Les exigences commerciales conflictuelles sont un probl\u00e8me courant – et vous le trouvez dans tous les recoins d’une organisation, y compris dans les technologies de l’information. R\u00e9soudre ces conflits est indispensable, mais ce n’est pas toujours facile \u2013 bien qu’il existe parfois une nouvelle solution qui aide.<\/p>\n
Dans la gestion informatique, il y a une lutte constante entre les \u00e9quipes de s\u00e9curit\u00e9 et d’exploitation. Oui, les deux \u00e9quipes veulent en fin de compte disposer de syst\u00e8mes s\u00e9curis\u00e9s plus difficiles \u00e0 violer. Cependant, la s\u00e9curit\u00e9 peut se faire au d\u00e9triment de la disponibilit\u00e9 \u2013 et vice versa. Dans cet article, nous examinerons le conflit entre la disponibilit\u00e9 et la s\u00e9curit\u00e9, ainsi qu’une solution permettant de r\u00e9soudre ce conflit.<\/p>\n
L’\u00e9quipe des op\u00e9rations se concentre sur la disponibilit\u00e9\u2026 les \u00e9quipes de s\u00e9curit\u00e9 se verrouillent<\/strong><\/h2>\nLes \u00e9quipes op\u00e9rationnelles auront toujours la stabilit\u00e9, et donc la disponibilit\u00e9, comme priorit\u00e9 absolue. Oui, les \u00e9quipes op\u00e9rationnelles feront \u00e9galement de la s\u00e9curit\u00e9 une priorit\u00e9, mais uniquement dans la mesure o\u00f9 elle touche \u00e0 la stabilit\u00e9 ou \u00e0 la disponibilit\u00e9, jamais en tant qu’objectif absolu.<\/p>\n
Cela se traduit par l’objectif de disponibilit\u00e9 des \u00ab\u00a0cinq neuf\u00a0\u00bb qui d\u00e9finit une exigence incroyablement \u00e9lev\u00e9e\u00a0: qu’un syst\u00e8me fonctionne et soit disponible pour r\u00e9pondre aux demandes 99,999\u00a0% du temps. C’est un objectif louable qui satisfait les parties prenantes. Des outils tels que la haute disponibilit\u00e9 aident ici en fournissant des redondances au niveau du syst\u00e8me ou du service, mais les objectifs de s\u00e9curit\u00e9 peuvent rapidement entraver l’atteinte des “cinq neuf”.<\/p>\n
Pour les \u00e9quipes de s\u00e9curit\u00e9, l’objectif ultime est d’avoir des syst\u00e8mes aussi verrouill\u00e9s que possible, r\u00e9duisant la surface d’attaque et les niveaux de risque globaux au minimum absolu. En pratique, les \u00e9quipes de s\u00e9curit\u00e9 peuvent exiger qu’un syst\u00e8me soit mis hors service imm\u00e9diatement et non dans deux semaines, ce qui r\u00e9duit la disponibilit\u00e9 afin de corriger imm\u00e9diatement, sans parler des cons\u00e9quences pour les utilisateurs.<\/p>\n
Il est facile de voir que cette approche cr\u00e9erait un \u00e9norme casse-t\u00eate pour les \u00e9quipes op\u00e9rationnelles. Pire encore, l\u00e0 o\u00f9 la haute disponibilit\u00e9 a vraiment aid\u00e9 les \u00e9quipes op\u00e9rationnelles \u00e0 atteindre leurs objectifs de disponibilit\u00e9 et de stabilit\u00e9, elle peut en fait aggraver les choses pour les \u00e9quipes de s\u00e9curit\u00e9 qui doivent d\u00e9sormais s’occuper d’un nombre exponentiellement accru de serveurs ou de services, qui n\u00e9cessitent tous une protection et une surveillance.<\/p>\n
