Le management du digital
Rechercher

Comment réduire les risques de sécurité liés à XP

par Serge Ribeiro, PreSales Technical Manager chez Landesk

L’une des questions les plus fréquemment posées actuellement aux responsables de sécurité concerne la fin de vie de XP et ses conséquences. Quel est l'impact sur la sécurité de l'exécution d'un système d'exploitation dont le support éditeur n’existe plus ? Quels sont les risques pour la sécurité liés à XP ?

Après l’attaque « zero-day » récemment subie par Microsoft, est-il encore pertinent de maintenir Windows XP dans l'environnement d'entreprise ?

L'inquiétude concerne le grand nombre de failles disponibles sous XP, que les hackers vont commencer à exploiter maintenant que l’OS est en fin de vie. L'attaque « zero-day » annoncée par Microsoft le dimanche 27 avril 2014 met clairement en évidence certains des graves problèmes qui menacent les utilisateurs et vont continuer à les menacer tant qu'ils resteront sous Windows XP. CVE-2014-1776 est une vulnérabilité « zero-day » majeure qui affecte Microsoft Internet Explorer (IE). L'explication la plus simple de ce phénomène est que les hackers peuvent utiliser une technique d'exploitation Flash très connue, appelée « heap feng shui », pour tirer profil de cette vulnérabilité dans IE. Cette vulnérabilité de Flash est documentée dans CVE-2014-0515. Elle permet à un hacker de contourner certaines des mesures de sécurité clés mises en place par les systèmes d'exploitation Microsoft, plus précisément la « randomisation » du format d'espace d'adresse (ASLR) et la prévention de l'exécution de date (DEP).

Jusqu’à la publication d’une mise à jour par Microsoft, il existait des opérations que les utilisateurs pouvaient réaliser pour réduire leur exposition. Plus spécifiquement, ils pouvaient se protéger en exécutant IE en « mode de protection avancé », technique qui n’est plus d’actualité aujourd’hui. En effet le fameux EMET (Microsoft Enhanced Experience Toolkit) ne fonctionnent plus sous XP. Dans ce cas, XP ne prend pas en charge ASLR, ce qui force les applications à s'exécuter dans un espace mémoire aléatoire. Pour mieux retourner le couteau dans la plaie, si Microsoft ne change pas sa stratégie actuelle de correctifs XP très stricte, vous n'obtiendrez aucun correctif de Microsoft, sauf si vous disposez d'un contrat de support Microsoft étendu, très coûteux. Selon la base de connaissance qui héberge les correctifs, il n'existe aucun correctif pour XP.

De son côté, Adobe a sorti récemment un correctif pour l'exploitation de Flash, qui empêche les utilisateurs de profiter de cette méthode pour tirer parti de la vulnérabilité d'IE. La menace concernant cette vulnérabilité spécifique sous XP recule ainsi légèrement. Toutefois, pour les utilisateurs XP, cette vulnérabilité d'IE reste présente. Il y a donc un danger à exécuter un système d'exploitation obsolète (ou une application obsolète, d'ailleurs), qui ne reçoit plus de mises à jour de la sécurité : le risque est beaucoup plus élevé pour votre entreprise. CVE-2014-1776 est seulement la première attaque de ce type signalée... on en attend beaucoup d'autres !

Alors que faire ?

Vous devez trouver un moyen de vous débarrasser de XP, et vite car sa prise en charge va devenir de plus en plus coûteuse. Si vous choisissez de conserver XP, vous pouvez suivre les cinq suggestions suivantes, pour limiter certains risques :

  • Assurez-vous que vous exécutez un antivirus avec des définitions à jour.
  • Limitez le nombre de logiciels sur le système.
  • Vérifiez que les applications tierces sont à jour.
  • Exécutez le contrôle d'application.
  • Limitez les droits administrateurs.

    Pour les entreprises qui ont la chance de disposer d'un contrat de support étendu auprès de Microsoft et qui sont des inconditionnels de XP, des éditeurs sont capables de fournir des solutions pour vous aider à continuer d’appliquer des correctifs à vos machines...

Best Practices propose des publications payantes.
Comparez nos différentes offres d'abonnement.

Nos Ouvrages

  • Symposiums Gartner : la synthèse

    Les équipes de Best Practices assistent chaque année au Symposium organisé par le cabinet Gartner qui présente des études, ses analyses et ses opinions sur l’évolution des technologies, du digital et des systèmes d’information.

  • La transformation digitale en 465 questions

    L’un des facteurs clés de réussite de la transformation digitale reste l’accès à la bonne expertise, aux meilleures pratiques et à tout ce qui peut favoriser le benchmark des organisations par rapport au marché, aux usages et aux technologies disponibles.

  • Benchmark Digital&Business - numéro 136

    Ce numéro de Benchmark Digital & Business regroupe l’essentiel des chiffres et des tendances présentés lors du Symposium Gartner 2020, qui s’est déroulé en novembre, à distance. Les quelques 4 000 slides mis à la disposition des participants ont été analysés, afin de trouver les informations et chiffres-clés les plus pertinents.

A ne pas manquer

  • Comment rater...
sa Data Integration

    Pour rater son intégration de données, rien de plus simple. C’est à la portée de toutes les entreprises ! Il suffit de suivre nos treize commandements et d’oublier la gouvernance, la qualité, la sécurité et les enjeux métiers.

  • Comment rater...
sa génération de leads

    Il existe un lien étroit entre le dynamisme commercial d'un éditeur de logiciels ou d'un intégrateur et la qualité des leads dont disposent les commerciaux pour maintenir leur performance. Mais il est très facile de ruiner votre performance commerciale.

  • Services managés : où en sont les entreprises françaises ?

    Best Practices a réalisé une enquête auprès des entreprises et organisations publiques françaises. Avec plusieurs objectifs : cerner les enjeux associés aux systèmes d’information, mesurer les usages des services managés les budgets associés.

Best Practices

Informations

REMARQUE ! Ce site utilise des cookies et autres technologies similaires.

Si vous ne changez pas les paramètres de votre navigateur, vous êtes d'accord. En savoir plus

J'ai compris