Patch Management : gestion des correctifs en SOC

Le Patch Management désigne le processus structuré de gestion des correctifs logiciels appliqués aux systèmes d'information. La gestion des correctifs en SOC couvre l'identification des vulnérabilités connues (CVE), la priorisation des patchs selon leur criticité (score CVSS), le test en environnement de préproduction et le déploiement contrôlé en production. Chaque correctif adresse une faille précise dans un composant logiciel : noyau OS, bibliothèque tierce, firmware ou application métier. Un correctif non appliqué laisse une fenêtre d'exposition exploitable dès la publication d'un exploit public. Le cycle de vie d'un patch inclut la phase de découverte (via flux NVD, CERT, bulletins éditeurs), la phase d'évaluation du risque métier, puis le déploiement selon un SLA défini par la criticité. Les systèmes legacy, souvent non supportés, constituent une dette technique majeure. Un Patch Management rigoureux réduit la surface d'attaque exposée aux exploits connus et constitue la première ligne de défense contre les campagnes opportunistes qui ciblent des CVE publiées depuis plusieurs semaines.

Côté Blue Team et SOC, la détection des systèmes non patchés repose sur plusieurs sources complémentaires. Un scanner de vulnérabilités comme Tenable Nessus ou Qualys génère des rapports d'inventaire des CVE actives par asset. WSUS (Windows Server Update Services) expose via ses logs les machines n'ayant pas appliqué un bulletin donné. Sur Windows, l'événement ID 19 du canal Microsoft-Windows-WindowsUpdateClient/Operational confirme l'installation réussie d'un patch. L'absence de cet événement sur une machine après la date de publication d'un bulletin critique est un indicateur direct. Les journaux de Microsoft Endpoint Configuration Manager (SCCM) permettent de croiser l'état de conformité patch par collection de machines. Un SIEM peut corréler les assets non conformes avec des alertes réseau détectant du trafic d'exploitation (ex. tentative SMB sur EternalBlue ciblant des postes sans MS17-010). Les outils de gestion des assets (CMDB) alimentent les tableaux de bord de conformité patch. Un taux de couverture patch inférieur à un seuil défini sur des assets exposés doit déclencher une alerte de risque opérationnel dans le processus de gestion des vulnérabilités.

Côté Red Team et pentest, l'exploitation des systèmes sans Patch Management rigoureux constitue un vecteur d'entrée classique. L'opérateur commence par un scan Nessus ou OpenVAS pour identifier les CVE actives. Il croise ensuite les résultats avec Exploit-DB ou Metasploit Framework pour localiser un module d'exploitation disponible. Les CVE ciblées en priorité sont celles disposant d'un exploit public stable et d'un score CVSS supérieur à 9.0. EternalBlue (MS17-010), PrintNightmare (CVE-2021-1675) ou Log4Shell (CVE-2021-44228) illustrent des vulnérabilités massives exploitées longtemps après la publication de leur correctif. En interne, un asset non patché permet souvent une élévation de privilèges locale (LPE) via un kernel exploit. Pour durcir le processus, il faut définir des SLA stricts : patch critique sous 72 heures sur les assets exposés, patch élevé sous 7 jours. La segmentation réseau limite la propagation latérale depuis un système compromis. Le déploiement de règles IPS couvrant les exploits connus constitue une mesure compensatoire temporaire pendant la fenêtre de patch. Un programme de Patch Management mature intègre aussi les firmwares réseau et les bibliothèques applicatives (SCA).