Le volume des correctifs Windows pourrait augmenter : analyse IA du 9 juillet

Le Patch Tuesday avait déjà la texture émotionnelle d’un détecteur de fumée accompagné d’une invitation de calendrier. L’avertissement du 9 juillet de Microsoft ajoute une tournure utile, et légèrement maudite : la découverte de vulnérabilités assistée par l’IA pourrait rendre les correctifs Windows plus nombreux, pas plus tranquilles. Ce n’est pas une raison de paniquer, ce qui est une bonne chose, car la panique est un très mauvais processus de gestion du changement. C’est une raison d’admettre que trouver les bugs plus vite signifie que les défenseurs ont besoin de plus de place dans le tuyau pour les correctifs.

Ce qui s’est passé, selon Infosecurity Magazine

Phil Muncaster, d’Infosecurity Magazine, a rapporté que Microsoft avait averti ses clients de s’attendre à un plus grand nombre de mises à jour de sécurité Windows, alors que l’entreprise utilise des techniques d’IA pour trouver davantage de vulnérabilités zero day. La phrase clé de Microsoft, telle que citée par Infosecurity Magazine, est que l’IA est appliquée à l’analyse de sécurité afin « d’identifier les schémas plus rapidement, de hiérarchiser les risques et de déployer la découverte de vulnérabilités à grande échelle dans la base de code Windows ». C’est la version joyeuse du fait d’allumer des lumières plus puissantes dans une cave : félicitations, vous pouvez maintenant voir davantage de problèmes. BleepingComputer a également présenté cette évolution comme le fait que Microsoft s’attend à davantage de mises à jour de sécurité Windows issues de failles découvertes par l’IA, ce qui est ce rare titre qui fait aussi office de note de planification de capacité.

La traduction importante est que Microsoft ne dit pas que l’IA fait disparaître les correctifs. Infosecurity Magazine a cité Microsoft déclarant : « À mesure que l’IA aide les défenseurs à découvrir davantage de problèmes, les clients verront un volume plus élevé de mises à jour de sécurité incluses dans chaque publication de sécurité. » Autrement dit, une meilleure découverte des vulnérabilités déplace la partie difficile en aval, de la recherche des failles vers les tests, la priorisation, l’approbation et le déploiement des correctifs. Le cimetière des bugs reçoit un meilleur éclairage, et l’équipe d’entretien fait des heures supplémentaires.

Le rayon d’impact, selon The Register

The Register a rapporté que Microsoft avait averti ses clients de s’attendre à davantage de correctifs de sécurité dans un avenir prévisible à cause de l’IA. Il a également identifié le dirigeant de Microsoft à l’origine du billet comme étant Pavan Davuluri, vice-président exécutif de Windows and Devices, et a indiqué que le billet décrivait des changements dans les processus internes de Microsoft pour repérer les vulnérabilités logicielles. Il ne s’agit pas d’un unique CVE effrayant avec une chaîne d’exploitation bien nette et un tableau de score dramatique. Il s’agit d’un changement de débit, ce qui signifie que le rayon d’impact touche les opérations informatiques, la gouvernance des versions, la gestion des terminaux et toutes les applications héritées qui prennent les mises à jour comme une insulte personnelle.

The Register a également noté l’argument de Microsoft selon lequel les outils de correction automatisée peuvent aider les clients à suivre le rythme de volumes accrus. C’est raisonnable, mais l’automatisation n’est pas un balai magique qui fait disparaître le risque de compatibilité sous le tapis. Si votre processus de correction dépend déjà d’une archéologie héroïque dans des feuilles de calcul et d’un administrateur surchargé nommé Dana, davantage de mises à jour n’attendront pas poliment que le moral s’améliore. La leçon est de faire monter le processus en capacité avant que le processus ne devienne l’incident.

Ce qui a été exposé, selon OffSeq

Le Threat Radar d’OffSeq a classé l’élément comme une évolution liée à une vulnérabilité de gravité moyenne et a indiqué que les informations disponibles ne précisaient pas de vulnérabilités particulières, de détails sur l’impact ni de détails d’exploitation. Cette distinction compte. Il ne s’agit pas d’un avis de violation, et les preuves publiques ici ne décrivent pas de données volées, de systèmes exploités ni d’acteur de menace nommé. L’exposition est opérationnelle : les organisations pourraient découvrir que leur pipeline de correctifs était dimensionné pour le rythme de découverte d’hier.

Les acteurs malveillants n’ont pas besoin de développement de personnage quand les défenseurs leur offrent du retard. Leur motivation est généralement assez simple pour tenir sur un pense-bête : trouver des systèmes non corrigés, monétiser l’accès, répéter jusqu’à ce que quelqu’un remarque que la facture est garnie de ransomware. Davantage de correctifs fournisseurs peuvent réduire le risque, mais seulement si les clients peuvent les absorber rapidement et en toute sécurité. Un correctif qui reste dans une file d’attente parce que la capacité de test est saturée est, en gros, une porte verrouillée avec la clé scotchée à côté.

Plan de réponse, selon The Register et OffSeq The

Register a rapporté que Microsoft oriente les clients vers la correction automatisée comme moyen de suivre le rythme, tandis qu’OffSeq a indiqué qu’aucune mesure d’atténuation directe n’était précisée au-delà de l’application des mises à jour de sécurité officielles de Microsoft dès leur publication. Cela donne aux équipes de sécurité un point de départ pratique : mesurer le temps que prennent actuellement les mises à jour Windows pour passer de la publication au déploiement, puis décider si ce calendrier résiste à un volume plus élevé. Si la réponse est un rire nerveux, félicitations, vous avez trouvé le vrai retard de gestion des vulnérabilités.

Les équipes devraient revoir la couverture de test, la gestion des exceptions, la préparation au retour arrière et les règles de priorité avant que la file d’attente ne grossisse. L’objectif n’est pas de tout installer aveuglément à vitesse maximale, car c’est ainsi que les équipes chargées de la disponibilité commencent à parler sur un ton de tribunal. L’objectif est de savoir quels systèmes peuvent être mis à jour automatiquement, lesquels nécessitent un déploiement progressif, et quelles machines critiques pour l’activité demandent une validation de compatibilité plus rapide. Les notes de correctif vont devenir plus dramatiques, donc le processus qui les entoure a besoin de moins de théâtre.

Ce que cela signifie vraiment pour vous, selon Infosecurity Magazine

Pour les lecteurs qui gèrent des parcs Windows, l’avertissement du 9 juillet de Microsoft signifie que l’IA peut améliorer la visibilité des défenseurs tout en augmentant la quantité de maintenance que les clients doivent effectuer. C’est un bon compromis si les organisations s’y préparent. Une meilleure découverte signifie moins de bugs cachés dans les murs, mais cela signifie aussi davantage de correctifs qui arrivent à l’accueil en demandant des badges d’approbation. L’équipe de sécurité qui traite les correctifs comme une capacité d’ingénierie, et non comme un nettoyage administratif, passera une meilleure année.

Pour les utilisateurs individuels, le conseil est heureusement ennuyeux : gardez les mises à jour de sécurité Windows officielles en mouvement, et ne traitez pas les invites de mise à jour comme des bulletins météo facultatifs. Pour les responsables informatiques, surveillez si les futures publications de Microsoft contiennent davantage de correctifs par publication de sécurité, et commencez dès maintenant à ajuster votre capacité de déploiement. L’avenir de la gestion des vulnérabilités sera peut-être assisté par l’IA, mais le dernier kilomètre passe toujours par les fenêtres de changement, les laboratoires de test et des humains qui méritent un processus de correction ne nécessitant pas de sacrifice rituel.