Quelle bonne pratique suivre ?<\/strong><\/h2>\nCela cr\u00e9e un conflit entre les op\u00e9rations et la s\u00e9curit\u00e9, ce qui signifie que les deux groupes sont rapidement en d\u00e9saccord sur des sujets tels que les meilleures pratiques et les processus. En ce qui concerne les correctifs, une politique de correctifs bas\u00e9e sur une fen\u00eatre de maintenance entra\u00eenera moins de perturbations et augmentera la disponibilit\u00e9 car il y a un d\u00e9lai de plusieurs semaines entre les efforts de correctifs et les temps d’arr\u00eat associ\u00e9s.<\/p>\n
Mais il y a un hic : les fen\u00eatres de maintenance ne se corrigent pas assez rapidement pour se d\u00e9fendre correctement contre les menaces \u00e9mergentes, car ces menaces sont souvent activement exploit\u00e9es quelques minutes apr\u00e8s leur divulgation (ou m\u00eame avant la divulgation, par exemple Log4j).<\/p>\n
Le probl\u00e8me se produit dans tous les types de charges de travail et peu importe que vous utilisiez la derni\u00e8re approche DevOps, DevSecOps ou n’importe quelle autre approche comme la saveur du jour. En fin de compte, soit vous corrigez plus rapidement pour des op\u00e9rations s\u00e9curis\u00e9es au d\u00e9triment de la disponibilit\u00e9 ou des performances, soit vous corrigez plus lentement et prenez des risques inacceptables avec la s\u00e9curit\u00e9.<\/p>\n
\u00e7a devient vite tr\u00e8s compliqu\u00e9<\/strong><\/h2>\nD\u00e9cider \u00e0 quelle vitesse patcher n’est que le d\u00e9but. Parfois, le patch n’est pas simple. Vous pourriez, par exemple, avoir affaire \u00e0 des vuln\u00e9rabilit\u00e9s au niveau du langage de programmation – qui \u00e0 leur tour ont un impact sur les applications \u00e9crites dans ce langage, par exemple, CVE-2022-31626<\/a>une vuln\u00e9rabilit\u00e9 PHP.<\/p>\nLorsque cela se produit, un autre groupe participe au conflit entre disponibilit\u00e9 et s\u00e9curit\u00e9\u00a0: les d\u00e9veloppeurs qui doivent g\u00e9rer une vuln\u00e9rabilit\u00e9 au niveau du langage en deux \u00e9tapes. Tout d’abord, en mettant \u00e0 jour la version linguistique en question, ce qui est la partie la plus facile.<\/p>\n
Mais la mise \u00e0 jour d’une version linguistique n’apporte pas seulement des am\u00e9liorations de s\u00e9curit\u00e9 ; elle apporte \u00e9galement d’autres changements fondamentaux. C’est pourquoi les d\u00e9veloppeurs doivent passer par une deuxi\u00e8me \u00e9tape\u00a0: compenser les changements au niveau du langage apport\u00e9s par la r\u00e9\u00e9criture du code de l’application.<\/p>\n
Cela signifie \u00e9galement un nouveau test et m\u00eame une recertification dans certains cas. Tout comme les \u00e9quipes op\u00e9rationnelles qui veulent \u00e9viter les temps d’arr\u00eat li\u00e9s au red\u00e9marrage, les d\u00e9veloppeurs veulent vraiment \u00e9viter les modifications de code \u00e9tendues aussi longtemps que possible, car cela implique un travail majeur qui, oui, assure une s\u00e9curit\u00e9 plus stricte – mais laisse autrement les d\u00e9veloppeurs sans rien \u00e0 montrer pour leur temps. .<\/p>\n
Vous pouvez facilement voir pourquoi les processus actuels de gestion des correctifs provoquent un conflit \u00e0 plusieurs niveaux entre les \u00e9quipes. Une politique de haut en bas peut r\u00e9soudre le probl\u00e8me dans une certaine mesure, mais cela signifie g\u00e9n\u00e9ralement que personne n’est vraiment satisfait du r\u00e9sultat.<\/p>\n
