Patch Management (gestion des mises à jour)

Le guide d’hygiène informatique de l’ANSSI (version 2.0, septembre 2017) consacre deux mesures à ce sujet. La première demande de définir une politique de mise à jour : de nouvelles failles sont régulièrement découvertes, chacune est une porte d’accès potentielle, et le guide recommande, au niveau « standard », d’appliquer les correctifs de sécurité sur l’ensemble des composants dans le mois qui suit leur publication par l’éditeur. Cette politique doit préciser comment l’inventaire est réalisé, où l’on s’informe des publications, avec quels outils on déploie, et comment on qualifie les correctifs et on les déploie progressivement. La seconde mesure demande d’anticiper la fin de maintenance des logiciels et systèmes : suivre les dates de fin de support et isoler du reste du système les composants obsolètes.

Un repère de calendrier pour Windows : Microsoft indique que les mises à jour « qualité », qui regroupent les correctifs de sécurité, sont en général publiées le deuxième mardi de chaque mois, sans que ce soit une règle absolue. Le fait que le rythme soit mensuel explique pourquoi un cycle de déploiement mensuel est un point de départ courant.

Tout corriger tout de suite n’est pas réaliste. Deux repères aident à trier :

• Les équipements exposés d’abord : ce qui est joignable depuis Internet (accès distant, pare-feu, messagerie, site web) passe avant les postes internes.
• Les failles déjà exploitées d’abord : la CISA tient un catalogue des vulnérabilités connues comme exploitées (KEV) et recommande à toute organisation de le surveiller et de s’en servir pour prioriser. Quand un correctif existe, il faut l’appliquer selon les instructions de l’éditeur ; quand le produit n’est plus supporté ou ne peut pas être mis à jour, la CISA recommande de le retirer du réseau.

Côté français, le CERT-FR (le centre gouvernemental de veille et d’alerte) publie des alertes sur les vulnérabilités : le guide d’hygiène le cite comme source à surveiller.

1. Inventorier les postes, serveurs, équipements réseau et applications, avec leur version : on ne corrige pas ce qu’on ne connaît pas.
2. S’informer : abonner une personne aux alertes des éditeurs utilisés et à celles du CERT-FR.
3. Qualifier : tester d’abord sur quelques postes, surtout quand un logiciel métier ancien dépend d’une version précise.
4. Déployer par vagues, avec un outil (centralisé pour Windows, adapté aux applications tierces) et des créneaux connus des utilisateurs.
5. Vérifier : un poste éteint depuis un mois n’est pas à jour ; un rapport d’état est plus fiable qu’une intention.
6. Prévoir le retour arrière : sauvegarde récente avant toute mise à jour lourde d’un serveur (voir la fiche sauvegarde).

Notre service de maintenance informatique et la cybersécurité PME traitent ce sujet dans la durée ; le cas des postes sous un système en fin de support est détaillé dans l’actualité fin du support de Windows 10.

• Ne patcher que Windows. Navigateurs, lecteurs PDF, logiciels de visioconférence et firmwares d’équipements réseau sont aussi visés.
• Oublier les équipements « qui marchent » : le routeur, le pare-feu ou le NAS installés il y a des années et jamais mis à jour.
• Repousser sans date : « on verra à la prochaine maintenance » devient un an. Fixer un délai maximal par niveau d’urgence.
• Ne pas vérifier le résultat : un déploiement lancé n’est pas un déploiement réussi.
• Garder un produit en fin de support sans l’isoler du reste du réseau, alors que l’ANSSI recommande précisément cet isolement.

Faut-il appliquer les mises à jour le jour même ?

Pas systématiquement. Le guide d’hygiène de l’ANSSI vise un délai d’un mois au niveau standard, avec qualification et déploiement progressif ; les failles déjà exploitées et les équipements exposés justifient d’aller plus vite.

Le patch management se limite-t-il à Windows Update ?

Non. Windows Update ne couvre pas les applications tierces ni les équipements réseau, qui demandent leurs propres outils ou une procédure manuelle.

Que faire d’un logiciel qui n’est plus mis à jour ?

Le remplacer, ou à défaut l’isoler du reste du système : filtrage strict des flux et secrets d’authentification dédiés, selon le guide d’hygiène.