Le logiciel est rarement une proposition unique.
En fait, toute application disponible aujourd’hui devra probablement être mise à jour – ou corrigée – pour corriger les bogues, remédier aux vulnérabilitéset mettre à jour les fonctionnalités clés à plusieurs reprises à l’avenir.
L’entreprise typique s’appuyant sur une multitude d’applications, de serveurs et d’appareils terminaux dans ses opérations quotidiennes, l’acquisition d’une solution robuste plate-forme de gestion des correctifs identifier, tester, déployer, installer et documenter tous les correctifs appropriés sont essentiels pour garantir la stabilité et la sécurité des systèmes.
Comme pour la plupart des outils technologiques, toutes les solutions de gestion des correctifs ne sont pas créées égales, et ce qui est considéré comme robuste par une organisation peut s’avérer inadéquat pour une autre. Cependant, une évaluation qui commence par se concentrer sur des critères clés spécifiques (attributs et fonctionnalités essentiels susceptibles d’être proposés par de nombreux fournisseurs, mais pas tous) permettra aux équipes informatiques d’affiner leurs options tout en identifiant la meilleure solution pour le correctif de leur organisation. besoins de gestion.
Inventaire
La capacité d’un outil de gestion des correctifs à maintenir un inventaire de tous les systèmes pouvant être corrigés est essentielle pour gérer les correctifs à tous les niveaux. Les informations vitales à suivre incluent :
- le système d’exploitation et les applications
- version actuelle et passée
- groupes de correctifs
- dépendances de correctifs.
L’emplacement de l’inventaire (fait-il partie du système de correctifs ou peut-il résider dans un système de configuration existant) est également une considération importante.
La gestion du cycle de vie
Lorsqu’il est combiné avec les processus d’intégration continue/livraison continue (CI/CD) dans DevOps, le cycle de vie des correctifs devient une partie du développement logiciel pour les applications internes. Cependant, gardez à l’esprit que les cycles de vie des correctifs peuvent présenter des dépendances complexes. Par exemple, dans les systèmes d’exploitation Linux, la plate-forme doit déterminer si un correctif peut être appliqué ou si un correctif existant doit être supprimé avant l’application du nouveau correctif, auquel cas le correctif d’origine peut être réinstallé.
Test de patch
Afin de déterminer l’impact d’un correctif sur les systèmes existants, un outil de gestion des correctifs doit être capable de déployer un correctif pour le tester dans un environnement fermé. Cela devrait inclure la possibilité d’activer la journalisation au niveau du débogage sur les installations de correctifs pour s’assurer qu’aucune erreur n’a été supprimée ou déterminer ce qui a déclenché une défaillance dans le cas où elles l’étaient. Les décideurs doivent également déterminer s’il existe une prise en charge des tests sur des systèmes isolés, dans un groupe pilote ou, idéalement, dans un environnement isolé pour valider les correctifs.
Déploiement des correctifs
Une solution doit être capable de déployer des correctifs sur tous les systèmes prévus, y compris la détermination des politiques, des groupes et des méthodes de déploiement appropriés pour l’élément à corriger. Idéalement, un déploiement pourra appeler des pré- et post-scripts pendant le déploiement pour traiter les services, l’arrêt de l’application, les processus de sauvegarde ou les points de contrôle, les tests et le redémarrage. Un processus de test doit également être terminé avant que le nœud ne soit réintroduit dans la rotation sur l’équilibreur de charge.
Sources fiables
Un outil de gestion des correctifs doit savoir qui sont les téléchargeurs et les éditeurs de confiance, pouvoir valider le correctif et prendre en charge un référentiel sur site de correctifs validés et fiables. Bien que l’utilisation de référentiels distribués sur site soit optimale à des fins de performances et de sécurité, l’utilisation de référentiels de fournisseurs et de référentiels sur site est la condition attendue. Tout outil reposant uniquement sur un référentiel fournisseur offre la situation de stockage la moins souhaitable.
Priorisation des correctifs
Une solution de gestion des correctifs doit pouvoir hiérarchiser automatiquement ou manuellement les correctifs à déployer. Si la définition de la priorité des correctifs implique un processus manuel, il est essentiel de connaître la source de données utilisée. Si le fournisseur fournit la priorité, il est essentiel de comprendre comment le système de correctifs consomme ces informations. L’utilisation de la priorité des fournisseurs, des CVE et de la réponse d’urgence si nécessaire (correctifs du jour zéro) fournira à une entreprise la solution de gestion des correctifs la plus complète.
Architecture de correction
L’application de correctifs peut utiliser une méthode d’analyse avec ou sans agent. Les systèmes avec uniquement des méthodes sans agent ont un impact négatif sur les performances du réseau et du processeur et sont donc les moins souhaitables. Cependant, bien que l’utilisation d’un agent soit attendue, les solutions utilisant à la fois un agent et une approche sans agent offrent la plus grande flexibilité.
Assistance tierce
Une solution de correctifs d’entreprise doit être en mesure de corriger les applications tierces, en particulier sur les ordinateurs de bureau et les ordinateurs portables, car celles-ci peuvent être un vecteur de virus, de logiciels malveillants ou de rançongiciels. Évidemment, la capacité à supporter toutes les applications courantes des grands acteurs – Adobe, Microsoft, etc. – n’est pas négociable. Mais idéalement, le support tiers serait étendu et inclurait une capacité à prendre en charge le correctif des applications internes.
Emporter
Alors que les entreprises et les organisations sont obligées de naviguer dans un paysage de plus en plus dangereux de ransomwares et d’autres cybermenaces, l’identification d’une solution efficace de gestion des correctifs est absolument essentielle pour garantir des opérations sûres et efficaces. Cependant, comme l’espace est devenu inondé de fournisseurs, déterminer quelle solution répondra le mieux aux besoins d’une entreprise spécifique n’a fait que se compliquer.
Il n’y a peut-être pas de solution unique de gestion des correctifs pour chaque entreprise, ce qui fait de la sélection davantage un processus qu’un simple choix de fournisseur. Cependant, lorsque la recherche d’une solution de gestion des correctifs commence par l’accent mis sur des critères clés considérés comme non négociables, les décideurs seront mieux placés pour formuler une courte liste de fournisseurs et de solutions les plus susceptibles de répondre aux besoins de leur organisation.
Vous cherchez plus de conseils? Assurez-vous de télécharger le dernier rapport de Syxsense et Gigaom : Critères clés d’évaluation de la gestion des correctifs.