Patch Management s sur les correctifs hors ligne pour les environnements isolés : le processus complet de mise à jour hors ligne

• La gestion des correctifs OT ne se résume pas à une gestion des correctifs informatiques avec un calendrier plus étendu. Les contraintes de sécurité , les configurations certifiées des fournisseurs, les longs cycles de vie des actifs et la tolérance quasi nulle vis-à-vis des redémarrages imprévus modifient pratiquement chaque étape du processus.
• Les réseaux isolés physiquement perdent la couverture des correctifs automatiques, mais pas le besoin de ceux-ci. Les terminaux qui ne peuvent pas se connecter au serveur central disparaissent des services de scan et de mise à jour basés sur le cloud, à moins qu’un référentiel hors ligne et une gestion sur site ne rétablissent cette visibilité au sein de la zone isolée.
• La gravité selon le CVSS ne devrait jamais être le seul critère déterminant pour établir la priorité des correctifs OT. La maturité de l'exploit , l'accessibilité du réseau, le niveau de criticité des ressources et les conséquences en matière de sécurité opérationnelle doivent être pris en compte dans la décision au même titre que le score ; sinon, deux vulnérabilités présentant des notes similaires pourraient donner lieu à une réponse inadaptée.
• Les supports amovibles constituent un point de contrôle, et non un simple moyen pratique. Chaque ensemble de correctifs et le support sur lequel il se trouve doivent être considérés comme non fiables jusqu’à ce que la vérification de la source, la validation de la signature et du hachage, ainsi que l’analyse anti-malware aient validé leur transfert.
• MetaDefender Endpoint™ assure la gestion des vulnérabilités et des correctifs, la protection des supports amovibles et la défense contre les dispositifs BadUSB via un seul agent de terminal, avec une visibilité centralisée depuis My OPSWAT™ Central Management; toutefois, la gouvernance, les tests et l'agrément des fournisseurs restent de la responsabilité de l'organisation.

Les terminaux qui ne peuvent pas accéder à Internet sont exclus des analyses de vulnérabilité dans le cloud, des référentiels de mises à jour et de la synchronisation des politiques ; cela signifie qu’ils disparaissent également des rapports de conformité, à moins qu’une solution ne vienne rétablir cette couverture au niveau local. L’application manuelle des correctifs à l’aide de tableurs peut constituer une solution de remplacement pendant un certain temps, mais elle s’avère inefficace à grande échelle : les transferts informels d’ USB s ne sont pas documentés, les résultats des déploiements ne sont pas enregistrés et chaque audit se transforme en un exercice de reconstitution.

Un référentiel de correctifs hors ligne, une gestion centralisée sur site et un chemin de transfert contrôlé permettent de reproduire la couverture offerte par l'automatisation dans le cloud au sein d'un environnement connecté, sans ajouter de connexion active qui affaiblirait la barrière physique elle-même.

• L'acquisition et la validation initiale s'effectuent hors de l'environnement de production, dans une zone disposant d'un accès à Internet permettant de récupérer les mises à jour des fournisseurs et d'effectuer les premiers contrôles de signature et de hachage.
• Le référentiel de correctifs hors ligne regroupe les mises à jour approuvées des systèmes d'exploitation et des applications tierces ; le contrôle des versions, le suivi des remplacements et les enregistrements de synchronisation sont gérés au sein du réseau isolé.
• La gestion centralisée sur site permet de déployer des politiques, de planifier les déploiements, de collecter des informations sur l'état des terminaux et de générer des rapports sans dépendre de services cloud, de fournisseurs d'identité externes ou de licences de type « call-home ».
• La mise en œuvre et le déploiement définitifs des politiques restent sous le contrôle de l'équipe opérationnelle locale ; ainsi, une source externe compromise ou en retard ne peut en aucun cas appliquer directement une modification en production.

Un processus de correction hors ligne reproductible se décompose en six étapes, chacune donnant lieu à une décision, à un élément de travail et à un enregistrement d'approbation bien définis, afin que le processus reste vérifiable de bout en bout.

