De récents incidents de sécurité impliquant Kiteworks et Citrix illustrent les choix difficiles auxquels les éditeurs sont confrontés lorsqu’ils répondent à des vulnérabilités zero day présumées, en particulier lorsque l’ampleur de l’exploitation n’est pas clairement établie.
Dans un cas, Kiteworks a conseillé à ses clients d’arrêter sa plateforme de protection des données pendant une période d’environ neuf heures. Cette recommandation reflétait une approche de précaution visant à réduire l’exposition potentielle pendant que l’entreprise traitait la situation. De telles mesures peuvent contribuer à limiter les risques, mais elles peuvent aussi interrompre les processus métier des organisations qui dépendent des systèmes concernés pour échanger ou protéger des informations sensibles.
Citrix, de son côté, a fait l’objet d’un examen attentif après des informations indiquant que des attaquants avaient ciblé son produit avant qu’un correctif ne soit disponible. Selon les premiers rapports, l’entreprise n’a pas commenté publiquement les attaques signalées avant la publication de sa mise à jour. Cette approche souligne un autre défi courant dans la réponse aux zero days : les éditeurs doivent concilier la nécessité d’alerter rapidement les clients avec le risque que des informations publiques puissent aider d’autres attaquants.
Des modèles de réponse différents, des pressions communes
Les incidents zero day évoluent souvent plus rapidement que les cycles traditionnels de gestion des vulnérabilités. Les équipes de sécurité peuvent disposer d’éléments de preuve forensiques incomplets, d’indicateurs de compromission incertains et d’une visibilité limitée sur le fait que l’exploitation soit généralisée ou restreinte à des cibles sélectionnées.
Mettre des services hors ligne peut réduire l’exposition immédiate, mais peut entraîner des perturbations opérationnelles.
Retarder la communication publique pendant la préparation d’un correctif peut éviter la divulgation prématurée de détails techniques sensibles, mais cela peut laisser les défenseurs avec moins de possibilités d’enquêter et de renforcer leurs environnements.
Des recommandations claires et communiquées en temps utile sont essentielles lorsque les organisations doivent décider d’isoler des systèmes, d’appliquer des mesures d’atténuation, d’examiner les journaux ou d’avertir les parties prenantes internes.
Ces incidents soulignent qu’aucun modèle de réponse unique ne convient à toutes les vulnérabilités. Les clients utilisant des produits sensibles en matière de sécurité pour le transfert de fichiers, la collaboration ou la protection des données doivent maintenir des plans d’interruption testés, surveiller les avis des éditeurs et s’assurer qu’ils peuvent identifier rapidement les déploiements exposés à Internet. Ils doivent également conserver les journaux pertinents et établir des procédures permettant d’appliquer des mises à jour d’urgence ou des mesures d’atténuation temporaires lorsqu’un éditeur signale une possible exploitation active.