent déployer automatiquement le correctif dans les abonnements des utilisateurs après leur annonce. Les fournisseurs technologiques transmettent souvent directement ces correctifs aux fournisseurs de solutions de gestion des correctifs. Les logiciels de gestion des correctifs comprennent généralement un catalogue des correctifs communiqués au gestionnaire des correctifs, notamment lorsque le correctif concerne l’un des systèmes d’exploitation pris en charge par la plateforme, comme Linux ou Windows. Le logiciel de gestion des correctifs peut alors avertir les utilisateurs de la disponibilité du nouveau correctif et proposer aux équipes de l’entreprise différentes options de déploiement.
Lorsqu’une équipe d’entreprise développe un correctif
Dans de nombreux cas, les équipes internes chargées de la sécurité ou de l’informatique identifient une section problématique du code dans l’une de leurs applications. Plutôt que d’attendre une version intermédiaire du fournisseur du produit pour améliorer la situation, elles peuvent suivre les étapes suivantes, avec l’aide d’un logiciel de gestion des correctifs, afin de créer leurs propres correctifs :
- Appliquer une surveillance continue de la sécurité : Le logiciel de gestion des correctifs utilise en continu des audits de sécurité, des analyses et une surveillance de la sécurité pour identifier les bogues et autres problèmes des systèmes.
- Les équipes de développement codent : Lorsqu’un problème est identifié, les équipes de développement réfléchissent à une solution et écrivent le code du correctif.
- Phase de test du correctif : Le correctif est testé dans un bac à sable ou un autre environnement non actif, tout en étant soumis à un processus d’approbation.
- Processus de documentation : Une fois le correctif validé dans le bac à sable et approuvé, une documentation est rédigée pour expliquer et accompagner la mise à jour. Elle peut également présenter les bonnes pratiques concernant le lieu, le moment et la méthode de déploiement du correctif sur les appareils de l’entreprise.
- Publication du correctif pour les utilisateurs : Lorsqu’une entreprise décide que son correctif est prêt à être déployé auprès d’un plus grand nombre d’utilisateurs, elle s’appuie généralement sur le tableau de bord d’administration du gestionnaire des correctifs pour faciliter le déploiement. Elle peut transmettre automatiquement la mise à jour à tous les appareils des utilisateurs et aux applications concernées. Elle peut aussi choisir d’utiliser des groupes prédéfinis et des profils utilisateurs pour publier les correctifs selon les besoins.
- Les développeurs attendent les retours : Même pour les correctifs internes, les développeurs doivent s’attendre à recevoir des retours de leurs collègues sur le fonctionnement du correctif et sur ses éventuels problèmes fonctionnels. Il arrive que, par manque de précaution, les correctifs créent de nouveaux problèmes au lieu de résoudre les anciens ; il est donc important que les développeurs tiennent compte de ces retours.
- Le cycle recommence lorsqu’un nouveau besoin de correctif est identifié.
Découvrez également le fonctionnement actuel de la gestion des correctifs : Tendances de la gestion des correctifs en 2022
Fonctionnalités des logiciels de gestion des correctifs
La plupart des solutions logicielles de gestion des correctifs proposent des fonctionnalités qui facilitent le déploiement de correctifs développés en externe, la création de correctifs internes et l’identification des anomalies de code ou de performances susceptibles d’être corrigées par un correctif. Voici quelques-unes des fonctionnalités les plus courantes des logiciels de gestion des correctifs destinés aux entreprises :
- Environnements de test en bac à sable
- Déploiement depuis un serveur central, avec déploiement à distance pour une main-d’œuvre distribuée
- Inventaire des systèmes
- Prise en charge de la conformité réglementaire
- Choix entre des mises à jour automatisées ou à la demande
- Modèles de correctifs, de politiques et de documentation
- Surveillance de base de la sécurité et résolution des problèmes
- Prise en charge et intégrations tierces
À lire également : Cinq conseils pour gérer la conformité sur les réseaux d’entreprise
Meilleurs logiciels de gestion des correctifs
ManageEngine Patch Manager Plus
ManageEngine Patch Manager Plus est un gestionnaire de correctifs multiplateforme qui prend en charge les systèmes d’exploitation Windows, Mac et Linux, ainsi que plus de 350 applications tierces. Il s’agit d’une solution particulièrement adaptée aux utilisateurs qui doivent suivre les mises à jour de Windows 10.
