Correcteur de vulnérabilités
En sécurité informatique, un correcteur de vulnérabilités est un programme conçu pour identifier et corriger automatiquement des vulnérabilités dans une application, un système d'exploitation, ou un réseau.
Ces outils se différencient des scanneurs de vulnérabilités, limités à l'identification des failles, par la correction des menaces identifiées.
Le domaine de la correction des vulnérabilités représente une sous-partie du domaine de la Gestion des correctifs ou "Patch Management". En effet, la gestion des correctifs consiste à gérer le déploiement de mises à jour dans un réseau de périphériques[1], et comporte ainsi toutes les mises à jour disponibles quelle que soit leur nature (sécurité, fonctionnelle, correctif...) tandis que la correction de vulnérabilités se limite aux seules mises à jour de sécurité.
Utilisation
Les correcteurs de vulnérabilités peuvent être utilisés afin de corriger les vulnérabilités des sites internet, des systèmes d'exploitation, et des serveurs.
Leur fonctionnement passe par l'installation d'un agent sur les systèmes à protéger, ou par la création d'un accès d'administration à distance sur ces derniers.
Les correctifs de sécurité sont fournis par les éditeurs, et sont associés à des vulnérabilités de la base CVE à l'aide d'alertes de sécurité. Cela permet à chaque éditeur de préciser les correctifs à appliquer pour une vulnérabilité spécifique. Par exemple, pour la vulnérabilité Log4Shell, référencée sous le code CVE-2021-44228[2], les alertes de sécurité Debian et Ubuntu montrent les éléments suivants :
- Debian a émis l'alerte DSA-5020-1[3] et propose le correctif apache-log4j2 version 2.15.1-1~deb10u1 pour Debian buster ;
- Ubuntu a émis l'alerte USN-5192-1[4] et propose le correctif liblog4j2-java version 2.15.0-0.21.04.1 pour Ubuntu 21.04.
Une même vulnérabilité peut donc être traitée par des correctifs différents en fonction de chaque système, et les alertes de sécurité permettent d'avoir ce degré de précision sur les actions à réaliser.
Exemple de programmes
- Cyberwatch[5], un outil de détection et correction de vulnérabilités.
- ManageEngine[6], un outil de gestion des correctifs et de scan des vulnérabilités.
- Qualys[7], un scanner de vulnérabilités avec module optionnel de gestion des correctifs.
Notes et références
- « Qu'est-ce que le patch management ? - Définition et pratiques | Proofpoint FR », sur Proofpoint, (consulté le )
- « NVD - CVE-2021-44228 », sur nvd.nist.gov (consulté le )
- « DSA-5020-1 », sur security-tracker.debian.org (consulté le )
- (en) « USN-5192-1: Apache Log4j 2 vulnerability | Ubuntu security notices », sur Ubuntu (consulté le )
- (en) cyberwatch.fr
- « Solution de gestion des vulnérabilités | ManageEngine Vulnerability Manager Plus », sur www.manageengine.com (consulté le )
- (en) « Information Security and Compliance | Qualys, Inc. », sur www.qualys.com (consulté le )