Spectre/Meltdown : que faire pour protéger son infrastructure de postes de travail

Le réseau pour étendre la protection

Mais ce n’est pas tout. Comme le souligne le cabinet de Brian Honan dans un billet de blog, « gardez à l’esprit que vous pouvez ne pas être capables d’appliquer des correctifs à tous les systèmes vulnérables de manière rapide ». 

While I recommend you use the official PowerShell script, I've updated SpecuCheck to support x86 and Windows 7: https://t.co/CR2gmndpDo. Use it for research/education only -- IT departments should follow Microsoft's tools and guidance: https://t.co/NleubjgkT6

— Alex Ionescu (@aionescu) January 4, 2018

Pour surveiller l’état de son infrastructure, il existe des outils. Alex Ionescu a développé un utilitaire Windows pour tester l’état des protections tant au niveau du logiciel que du matériel. Il le présente comme un complément aux outils et recommandations de Microsoft qui s’appuient sur Powershell et permettent de mieux industrialiser la surveillance de son parc. Thomas Maurer explique comment dans un billet de blog.

Un autre outil a été développé et est proposé sur Github pour tester la vulnérabilité des systèmes Linux à Meltdown. Mais il ne fonctionne que sur les systèmes embarquant un processeur moderne doté des extensions de synchronisation transactionnelle (TSX).

Outre cela, il convient d’adopter des mesures complémentaires et notamment « configurer ses IDS/IPS pour détecter tout trafic suspect » susceptible de trahir une tentative d’exploitation des vulnérabilités Meltdown et Spectre. Des règles Snort sont d’ailleurs ainsi disponibles.

Et ce conseil apparaît d’autant plus important que de nombreux systèmes, au-delà des serveurs et postes de travail ou terminaux mobiles, sont susceptibles d’être concernés. Juniper reconnaît ainsi enquêter sur la situation de ses produits ; nombre d’appliances embarquent des processeurs Intel…

S’inscrire dans la durée

En fait, la menace Meltdown/Spectre semble appelée à s’inscrire dans la durée. Chez Rendition Infosec, Jake Williams fait un parallèle : « nous tombons encore sur des systèmes que l’on peut exploiter avec DirtyCow ». Il développe alors un plan d’action en six étapes pour gérer ces nouvelles menaces.

La première consiste à renforcer son plan de supervision de l’infrastructure : Meltdown et Spectre vont venir enrichir l’arsenal des attaquants. Et seules « des pratiques de supervision robustes vont les débusquer, qu’ils utilisent une vulnérabilité inédite ou un défaut de configuration pour compromettre vos systèmes ».

Le seconde recommandation touche à la gestion des données, en « repensant la cohabitation de données avec des besoins de protection différents ». Car pour Jake Williams, il n’est pas possible d’estimer que « les contrôles du système d’exploitation sont suffisants » pour assurer l’isolation de données aux besoins de sécurité différents.

Et puis il convient, selon lui, de revoir ses procédures de gestion du changement et, en particulier, d’application de correctifs, mais également ses intervalles de renouvellement d’équipements. Car pour se protéger solidement de Meltdown et de Spectre, comme le recommandait initialement le Cert-US, rien de tel que de changer de processeur… Et là, « il y a peu de doute que de futurs processeurs gèreront certaines fonctions de manière plus sûre que les modèles actuels ».

Enfin, Jake Williams conseille d’évaluer la sécurité de ses applications hébergées, en PaaS ou en IaaS notamment, en s’interrogeant notamment sur la manière dont ses prestataires gèrent ces nouvelles menaces. Dernier point, mais pas des moindres : préparer un plan de communication pour sa direction, car il y aura « inévitablement » des questions sur l’étendue et l’impact métier de la menace. « C’est juste une réalité de la vie ».