1. Inventaire et analyse. Tenez à jour un inventaire des actifs indiquant les versions du matériel et des logiciels, la zone réseau, les fonctions de sécurité et le statut de prise en charge, puis recoupez ces informations avec les avis des éditeurs et les analyses de vulnérabilité hors ligne afin d'identifier les mises à jour applicables.

2. Hiérarchisez les risques. Évaluez chaque correctif candidat en fonction de son exploitabilité, de son exposition, de la criticité de l'actif concerné et des conséquences sur la sécurité, et non pas uniquement en fonction de son niveau de gravité, puis vérifiez la compatibilité avec le micrologiciel, le système d'exploitation et la prise en charge par le fournisseur avant de l'intégrer dans le processus.

3. Valider et approuver le package. Vérifier l'authenticité de la source, les signatures numériques et les hachages cryptographiques, effectuer une analyse antivirus dans un environnement de test isolé et réaliser des tests représentatifs avant l'approbation officielle de la modification.

4. Transfert et mise en attente. Transférez le package approuvé à l'aide d'un support amovible contrôlé, revérifiez-le après le transfert, puis mettez-le en attente localement avant la fenêtre de déploiement.

5. Procédez à un déploiement par étapes. Déployez le correctif pendant une fenêtre de maintenance autorisée, en définissant clairement les terminaux cibles, en configurant une installation silencieuse (lorsque cela est pris en charge), en contrôlant les redémarrages et en définissant des conditions d'arrêt.

6. Vérifier, revenir en arrière et établir un rapport. Vérifier l'état de l'installation, l'état de fonctionnement du service et le comportement des fonctions de sécurité ; déclencher une restauration testée si les critères d'acceptation ne sont pas respectés ; et consigner les résultats, les exceptions et les preuves en vue d'un audit.

Une matrice de priorités qui évalue la probabilité d'une cybermenace par rapport à ses conséquences opérationnelles offre aux équipes un cadre cohérent pour orienter leurs décisions, plutôt que de traiter de la même manière chaque constatation présentant un niveau de gravité élevé.

Lorsqu'un correctif est reporté au lieu d'être appliqué, cette dérogation doit être attribuée à un responsable, justifiée sur le plan technique, assortie d'une date d'expiration et accompagnée de contrôles compensatoires, qui doivent être réexaminés dès que l'activité des pirates ou les recommandations du fournisseur évoluent. Les dérogations permanentes et non réexaminées constituent la première faille repérée par les auditeurs.

Un ensemble de correctifs et le support amovible sur lequel il est stocké doivent tous deux être considérés comme non fiables jusqu’à ce qu’une politique les ait validés. Une chaîne de contrôle axée sur l’inspection permet de garantir la provenance, l’intégrité et la sécurité du contenu avant qu’un fichier ne devienne accessible au sein du réseau OT.

• Vérification de la source. Ne téléchargez les mises à jour qu’à partir des portails des éditeurs ou de canaux de distribution authentifiés, et consignez la source, l’heure de téléchargement, la version du paquet et l’identité de la personne qui l’a téléchargé.
• Validation de la signature et du hachage. Vérifiez les signatures numériques, la validité des certificats et les hachages cryptographiques publiés par les éditeurs avant tout transfert. Une signature valide atteste de l'authenticité ; elle ne prouve toutefois pas à elle seule que le paquet est sûr pour un environnement OT spécifique.
• Analyse des logiciels malveillants. Analysez l'ensemble du package, y compris les archives imbriquées, les programmes d'installation, les scripts et les pilotes, dans un environnement de test isolé, avec des actions de mise en quarantaine et de rejet prédéfinies en cas de résultats suspects.
• Protection contre les supports amovibles et les attaques BadUSB. Exigez l'autorisation des périphériques et une analyse préalable à l'accès afin que les supports infectés et les périphériques usurpés, y compris les attaques BadUSB qui se font passer pour un clavier, soient bloqués avant de pouvoir exécuter quoi que ce soit sur un terminal OT.
• Registres de la chaîne de traçabilité. Enregistrez l'identité du support, le responsable, les hachages, les résultats des contrôles, les validations, l'heure du transfert et la destination afin de pouvoir retracer chaque transfert en cas d'audit.

