L’affaire CrowdStrike et la crise qui en a résulté ont mis en lumière des défaillances autour de la sécurité de Windows. La panne mondiale a été provoquée par une simple mise à jour de définitions dans un produit de sécurité. Elle a provoqué un plantage dans un composant résidant en espace noyau sur Windows, entrainant tout le système dans sa chute. Ce dernier redémarrait ensuite en boucle, car le produit de CrowdStrike était chargé très tôt dans le processus, empêchant de reprendre la main.

• Panne CrowdStrike : comment une simple mise à jour a-t-elle entrainé une telle pagaille ?

La faute incombait pleinement à CrowdStrike, mais Microsoft a été largement éclaboussé au passage. De nombreux médias ont affirmé qu’il s’agissait d’une panne de Windows. Microsoft avait fini par s’expliquer, rappelant des bases dans la conception des solutions de sécurité. Point important, la présence de composants en espace noyau était rendue nécessaire par les fonctionnalités que les solutions de sécurité sont censées permettre, notamment la surveillance de tout ce qui se passe sur un ordinateur.

En outre, l’éditeur avait rappelé l’existence de sa Microsoft Virus Initiative (MVI). Elle réunit de nombreux éditeurs tiers afin de partager des informations, dont les bonnes pratiques et des pistes d’amélioration. C’est cette MVI qui s’est réunie le 10 septembre, avec des membres officiels de gouvernements, indique Microsoft dans un billet publié hier soir et signé David Weston, vice-président chargé de la sécurité des entreprises et systèmes d’exploitation.

« Complexités du paysage de la sécurité moderne »

« Avec nos partenaires de la Microsoft Virus Initiative (MVI) – des entreprises qui développent des produits de protection des terminaux et des produits de sécurité supplémentaires pour Windows, couvrant les clients, les serveurs et l'IoT – nous avons discuté des complexités du paysage de la sécurité moderne, en reconnaissant qu'il n'y a pas de solutions simples », indique Microsoft dans son billet.

Il ne s’agissait pas d’une réunion décisionnelle, mais les discussions ont été décrites comme « riches ». Plusieurs points sont clairement ressortis. Par exemple, les clients « tirent profit de l'existence d'options pour Windows et d'un choix de produits de sécurité ». En outre, que ce choix implique une responsabilité partagée d’amélioration de la résilience et d’échanges d’informations sur la manière dont les « produits fonctionnent, traitent les mises à jour et gèrent les perturbations ».

Échanges d’informations sur les pratiques

Microsoft a en particulier détaillé la manière dont elle emploie ses Safe Deployment Practices (SDP) et comment elles pourraient être améliorées. Microsoft et ses partenaires semblent se diriger vers un socle commun de bonnes pratiques. La société évoque également « le partage de données, d'outils et de processus documentés ». Broadcom, Sophos et Trend Micro sont cités en exemples de sociétés partageant leurs pratiques.

Il n’est pas question de remettre en cause « le déploiement progressif et échelonné des mises à jour envoyées aux clients ». En revanche, et à court terme, les membres de la MVI ont discuté de plusieurs changements :

• Améliorer les tests sur les composants critiques
• Améliorer les tests de compatibilité entre les multiples configurations
• Un meilleur partage des informations sur les produits pendant leur développement et une fois sur le marché
• Une meilleure réponse aux incidents, via une plus grande coordination et des procédures de récupération plus strictes

Si ces pistes vous semblent familières, c’est parce que CrowdStrike a utilisé, dans les grandes lignes, les mêmes éléments. C’est particulièrement vrai avec l’augmentation des tests, sur lesquels CrowdStrike s’est davantage étendu. Mais en tant que première concernée dans la panne mondiale, l’entreprise devait prouver qu’elle en avait tiré des leçons.

Microsoft ajoute qu’il ne s’agit là que d’un « échantillon de sujets » sur lesquels tout l’écosystème prévoit d’avancer rapidement.

Et à plus long terme ?

Sans trop de surprise, Microsoft a mis en avant les multiples améliorations de sécurité dans Windows 11. Dans le cadre de la réunion, des informations ont également été partagées sur les prochains changements que l’éditeur compte introduire.

Plus intéressant, les éditeurs tiers « ont demandé à Microsoft de fournir des capacités de sécurité supplémentaires en dehors du mode noyau qui, avec SDP, peuvent être utilisées pour créer des solutions de sécurité hautement disponibles ». C’était à prévoir, pour ne pas risquer qu’un tel fiasco se reproduise.

D’ailleurs, l’un des objectifs de la réunion était de discuter d’une nouvelle plateforme. De nombreux points ont été abordés à ce sujet, dont les besoins et défis en matière de performances en espace utilisateur, une protection contre les fraudes pour les produits de sécurité, les exigences pour les capteurs de sécurité (source de la panne chez CrowdStrike), le fonctionnement de la collaboration entre Microsoft et les autres éditeurs, ainsi que les objectifs de conception sécurisée de cette nouvelle plateforme.

« Nous sommes des concurrents, mais pas des adversaires. Les adversaires sont ceux dont nous devons protéger le monde », a résumé Microsoft.