Les versions logicielles, élément clé pour renforcer la cybersécurité

Identification des versions des produits pour l'évaluation du statut des versions et des correctifs et la détection des vulnérabilités informatiques publiées

En bref Request une démo Commencez un essai gratuit

Dans cet article de blog, nous présentons deux variantes possibles pour déterminer les versions des produits logiciels sur les hôtes dans l'environnement informatique. Ces variantes constituent un élément important de l'évaluation de la cybersécurité, en particulier pour évaluer le cycle de vie des produits (stratégie de publication et de correctifs) et pour identifier les vulnérabilités informatiques.

Variante 1 : Logiciel installé

La variante la plus simple et la plus évidente consiste à interroger le gestionnaire de paquets (Unix, Linux, MacOS) ou l'inventaire des logiciels (Windows) des systèmes d'exploitation pour savoir quels produits ont été installés sur l'hôte.

La figure suivante montre un exemple de la manière dont Versio.io met les données à disposition sur la plateforme. Pour chaque produit installé, il existe des informations sur le fabricant, le nom du produit, la version utilisée et d'autres métadonnées.

Variante 2 : processus exécutés du système d'exploitation

Une variante plus complexe consiste à reconnaître en permanence tous les processus en cours d'exécution sur un système d'exploitation, puis à interroger leur version. Sous Windows, il est facile d'interroger le fabricant, le produit et la version via les informations sur les processus disponibles dans Windows. Dans les systèmes d'exploitation basés sur Linux, il n'existe pas de norme et la détermination de la version est donc un peu plus délicate, car elle nécessite une grande variété de procédures de détermination. Voici quelques méthodes pour enregistrer les informations de version et un exemple de la manière dont un processus incluant la détection de version est mappé dans Versio.io :

Ligne de commande : java --version
Variable d'environnement : JAVA_VERSION=21.0.5
Ligne dans un fichier d'informations ou de configuration : version : 21.0.5
Nom du répertoire : /opt/openjdk21.0.5/bin/java

Comparaison des variantes

Les deux variantes présentent des avantages et des inconvénients, qui sont à nouveau abordés dans le tableau suivant :

	Produits logiciels installés	Processus du système d'exploitation exécutés
Évaluation qualitative	En interrogeant le gestionnaire de paquets ou l'inventaire des logiciels, il est possible de déterminer tous les logiciels installés, y compris leur version. La spécification de la version correspond à la désignation du fabricant.	Le produit logiciel et la version peuvent être déterminés pour tous les processus du système d'exploitation exécutés, quel que soit le type de déploiement (installation ou application/binaire décompressé manuellement) (voir description de la variante 2). La détermination du produit et de la version inclut les composants tiers (par exemple, les frameworks ou les bibliothèques) si les exigences techniques le permettent (par exemple, les applications Java ou Node.js).
Importateur Versio.io	Logiciel installé sur l'hôte (avec ou sans agent)	Processus hôte (basé sur un agent)
Effort/Coût	faible	élevé

Tableau : Comparaison des variantes pour déterminer les versions logicielles

Recommandation

Les deux variantes présentées pour déterminer les versions logicielles peuvent être utilisées individuellement ou en combinaison, selon les besoins du client. La recommandation suivante s'applique généralement aux différents domaines de responsabilité dans le domaine informatique :

Gestion des postes de travail/terminaux = Logiciels installés
Gestion du serveur = Logiciels installés et/ou processus du système d'exploitation

Nous recommandons généralement à nos clients de commencer par la variante des produits logiciels installés. Avec peu d'efforts et à moindre coût, il est possible de déterminer la plupart des versions logicielles et d'atteindre un niveau élevé de cybersécurité grâce à l'évaluation de l'état des versions et des correctifs ainsi que des vulnérabilités informatiques.

Pour une transparence totale et des infrastructures hôtes critiques pour l'activité et l'informatique, telles que les applications centrales ou en ligne, nous recommandons d'étendre la détection des versions en fonction des processus du système d'exploitation en cours d'exécution.

Évaluation de la cybersécurité Outlook

La détection de version est indispensable pour évaluer le cycle de vie d'un produit et identifier les vulnérabilités informatiques existantes. L'évaluation et la détection sont prises en charge de manière entièrement automatique dans Versio.io.

Les stratégies suivantes sont disponibles pour évaluer le cycle de vie en fonction des versions du produit :

S'agit-il d'une version stable ?
La dernière version est-elle utilisée ?
La dernière version de la publication est-elle utilisée ?
Une version à support long terme (LTS) est-elle utilisée ?
La dernière version avec support à long terme est-elle utilisée ?
La version déployée bénéficie-t-elle toujours du service client (assistance) du fabricant ?
La version déployée bénéficie-t-elle toujours de la maintenance fournie par le fabricant ?

Il en résulte une évaluation de la cybersécurité pour chaque version de produit reconnue, accompagnée d'informations détaillées et de références aux sources d'information. Versio.io fournit également une recommandation quant à la version du produit à mettre à jour/à mettre à niveau afin d'atteindre le statut de conformité en matière de cybersécurité. L'illustration suivante montre une telle évaluation de la version logicielle pour le produit Acrobat Reader :

Figure : Détermination du produit et de la version en fonction du logiciel exécuté sur le système d'exploitation

Auteurs | 17 mars 2025

Fabian Klose

Head of Software Development

P: +49-30-221986-51

M: fabian.klose@versio.io

Matthias Scholze

Chief Technology Officer

P: +49-30-221986-51

M: matthias.scholze@versio.io