Le déploiement d'un correctif validé reste un changement opérationnel, et pour qu'il soit couronné de succès, il doit garantir le contrôle des processus, la sécurité et la capacité de reprise tout autant qu'il permet de corriger une vulnérabilité.

• Mettez en place un environnement de test représentatif. Reproduisez , dans la mesure du possible, le matériel essentiel, les versions du système d'exploitation, les applications et les communications, et consignez par écrit les différences inévitables entre l'environnement de test et l'environnement de production.
• Vérifiez la compatibilité avant le déploiement. Consultez les recommandations du fournisseur de matériel, les certifications des applications et les dépendances des pilotes, et exigez une validation supplémentaire lorsqu'un correctif ne correspond pas à la configuration prise en charge par le fournisseur.
• Organisez le déploiement par étapes. Commencez par des ressources représentatives dont les conséquences en cas de problème sont limitées, évaluez les résultats, puis étendez progressivement le déploiement plutôt que de modifier l'ensemble de l'environnement d'un seul coup, en définissant des critères de suspension et en prévoyant un pouvoir d'arrêt d'urgence.
• Contrôler les installations et les redémarrages. Recourir à une installation sans interruption lorsque cela est possible, et suspendre ou coordonner les redémarrages conformément aux recommandations du fournisseur, à la conception de la redondance et à l'autorisation de l'usine.
• Vérifiez l'état de fonctionnement, puis bouclez la boucle. Vérifiez le démarrage du service, la logique de contrôle, les alarmes et les fonctions de sécurité par rapport à des critères d'acceptation mesurables, et veillez à disposer d'un plan de retour en arrière testé, comprenant des sauvegardes de configuration et des supports de restauration, prêt avant le début du déploiement.

Les terminaux à longue durée de vie, équipés d'anciennes versions de systèmes d'exploitation et d'applications techniques spécialisées, ne sont souvent pas pris en charge par les outils de mise à jour informatiques courants ; ils nécessitent donc une approche spécifique plutôt que d'être totalement exclus du programme.

• Pour les terminaux fonctionnant sous des systèmes d'exploitation hérités, il est nécessaire de disposer d' un inventaire précis de l'édition, de l'architecture et de la configuration de référence approuvée par le fournisseur avant de choisir une mise à jour, le processus devant intégrer la prise en charge des paquets hors ligne et une fonctionnalité de restauration.
• Les applications tierces, telles que les navigateurs, les environnements d'exécution et les outils d'accès à distance, ne relèvent souvent pas des canaux de mise à jour natifs du système d'exploitation et nécessitent donc leur propre système de détection de version, de résolution des dépendances et de prise en charge des programmes d'installation hors ligne.
• Les systèmes pour lesquels aucun correctif n'est disponible doivent tout de même faire l'objet d'une documentation : celle-ci doit préciser pourquoi l'application de correctifs n'est pas possible ou présente un risque, désigner un responsable, indiquer une date de révision et présenter une feuille de route pour le remplacement ou la migration.
• Les mesures de compensation telles que la segmentation du réseau, la mise en place de listes d'applications autorisées et les restrictions applicables aux supports amovibles réduisent l'exposition des ressources ne pouvant pas être mises à jour, mais elles ne suppriment pas la vulnérabilité sous-jacente et doivent faire l'objet d'un réexamen périodique à mesure que les menaces évoluent.

La collecte centralisée des preuves fait des rapports de conformité une étape systématique du processus de mise à jour, plutôt qu'un exercice de reconstitution manuelle à chaque fois qu'un audit est prévu.