Pire encore, ces politiques peuvent souvent compromettre la s\u00e9curit\u00e9 en laissant les syst\u00e8mes non corrig\u00e9s pendant trop longtemps. L’application de correctifs aux syst\u00e8mes \u00e0 des intervalles hebdomadaires ou mensuels en pensant que le risque est acceptable, au niveau de menace actuel, conduira t\u00f4t ou tard \u00e0 une confrontation avec la r\u00e9alit\u00e9 qui donne \u00e0 r\u00e9fl\u00e9chir.<\/p>\n
Il existe un moyen d’att\u00e9nuer consid\u00e9rablement – ou m\u00eame de r\u00e9soudre le conflit entre les correctifs imm\u00e9diats (et les perturbations) et les correctifs diff\u00e9r\u00e9s (et les failles de s\u00e9curit\u00e9). La r\u00e9ponse r\u00e9side dans un patching sans interruption et sans friction, \u00e0 tous les niveaux ou au moins \u00e0 autant de niveaux que possible.<\/p>\n
Un patch sans friction peut r\u00e9soudre le conflit<\/strong><\/h2>\nLe correctif en direct est l’outil de correctif sans friction que votre \u00e9quipe de s\u00e9curit\u00e9 devrait rechercher. Gr\u00e2ce \u00e0 la correction en direct, vous corrigez beaucoup plus rapidement que les fen\u00eatres de maintenance r\u00e9guli\u00e8res ne pourraient jamais esp\u00e9rer atteindre, et vous n’avez jamais besoin de red\u00e9marrer les services pour appliquer les mises \u00e0 jour. Patching rapide et s\u00e9curis\u00e9, avec peu ou pas de temps d’arr\u00eat. Un moyen simple et efficace de r\u00e9soudre le conflit entre disponibilit\u00e9 et s\u00e9curit\u00e9.<\/p>\n
\u00c0 TuxCare<\/a> nous fournissons des correctifs complets en direct pour les composants critiques du syst\u00e8me Linux, ainsi que des correctifs pour plusieurs langages de programmation et versions de langage de programmation qui se concentrent sur les probl\u00e8mes de s\u00e9curit\u00e9 et n’introduisent aucun changement au niveau du langage qui autrement forcerait la refactorisation du code – votre code continuera \u00e0 fonctionner tel quel, uniquement en toute s\u00e9curit\u00e9. M\u00eame si votre entreprise s’appuie sur des applications non prises en charge, vous n’aurez pas \u00e0 vous soucier des vuln\u00e9rabilit\u00e9s qui se propagent dans vos syst\u00e8mes via une faille de langage de programmation – et vous n’avez pas non plus besoin de mettre \u00e0 jour le code de l’application.<\/p>\nDonc, pour conclure, dans le conflit entre disponibilit\u00e9 et s\u00e9curit\u00e9, correction en direct<\/a> est le seul outil qui peut r\u00e9duire consid\u00e9rablement la tension entre les op\u00e9rations et les \u00e9quipes de s\u00e9curit\u00e9. <\/p>\n<\/p>\n<\/div>\n
Cela cr\u00e9e un conflit entre les op\u00e9rations et la s\u00e9curit\u00e9, ce qui signifie que les deux groupes sont rapidement en d\u00e9saccord sur des sujets tels que les meilleures pratiques et les processus. En ce qui concerne les correctifs, une politique de correctifs bas\u00e9e sur une fen\u00eatre de maintenance entra\u00eenera moins de perturbations et augmentera la disponibilit\u00e9 car il y a un d\u00e9lai de plusieurs semaines entre les efforts de correctifs et les temps d’arr\u00eat associ\u00e9s.<\/p>\n
Mais il y a un hic : les fen\u00eatres de maintenance ne se corrigent pas assez rapidement pour se d\u00e9fendre correctement contre les menaces \u00e9mergentes, car ces menaces sont souvent activement exploit\u00e9es quelques minutes apr\u00e8s leur divulgation (ou m\u00eame avant la divulgation, par exemple Log4j).<\/p>\n