Fonctionnalités :
- Gestion automatisée des correctifs à distance, avec des phases d’analyse, d’évaluation, de déploiement et de création de rapports
- Politiques de déploiement des correctifs personnalisables
- Environnements de production pour créer automatiquement des groupes de test, tester les correctifs et les déployer
- Refus ou report des correctifs moins importants ou des correctifs à révoquer
- Audit et création de rapports en temps réel
Avantage : De nombreux utilisateurs saluent la rapidité, la disponibilité et l’efficacité de l’équipe d’assistance du fournisseur. Inconvénient : Les messages d’erreur sont parfois peu clairs ou absents lorsqu’un problème survient sur la plateforme. Tarification : Les éditions Free, Professional et Enterprise sont toutes disponibles. Les tarifs des éditions Professional et Enterprise, dans le cloud comme sur site, sont indiqués sur la page des tarifs de ManageEngine.
Heimdal Security Patch and Asset Management
Heimdal Security Patch and Asset Management est un gestionnaire de correctifs privilégié par les utilisateurs qui recherchent une prise en charge de la création de politiques, du déploiement des politiques et de la documentation, ainsi que de la conformité générale. Cet outil fournit des pistes d’audit CVE et CVSS et s’intègre également aux groupes Active Directory afin de simplifier la gestion des politiques au niveau des utilisateurs.
Fonctionnalités :
- Planification avancée des correctifs selon les fuseaux horaires et les types de machines
- Gestion des vulnérabilités, des correctifs et des stratégies de groupe sous Windows et Linux
- Correctifs automatisés pour plus de 100 applications tierces
- L’encapsulation HTTPS garantit la sécurité des données en transit
- Extension Infinity Management pour automatiser les correctifs et les mises à jour des flux au moyen de scripts en ligne de commande
Avantage : De nombreux utilisateurs soulignent la rapidité et l’efficacité du processus de déploiement rendant les correctifs disponibles pour les utilisateurs finaux. Inconvénient : Certains utilisateurs ont signalé la difficulté de la configuration initiale de cette plateforme. Tarification : Les tarifs ne sont pas indiqués sur le site web de Heimdal. Les clients potentiels doivent contacter l’équipe commerciale de Heimdal pour obtenir ces informations.
Syxsense Manage Patch Management
Syxsense Manage Patch Management est hébergé sur Microsoft Azure et fournit des fonctionnalités de gestion des correctifs aux utilisateurs de Windows, Mac et Linux. Il s’agit d’une autre solution performante pour répondre aux exigences de conformité sectorielles, notamment pour la conformité HIPAA, SOX et PCI. De nombreux utilisateurs choisissent cet outil pour la flexibilité qu’il offre en matière de calendriers et de fenêtres de déploiement des correctifs.
Fonctionnalités :
- Tableaux de bord contenant des données de correctifs spécifiques à Windows 10
- État des appareils avec notation CVSS
- Priorisation des correctifs fondée sur les résultats de l’analyse des risques
- Calendriers de déploiement automatisés avec fenêtres de maintenance et événements récurrents
- Correctifs tiers disponibles en natif pour Adobe, Java et Chrome
Avantage : Les administrateurs apprécient de pouvoir créer des calendriers et des plans de correctifs personnalisés, différents selon les équipes et les rôles. Inconvénient : Certains utilisateurs estiment que les contrôles administratifs à distance pourraient être plus fiables. Tarification : Cette solution de gestion des correctifs est un composant du produit plus vaste Syxsense Manage. Les clients potentiels doivent contacter directement l’équipe commerciale de Syxsense pour obtenir les tarifs.