• Documents à conserver : périmètre des actifs , état de vulnérabilité, autorisations, hachages de fichiers, résultats de signature, conclusions d'inspection, activité des supports, résultats de déploiement, exceptions et événements de restauration, le tout accompagné d'horodatages identifiables.
• Indicateurs de couverture : suivez la couverture des inventaires, le taux de déploiement des correctifs, les mesures correctives en retard et les exceptions, ventilés par site et par niveau de criticité des actifs, afin que les pourcentages globaux ne masquent pas les lacunes susceptibles d'avoir des conséquences graves.
• Indicateurs de réduction des risques : associer les chiffres relatifs au délai de déploiement des correctifs et à la fenêtre d'exposition au taux de restauration et aux temps d'arrêt imprévus, afin que l'accélération du déploiement des correctifs ne soit jamais considérée comme un succès lorsqu'elle entraîne une instabilité.
• Alignement sur le référentiel : mettre en correspondance l'inventaire, l'évaluation des risques, le contrôle des changements et les pratiques de surveillance avec les objectifs pertinents de la norme CEI 62443 et de la spécification NIST SP 800-82, révision 3, qui constitue le guide actuel en matière de sécurité des technologies opérationnelles (OT). L'alignement sur le référentiel facilite la réalisation d'un audit ; il ne remplace pas la certification et ne garantit pas à lui seul la conformité.

L'évaluation doit s'appuyer sur des critères indépendants des fournisseurs avant même d'envisager un produit spécifique : fonctionnement hors ligne véritable, gestion centralisée sur site, large couverture des terminaux et des applications, protection des supports périphériques et génération centralisée de rapports fournissant des preuves prêtes pour un audit, sans dépendance vis-à-vis du cloud.

• Fonctionnement hors ligne : une réalité avérée, pas une simple hypothèse. Exigez une démonstration dans un environnement isolé du réseau plutôt que de partir du principe qu’un produit connecté à Internet fonctionnera de la même manière hors ligne.
• Endpoint et la couverture des applications. Vérifiez la prise en charge effective des systèmes Windows, macOS, Linux et hérités installés au sein de l'organisation, y compris les formats de paquets hors ligne et la visibilité des restaurations.
• Protection des supports périphériques. Vérifiez que la plateforme autorise les périphériques, effectue une analyse avant l'accès aux fichiers et offre une protection contre les menaces de type « BadUSB », plutôt que de confier le transfert à un outil distinct et déconnecté.
• Rapports et gouvernance centralisés. Testez les accès basés sur les rôles, l'état du déploiement, les workflows d'exception et l'exportation des données probantes en vous basant sur des scénarios incluant des supports rejetés et des installations ayant échoué, et pas uniquement sur les exécutions réussies.

MetaDefender Endpoint™ est la solution avancée de protection des terminaux proposée par OPSWAT. Elle permet de protéger les terminaux contre les menaces véhiculées par des supports périphériques, de contrôler la conformité des appareils, de détecter les vulnérabilités et d’appliquer des correctifs aussi bien dans les environnements connectés à Internet que dans ceux isolés (air-gapped). Elle détecte les vulnérabilités dans plus de 980 applications et systèmes d’exploitation et permet l’application automatique de correctifs pour plus de 580 applications tierces et mises à jour de systèmes d’exploitation, grâce à un processus d’application des correctifs qui n’interrompt pas le travail des opérateurs pendant les fenêtres de maintenance.

La protection des supports amovibles s'appuie sur Metascan™ Multiscanning et la technologie Deep CDR™ : MetaDefender Endpoint . Elle détecte automatiquement les lecteurs USB et en bloque l'accès jusqu'à ce que chaque fichier ait été analysé et déclaré sain. Elle protège également contre les attaques de type « BadUSB », « Rubber Ducky » et autres attaques par usurpation de périphériques, sans qu'il soit nécessaire d'exécuter au préalable le fichier sur le terminal.

La visibilité centralisée est assurée par la plateforme OPSWAT™ d’ My Central Management , disponible sur site ou dans le cloud, qui diffuse les politiques, recueille les informations sur l’état de déploiement et génère des rapports sur l’ensemble des sites sans dépendre d’un accès à Internet. Ainsi, une équipe de sécurité peut exécuter le même workflow hors ligne sur plusieurs sites OT isolés à partir d’un seul et même endroit.