Le probl\u00e8me se produit dans tous les types de charges de travail et peu importe que vous utilisiez la derni\u00e8re approche DevOps, DevSecOps ou n’importe quelle autre approche comme la saveur du jour. En fin de compte, soit vous corrigez plus rapidement pour des op\u00e9rations s\u00e9curis\u00e9es au d\u00e9triment de la disponibilit\u00e9 ou des performances, soit vous corrigez plus lentement et prenez des risques inacceptables avec la s\u00e9curit\u00e9.<\/p>\n
\u00e7a devient vite tr\u00e8s compliqu\u00e9<\/strong><\/h2>\nD\u00e9cider \u00e0 quelle vitesse patcher n’est que le d\u00e9but. Parfois, le patch n’est pas simple. Vous pourriez, par exemple, avoir affaire \u00e0 des vuln\u00e9rabilit\u00e9s au niveau du langage de programmation – qui \u00e0 leur tour ont un impact sur les applications \u00e9crites dans ce langage, par exemple, CVE-2022-31626<\/a>une vuln\u00e9rabilit\u00e9 PHP.<\/p>\nLorsque cela se produit, un autre groupe participe au conflit entre disponibilit\u00e9 et s\u00e9curit\u00e9\u00a0: les d\u00e9veloppeurs qui doivent g\u00e9rer une vuln\u00e9rabilit\u00e9 au niveau du langage en deux \u00e9tapes. Tout d’abord, en mettant \u00e0 jour la version linguistique en question, ce qui est la partie la plus facile.<\/p>\n
Mais la mise \u00e0 jour d’une version linguistique n’apporte pas seulement des am\u00e9liorations de s\u00e9curit\u00e9 ; elle apporte \u00e9galement d’autres changements fondamentaux. C’est pourquoi les d\u00e9veloppeurs doivent passer par une deuxi\u00e8me \u00e9tape\u00a0: compenser les changements au niveau du langage apport\u00e9s par la r\u00e9\u00e9criture du code de l’application.<\/p>\n
Cela signifie \u00e9galement un nouveau test et m\u00eame une recertification dans certains cas. Tout comme les \u00e9quipes op\u00e9rationnelles qui veulent \u00e9viter les temps d’arr\u00eat li\u00e9s au red\u00e9marrage, les d\u00e9veloppeurs veulent vraiment \u00e9viter les modifications de code \u00e9tendues aussi longtemps que possible, car cela implique un travail majeur qui, oui, assure une s\u00e9curit\u00e9 plus stricte – mais laisse autrement les d\u00e9veloppeurs sans rien \u00e0 montrer pour leur temps. .<\/p>\n
Vous pouvez facilement voir pourquoi les processus actuels de gestion des correctifs provoquent un conflit \u00e0 plusieurs niveaux entre les \u00e9quipes. Une politique de haut en bas peut r\u00e9soudre le probl\u00e8me dans une certaine mesure, mais cela signifie g\u00e9n\u00e9ralement que personne n’est vraiment satisfait du r\u00e9sultat.<\/p>\n
Pire encore, ces politiques peuvent souvent compromettre la s\u00e9curit\u00e9 en laissant les syst\u00e8mes non corrig\u00e9s pendant trop longtemps. L’application de correctifs aux syst\u00e8mes \u00e0 des intervalles hebdomadaires ou mensuels en pensant que le risque est acceptable, au niveau de menace actuel, conduira t\u00f4t ou tard \u00e0 une confrontation avec la r\u00e9alit\u00e9 qui donne \u00e0 r\u00e9fl\u00e9chir.<\/p>\n