GFI LanGuard
GFI LanGuard propose des intégrations avec plus de 4 000 applications de sécurité dans les catégories des antivirus, des pare-feu, de la sauvegarde, du chiffrement, de la gestion des accès et de la prévention contre la perte de données. GFI LanGuard peut fonctionner en mode sans agent ou avec agent et prend en charge les systèmes d’exploitation Microsoft, Mac et Linux. De nombreux utilisateurs apprécient la flexibilité de l’analyse des systèmes automatisée ou à la demande, ainsi que la possibilité d’annuler les correctifs.
Fonctionnalités :
- Prise en charge de la gestion et de l’automatisation des correctifs tiers pour Apple QuickTime, Adobe Flash Player, Mozilla Firefox, Google Chrome, Apple Safari, Opera et Java Runtime
- Graphique indicateur du niveau de menace pour l’état de vulnérabilité des appareils
- Création de rapports web avec HTTPS
- Base de données d’évaluation des vulnérabilités mise à jour automatiquement pour s’aligner sur les mises à jour de sécurité de Microsoft
- Compatibilité avec la virtualisation et les machines virtuelles VMware, Microsoft Virtual Server, Microsoft Hyper-V, Citrix et Parallel
Avantage : Les audits de sécurité fournissent des données historiques exhaustives par l’intermédiaire d’un tableau de bord interactif. Inconvénient : Certains utilisateurs ont rencontré des interruptions ou des expirations de délai lors de mises à jour de correctifs particulièrement importantes. Tarification : GFI LanGuard est proposé dans trois forfaits tarifaires différents, selon le nombre de nœuds nécessaires : Small, Medium et Large. Leurs tarifs vont de 10 à 26 dollars US par nœud et par an. En savoir plus sur les tarifs de GFI LanGuard.
Avast Business Patch Management
Avast Business Patch Management prend en charge les correctifs pour Microsoft Windows et de nombreuses applications professionnelles tierces populaires. Parmi les applications des fournisseurs pour lesquelles Avast propose une prise en charge complète des correctifs figurent Java, Adobe, Oracle et iTunes.
Fonctionnalités :
- Correctifs et détection des correctifs à distance
- Tableaux de bord centralisés et configuration simplifiée des rapports
- Analyse automatisée des correctifs et planification de leur déploiement
- Annulation des correctifs au niveau de chaque appareil
- Gestion de l’agent maître et distribution des correctifs
Avantage : De nombreux utilisateurs trouvent les visualisations de données du tableau de bord d’Avast Business Patch Management particulièrement intuitives. Inconvénient : Ce produit est limité aux utilisateurs de Windows qui utilisent également le logiciel antivirus Avast. Tarification : Les tarifs d’Avast Business Patch Management vont de 13,49 à 15,49 dollars US par appareil et par an, selon le nombre d’appareils couverts.
SecPod SanerNow Patch Management
SecPod SanerNow Patch Management est une console de gestion des correctifs dans le cloud offrant un accès granulaire fondé sur les rôles. Elle est compatible avec plus de 300 applications tierces et tous les principaux systèmes d’exploitation. De nombreux utilisateurs choisissent ce gestionnaire de correctifs parce qu’il ne nécessite pas beaucoup de ressources système et perturbe très peu les activités de l’entreprise.
