Patching et gestion des vulnérabilités¶

Définir une stratégie de patching, automatiser les mises à jour et trier les CVE de manière rigoureuse.

Stratégie de patching¶

Le patching sans stratégie généré deux problèmes opposes : des systèmes jamais mis à jour (risque élevé) ou des mises à jour non testées en production (instabilite). La stratégie définit le quand, le comment et le qui.

Fréquences recommandees par criticite¶

Workflow de patching¶

flowchart LR
    A["Scan\nvulnerabilites"] --> B["Triage\nCVSS + contexte"]
    B --> C{"Decision"}
    C -->|Patcher| D["Test\nenvironnement staging"]
    C -->|Mitiger| E["Mesure\ncompen-satoire"]
    C -->|Accepter| F["Documentation\nrisque accepte"]
    D --> G["Patch\nproduction"]
    G --> H["Verification\npost-patch"]
    H -->|Regression| I["Rollback"]
    H -->|OK| A

Étapes clés¶

1. Scan : découverte automatisee des vulnérabilités sur l'ensemble du parc
2. Triage : évaluation de la criticite en contexte (exploitabilite, surface exposee)
3. Test staging : validation du patch sans impact sur la production
4. Patch production : avec plan de rollback pre-défini
5. Vérification : re-scan et validation fonctionnelle après patch

Automatisation du patching¶

Outils par OS¶

Patch as code avec Ansible¶

Ansible permet d'orchestrer le patching avec fenêtre de maintenance, redémarrage conditionnel et rapport de conformité. Les playbooks peuvent cibler des groupes d'inventaire distincts (staging avant prod) et intégrer une validation fonctionnelle post-patch.

Scan de vulnérabilités¶

Intégration CI/CD¶

L'intégration du scan dans les pipelines permet de bloquer les builds contenant des vulnérabilités critiques avant le déploiement :

• Scan de l'image Docker à chaque build (Trivy, Grype)
• Seuil de blocage configurable (ex. : bloquer si CVSS >= 7)
• Rapport de vulnérabilités archive en artefact de pipeline

Triage des CVE¶

Toutes les vulnérabilités ne meritent pas la même urgence. Le triage contextuel permet de prioriser efficacement.

Critères d'évaluation¶

Décisions possibles¶

La CISA publie le Known Exploited Vulnerabilities (KEV) catalog : les vulnérabilités listees sont activement exploitees et doivent être patchees en priorité absolue.