Il existe un moyen d’att\u00e9nuer consid\u00e9rablement – ou m\u00eame de r\u00e9soudre le conflit entre les correctifs imm\u00e9diats (et les perturbations) et les correctifs diff\u00e9r\u00e9s (et les failles de s\u00e9curit\u00e9). La r\u00e9ponse r\u00e9side dans un patching sans interruption et sans friction, \u00e0 tous les niveaux ou au moins \u00e0 autant de niveaux que possible.<\/p>\n
Un patch sans friction peut r\u00e9soudre le conflit<\/strong><\/h2>\nLe correctif en direct est l’outil de correctif sans friction que votre \u00e9quipe de s\u00e9curit\u00e9 devrait rechercher. Gr\u00e2ce \u00e0 la correction en direct, vous corrigez beaucoup plus rapidement que les fen\u00eatres de maintenance r\u00e9guli\u00e8res ne pourraient jamais esp\u00e9rer atteindre, et vous n’avez jamais besoin de red\u00e9marrer les services pour appliquer les mises \u00e0 jour. Patching rapide et s\u00e9curis\u00e9, avec peu ou pas de temps d’arr\u00eat. Un moyen simple et efficace de r\u00e9soudre le conflit entre disponibilit\u00e9 et s\u00e9curit\u00e9.<\/p>\n
\u00c0 TuxCare<\/a> nous fournissons des correctifs complets en direct pour les composants critiques du syst\u00e8me Linux, ainsi que des correctifs pour plusieurs langages de programmation et versions de langage de programmation qui se concentrent sur les probl\u00e8mes de s\u00e9curit\u00e9 et n’introduisent aucun changement au niveau du langage qui autrement forcerait la refactorisation du code – votre code continuera \u00e0 fonctionner tel quel, uniquement en toute s\u00e9curit\u00e9. M\u00eame si votre entreprise s’appuie sur des applications non prises en charge, vous n’aurez pas \u00e0 vous soucier des vuln\u00e9rabilit\u00e9s qui se propagent dans vos syst\u00e8mes via une faille de langage de programmation – et vous n’avez pas non plus besoin de mettre \u00e0 jour le code de l’application.<\/p>\nDonc, pour conclure, dans le conflit entre disponibilit\u00e9 et s\u00e9curit\u00e9, correction en direct<\/a> est le seul outil qui peut r\u00e9duire consid\u00e9rablement la tension entre les op\u00e9rations et les \u00e9quipes de s\u00e9curit\u00e9. <\/p>\n<\/p>\n<\/div>\n
Lorsque cela se produit, un autre groupe participe au conflit entre disponibilit\u00e9 et s\u00e9curit\u00e9\u00a0: les d\u00e9veloppeurs qui doivent g\u00e9rer une vuln\u00e9rabilit\u00e9 au niveau du langage en deux \u00e9tapes. Tout d’abord, en mettant \u00e0 jour la version linguistique en question, ce qui est la partie la plus facile.<\/p>\n
Mais la mise \u00e0 jour d’une version linguistique n’apporte pas seulement des am\u00e9liorations de s\u00e9curit\u00e9 ; elle apporte \u00e9galement d’autres changements fondamentaux. C’est pourquoi les d\u00e9veloppeurs doivent passer par une deuxi\u00e8me \u00e9tape\u00a0: compenser les changements au niveau du langage apport\u00e9s par la r\u00e9\u00e9criture du code de l’application.<\/p>\n
Cela signifie \u00e9galement un nouveau test et m\u00eame une recertification dans certains cas. Tout comme les \u00e9quipes op\u00e9rationnelles qui veulent \u00e9viter les temps d’arr\u00eat li\u00e9s au red\u00e9marrage, les d\u00e9veloppeurs veulent vraiment \u00e9viter les modifications de code \u00e9tendues aussi longtemps que possible, car cela implique un travail majeur qui, oui, assure une s\u00e9curit\u00e9 plus stricte – mais laisse autrement les d\u00e9veloppeurs sans rien \u00e0 montrer pour leur temps. .<\/p>\n
