Rapport

État de la détection des vulnérabilités et de la gestion des correctifs dans les entreprises

Démographie de
le rapport

Les idées découvertes dans
ce rapport

La majorité des entreprises (76%) déploient des procédures de correction automatisées.

75% des personnes interrogées ont déclaré s'appuyer sur la recherche manuelle en ligne comme l'un de leurs outils pour en savoir plus sur les vulnérabilités dangereuses, ce qui en fait l'outil le plus couramment utilisé.

La plupart des personnes interrogées ont déclaré que CentOS lui-même, ou un autre fork CentOS, est leur système d'exploitation prédominant pour les serveurs.

73% des personnes interrogées ont déclaré que leur parc de serveurs n'utilisait qu'un seul système d'exploitation, et seulement 27% ont suggéré qu'ils utilisaient un mélange de systèmes d'exploitation dans leur parc de serveurs.

  • Les outils de gestion des vulnérabilités sont relativement complexes et comportent généralement une courbe d'apprentissage abrupte, tandis que les fonctionnalités et les capacités varient d'un produit à l'autre. Nous avons demandé aux personnes interrogées quelles étaient les fonctionnalités qu'elles aimeraient voir dans leur outil idéal d'analyse des vulnérabilités et de gestion des correctifs. Les réponses varient, mais les préférences vont à la journalisation, à l'impact minimal sur les ressources du système, aux déploiements progressifs et à la détection des correctifs rétroportés.

  • Les fenêtres de maintenance d'urgence sont sans doute le mécanisme le plus perturbateur que les organisations utilisent pour répondre aux CVE émergentes, mais c'est néanmoins le choix préféré lorsqu'il s'agit de traiter une vulnérabilité connue. On peut donc suggérer que, pour plus de 70% des personnes interrogées, les risques associés à une éventuelle faille de sécurité l'emportent sur les considérations opérationnelles et de disponibilité.

  • La seule méthode non perturbatrice d'atténuation des vulnérabilités utilisée, le live patching, a été choisie par près de la moitié des répondants. Il est intéressant de noter que de nombreux répondants ont répondu qu'ils font face aux vulnérabilités en attendant simplement la prochaine fenêtre de maintenance périodique. Cela implique que leurs systèmes resteront vulnérables pendant la période d'attente.

  • La plupart des industries ont déclaré avoir perdu moins de deux heures par semaine à cause des procédures de correction. Toutefois, deux secteurs ont fait état d'un nombre d'heures très élevé : le transport et la logistique, d'une part, et les médias et la création, d'autre part, ont tous deux fait état d'un nombre d'heures considérablement plus élevé.

  • Dans tous les secteurs, la documentation du processus d'application des correctifs ne prend pas beaucoup de temps par rapport aux autres tâches liées à l'application des correctifs - en fait, la documentation du processus d'application des correctifs est celle qui prend le moins de temps.

  • Dans certains secteurs, l'obtention de l'approbation d'une fenêtre de maintenance peut être l'élément le plus long du processus d'application des correctifs - dans certains cas, elle prend plus de temps que l'application, la documentation ou la surveillance des correctifs.

Caractéristiques de l'outil idéal de gestion des vulnérabilités

Les outils de gestion des vulnérabilités sont relativement complexes et comportent généralement une courbe d'apprentissage abrupte, tandis que les fonctionnalités et les capacités varient d'un produit à l'autre. Nous avons demandé aux personnes interrogées quelles étaient les fonctionnalités qu'elles aimeraient voir dans leur outil idéal d'analyse des vulnérabilités et de gestion des correctifs. Les réponses varient, mais les préférences vont à la journalisation, à l'impact minimal sur les ressources du système, aux déploiements progressifs et à la détection des correctifs rétroportés.

Comment faites-vous face aux vulnérabilités détectées ?

Les fenêtres de maintenance d'urgence sont sans doute le mécanisme le plus perturbateur que les organisations utilisent pour répondre aux CVE émergentes, mais c'est néanmoins le choix préféré lorsqu'il s'agit de traiter une vulnérabilité connue. On peut donc suggérer que, pour plus de 70% des personnes interrogées, les risques associés à une éventuelle faille de sécurité l'emportent sur les considérations opérationnelles et de disponibilité.

Comment faites-vous face aux vulnérabilités détectées ?

La seule méthode non perturbatrice d'atténuation des vulnérabilités utilisée, le live patching, a été choisie par près de la moitié des répondants. Il est intéressant de noter que de nombreux répondants ont répondu qu'ils font face aux vulnérabilités en attendant simplement la prochaine fenêtre de maintenance périodique. Cela implique que leurs systèmes resteront vulnérables pendant la période d'attente.

Nombre moyen d'heures d'indisponibilité pour l'application de correctifs par semaine, par secteur d'activité

La plupart des industries ont déclaré avoir perdu moins de deux heures par semaine à cause des procédures de correction. Toutefois, deux secteurs ont fait état d'un nombre d'heures très élevé : le transport et la logistique, d'une part, et les médias et la création, d'autre part, ont tous deux fait état d'un nombre d'heures considérablement plus élevé.

Nombre moyen d'heures d'indisponibilité pour l'application de correctifs par semaine, par secteur d'activité

Dans tous les secteurs, la documentation du processus d'application des correctifs ne prend pas beaucoup de temps par rapport aux autres tâches liées à l'application des correctifs - en fait, la documentation du processus d'application des correctifs est celle qui prend le moins de temps.

Nombre moyen d'heures d'indisponibilité pour l'application de correctifs par semaine, par secteur d'activité

Dans certains secteurs, l'obtention de l'approbation d'une fenêtre de maintenance peut être l'élément le plus long du processus d'application des correctifs - dans certains cas, elle prend plus de temps que l'application, la documentation ou la surveillance des correctifs.

L'enquête est toujours en cours

Participez et courez la chance de gagner l'un des dix certificats d'administrateur Kubernetes.
Certification de la Fondation Linux

Comment TuxCare peut aider votre
organisation

Services de Live Patching

Mettez fin aux interruptions de service et aux problèmes de non-conformité causés par les redémarrages du système.

Services d'assistance Linux en Fin-De-Vie

Éliminer les vulnérabilités de sécurité tout en exécutant un Linux en Fin-De-Vie

Services de support Linux

Maintenir tous les composants des systèmes Linux de production à jour grâce à des services d'assistance de niveau fournisseur.

Tous les services de TuxCare comprennent des intégrations avec des outils de gestion des correctifs, des scanners de vulnérabilité, un serveur de correctifs sécurisé ePortal et une assistance 24/7.

Contacter les experts de TuxCare

Votre liste de comparaison

Comparez
ENLEVER TOUTES LES
COMPARER
0