Fonctionnalités :
- Automatisation des tâches de bout en bout pour l’analyse, la priorisation, le téléchargement, les tests et le déploiement planifié
- Analyses personnalisées, en temps réel et continues des correctifs vérifiés
- Annulation simplifiée d’un correctif logiciel sujet aux erreurs
- Correctifs du firmware pour l’atténuation des risques
- Rapports générés automatiquement et journalisation native des audits
Avantage : Les utilisateurs apprécient que cette solution soit légère et utilise moins de mémoire que plusieurs de ses concurrentes, ce qui la rend particulièrement rapide. Inconvénient : Certains clients ont demandé davantage de possibilités de personnalisation pour les tableaux de bord et les rapports. Tarification : Les clients potentiels doivent contacter directement l’équipe commerciale de SecPod pour obtenir les informations tarifaires.
Automox Patch Management
Automox Patch Management est un gestionnaire de correctifs utile pour les équipes de sécurité qui souhaitent disposer d’une visibilité détaillée et de contrôles administratifs renforcés sur les actifs de l’entreprise. Cette solution logicielle offre une visibilité sur les correctifs en attente pour les appareils et les applications des utilisateurs. Elle permet également aux administrateurs d’approuver, de refuser ou d’examiner à distance ces correctifs en attente.
Fonctionnalités :
- Console cloud unique pour gérer l’inventaire du matériel, des logiciels, des correctifs et des configurations
- Prise en charge du déploiement et de l’annulation des logiciels tiers
- Correction des vulnérabilités liées aux correctifs et des systèmes mal configurés
- Gestion des actifs et de l’inventaire avec filtrage et gestion par stratégie
- Catalogue natif de logiciels tiers et scripts personnalisés disponibles pour les correctifs
Avantage : Les utilisateurs saluent les rapports détaillés et les fonctionnalités de gestion des stratégies mises à la disposition des administrateurs. Inconvénient : Certains clients ont rencontré des difficultés avec certaines fonctionnalités de correctifs propres à Linux, comme la mise en cache sur site. Tarification : Automox propose un forfait Patch et un forfait Patch & Manage. Le forfait Patch coûte 3 dollars US par appareil et par mois, avec une facturation annuelle. Le forfait Patch & Manage coûte 5 dollars US par appareil et par mois, avec une facturation annuelle.
Atera Patch Management
Atera Patch Management propose principalement des correctifs pour Mac et Windows, via Chocolatey pour les appareils Windows et Homebrew pour les appareils Mac. L’une des fonctionnalités les plus appréciées du produit est sa bibliothèque de scripts partagée, qui propose des modèles de scripts vérifiés et créés par Atera et ses partenaires de services gérés (MSP).
Fonctionnalités :
- Trois grandes approches de création de rapports disponibles : recherche et déploiement des correctifs, résumé de l’état des correctifs, et retours sur les correctifs et l’automatisation
- Solutions de correctifs disponibles en natif pour des applications telles que Chrome, Zoom, Skype, Dropbox et Java
- Profils d’automatisation informatique attribués à chaque client
- Installations, mises à jour et redémarrages automatisés des logiciels
- Bibliothèque de scripts partagée avec plus de 100 scripts clonables
Avantage : Les utilisateurs apprécient les alertes précises et rapides fournies par cette solution dans l’ensemble de l’infrastructure informatique. Inconvénient : Atera Patch Management ne pouvant pas être acheté sans les autres modules de la plateforme Atera, beaucoup considèrent cette solution de gestion des correctifs comme trop chère. Tarification : Le logiciel Atera Patch Management peut uniquement être acheté dans le cadre de la plateforme Atera complète. Atera propose trois principaux forfaits. Pro coûte 79 dollars US par utilisateur et par mois, Growth coûte 119 dollars US par utilisateur et par mois, et Power coûte 149 dollars US par utilisateur et par mois.
Ivanti Neurons for Patch Management
Ivanti Neurons for Patch Management se concentre principalement sur la gestion des correctifs cloud native, mais, en raison de son orientation précédente vers la gestion des correctifs sur site, il s’agit d’une solution privilégiée par de nombreuses entreprises qui effectuent encore leur transition vers le cloud ou évoluent dans des environnements cloud hybrides. Ivanti offre à ces utilisateurs un tableau de bord unique pour gérer leurs besoins en matière de correctifs dans le cloud comme sur site.
