L’échec du processus de mise à jour d’un logiciel peut avoir des conséquences catastrophiques. On l’a vu avec les écrans bleus de la mort généralisés, attribués à une mauvaise mise à jour de CrowdStrike.
La cyber-sécurité est souvent une question de rapidité ; un acteur de la menace crée une technique ou un code d’attaque malveillant, les entreprises de cyber-sécurité réagissent à cette menace et, si nécessaire, adaptent et adoptent des méthodes pour détecter cette menace. Cette adoption peut nécessiter la mise à jour des systèmes de détection dans le cloud et/ou la mise à jour des terminaux pour fournir la protection nécessaire contre la menace. La rapidité est essentielle, car la cyber-sécurité est là pour protéger, détecter et répondre aux menaces lorsqu’elles se produisent.
Les processus que les entreprises de cyber-sécurité mettent en place pour éviter les conflits entre une mise à jour et le système d’exploitation ou autres produits sont réellement significatifs, avec des environnements de test automatisés simulant des scénarios réels de différents systèmes d’exploitation, différentes variantes de pilotes système, et autres.
Cette tâche peut, dans certains cas, être supervisée par des humains. C’est une dernière preuve que tous les processus et procédures ont été suivis et qu’il n’y a pas de conflit. Il peut aussi y avoir des parties tierces, tel un fournisseur de système d’exploitation, qui effectuent des tests indépendamment du fournisseur de cyber-sécurité, afin d’éviter toute panne majeure, comme celle que nous avons pu constater.
Dans un monde parfait, une équipe de cyber-sécurité prendrait la mise à jour et la testerait dans son propre environnement, en s’assurant qu’il n’y a pas d’incompatibilité. Avec la certitude que la mise à jour ne pose aucun problème, un déploiement programmé de la mise à jour commencerait, ce qui pourrait se faire service par service. Cela réduirait le risque de problèmes importants pour les opérations commerciales.
Ceci n’est pas et ne peut pas être le processus de mise à jour des produits de cyber-sécurité. Ils doivent être déployés à la même vitesse que la propagation d’une menace, en général presque instantanément. Si le processus de mise à jour échoue, cela peut être catastrophique, comme on l’a constaté lors d’une mise à jour logicielle de CrowdStrike, avec des écrans bleus de la mort (blue screen of death – BSOD) et des infrastructures entières hors service.
En aucun cas, cela ne veut dire que le fournisseur est incompétent. Il doit probablement s’agir d’une question de malchance, d’une tempête parfaite de mises à jour ou de configurations qui créent l’incident. À moins, bien sûr, que la mise à jour ait été manipulée par un acteur malveillant, mais ici cela ne semblait pas être le cas.
Que retenir de cet incident ?
Tous les fournisseurs de cyber-sécurité vont probablement revoir leurs processus de mise à jour afin de s’assurer que ceux-ci ne présentent pas de lacunes et ils vont aussi voir comment ils peuvent les renforcer. Selon moi, la véritable leçon c’est que lorsqu’une entreprise atteint une position significative sur le marché, sa domination peut engendrer un événement de semi-monoculture, un problème qui pourrait alors affecter un grand nombre d’autres entreprises.
Les professionnels de la cyber-sécurité utiliseront des termes comme « défense en profondeur » ou « couches de défense », qui font référence à l’utilisation de plusieurs technologies pour combattre une attaque potentielle et à une certaine résilience dans l’architecture.
Il ne faut absolument pas perdre de vue qui est à blâmer lorsqu’un tel incident se produit. Si les cybercriminels et les attaquants des États-nations n’avaient pas créé des cyber-menaces, nous n’aurions pas besoin de protection en temps réel.
Auteur : Tony Anscombe, Chef Evangéliste Sécuritaire d’ESET