Vous pouvez facilement voir pourquoi les processus actuels de gestion des correctifs provoquent un conflit \u00e0 plusieurs niveaux entre les \u00e9quipes. Une politique de haut en bas peut r\u00e9soudre le probl\u00e8me dans une certaine mesure, mais cela signifie g\u00e9n\u00e9ralement que personne n’est vraiment satisfait du r\u00e9sultat.<\/p>\n
Pire encore, ces politiques peuvent souvent compromettre la s\u00e9curit\u00e9 en laissant les syst\u00e8mes non corrig\u00e9s pendant trop longtemps. L’application de correctifs aux syst\u00e8mes \u00e0 des intervalles hebdomadaires ou mensuels en pensant que le risque est acceptable, au niveau de menace actuel, conduira t\u00f4t ou tard \u00e0 une confrontation avec la r\u00e9alit\u00e9 qui donne \u00e0 r\u00e9fl\u00e9chir.<\/p>\n
Il existe un moyen d’att\u00e9nuer consid\u00e9rablement – ou m\u00eame de r\u00e9soudre le conflit entre les correctifs imm\u00e9diats (et les perturbations) et les correctifs diff\u00e9r\u00e9s (et les failles de s\u00e9curit\u00e9). La r\u00e9ponse r\u00e9side dans un patching sans interruption et sans friction, \u00e0 tous les niveaux ou au moins \u00e0 autant de niveaux que possible.<\/p>\n
Un patch sans friction peut r\u00e9soudre le conflit<\/strong><\/h2>\nLe correctif en direct est l’outil de correctif sans friction que votre \u00e9quipe de s\u00e9curit\u00e9 devrait rechercher. Gr\u00e2ce \u00e0 la correction en direct, vous corrigez beaucoup plus rapidement que les fen\u00eatres de maintenance r\u00e9guli\u00e8res ne pourraient jamais esp\u00e9rer atteindre, et vous n’avez jamais besoin de red\u00e9marrer les services pour appliquer les mises \u00e0 jour. Patching rapide et s\u00e9curis\u00e9, avec peu ou pas de temps d’arr\u00eat. Un moyen simple et efficace de r\u00e9soudre le conflit entre disponibilit\u00e9 et s\u00e9curit\u00e9.<\/p>\n
\u00c0 TuxCare<\/a> nous fournissons des correctifs complets en direct pour les composants critiques du syst\u00e8me Linux, ainsi que des correctifs pour plusieurs langages de programmation et versions de langage de programmation qui se concentrent sur les probl\u00e8mes de s\u00e9curit\u00e9 et n’introduisent aucun changement au niveau du langage qui autrement forcerait la refactorisation du code – votre code continuera \u00e0 fonctionner tel quel, uniquement en toute s\u00e9curit\u00e9. M\u00eame si votre entreprise s’appuie sur des applications non prises en charge, vous n’aurez pas \u00e0 vous soucier des vuln\u00e9rabilit\u00e9s qui se propagent dans vos syst\u00e8mes via une faille de langage de programmation – et vous n’avez pas non plus besoin de mettre \u00e0 jour le code de l’application.<\/p>\nDonc, pour conclure, dans le conflit entre disponibilit\u00e9 et s\u00e9curit\u00e9, correction en direct<\/a> est le seul outil qui peut r\u00e9duire consid\u00e9rablement la tension entre les op\u00e9rations et les \u00e9quipes de s\u00e9curit\u00e9. <\/p>\n<\/p>\n<\/div>\n
Donc, pour conclure, dans le conflit entre disponibilit\u00e9 et s\u00e9curit\u00e9, correction en direct<\/a> est le seul outil qui peut r\u00e9duire consid\u00e9rablement la tension entre les op\u00e9rations et les \u00e9quipes de s\u00e9curit\u00e9. <\/p>\n <\/p>\n<\/div>\n