Fonctionnalités :
- Contexte des menaces liées aux vulnérabilités et renseignements sur les exploits connus
- Données d’opinion issues des réseaux sociaux et données de déploiement anonymisées, provenant de la communauté
- Gestion des correctifs cloud native avec prise en charge transitoire des besoins de gestion des correctifs sur site
- Configurations autonomes des correctifs pour distribuer les correctifs testés
- Priorisation des correctifs fondée sur l’exposition aux risques, la fiabilité du chemin et la conformité des appareils
Avantage : Ivanti propose une évaluation du risque lié aux vulnérabilités (VRR), que certains considèrent comme une meilleure solution de mesure des risques que le système commun de score des vulnérabilités (CVSS) proposé sur d’autres plateformes. Inconvénient : La configuration initiale et le paramétrage des autorisations pour plusieurs administrateurs peuvent être difficiles. Tarification : Les tarifs sont communiqués sur demande par l’équipe commerciale d’Ivanti.
Avantages des logiciels de gestion des correctifs pour les entreprises
Prise en charge de la conformité réglementaire
Les logiciels de gestion des correctifs sont conçus pour permettre aux entreprises de suivre les correctifs de sécurité de toutes les applications professionnelles qu’elles utilisent. Certains correctifs visent simplement à améliorer les performances et l’efficacité, mais beaucoup sont conçus pour renforcer la sécurité. Dans les secteurs fortement réglementés, comme la santé ou les services financiers, les entreprises peuvent être lourdement sanctionnées si elles n’appliquent pas rapidement les nouveaux correctifs de sécurité pour protéger les données de leurs utilisateurs. Les logiciels de gestion des correctifs les aident à rester informées des nouveaux correctifs et leur offrent la visibilité nécessaire pour les appliquer aux appareils, applications et utilisateurs concernés.
Augmentation de la disponibilité du réseau
Une vulnérabilité non corrigée ou une erreur de code peut finir par provoquer le plantage d’une application ou de systèmes plus vastes, notamment en cas de faille de sécurité exploitée avec succès. Les gestionnaires de correctifs augmentent la disponibilité du réseau en corrigeant rapidement ces vulnérabilités et en créant un code plus efficace et/ou plus sécurisé.
Prise en charge du BYOD
Les logiciels de gestion des correctifs constituent l’une des nombreuses solutions qui facilitent la gestion administrative du bring your own device (BYOD). Grâce à la surveillance de la sécurité et aux inventaires des appareils, même les appareils mobiles qui ne se connectent que rarement au réseau sont informés lorsqu’un nouveau correctif est disponible. Ainsi, quels que soient la manière ou le lieu depuis lesquels les utilisateurs accèdent au réseau, la sécurité de leur appareil et de ses logiciels est prise en compte et à jour.
Mises à jour automatisées et rapides
Les entreprises qui n’utilisent pas de logiciel de gestion des correctifs doivent surveiller attentivement la publication de chaque nouveau correctif par leurs fournisseurs, ce qui prend beaucoup de temps. Les logiciels de gestion des correctifs simplifient une partie de ce processus en cataloguant les mises à jour des correctifs et en alertant les clients lorsqu’il est temps de les appliquer. Ils proposent généralement aussi des options de déploiement automatisé, afin que les administrateurs puissent corriger tous les points de terminaison nécessaires de l’entreprise avec un minimum d’intervention manuelle.
Possibilités d’innovation produit
Les gestionnaires de correctifs pouvant aider les équipes de développement à créer et à déployer des correctifs pour diverses raisons, de nombreux développeurs utilisent ces outils pour améliorer les performances et gagner en efficacité. Les fonctionnalités des produits existants peuvent être améliorées simplement au moyen d’un correctif stratégique. À lire ensuite : Meilleurs outils et logiciels de gestion des vulnérabilités