À propos des cookies sur ce site Pour fonctionner correctement, nos sites Internet nécessitent certains cookies (requis). En outre, d'autres cookies peuvent être utilisés avec votre consentement pour analyser l'utilisation d'un site, améliorer l'expérience des utilisateurs et à des fins publicitaires. Pour plus informations, passez en revue vos options de préférences en. En visitant notre site Web, vous acceptez que nous traitions les informations comme décrit dans ladéclaration de confidentialité d’IBM. Pour faciliter la navigation, vos préférences en matière de cookie seront partagées dans les domaines Web d'IBM énumérés ici.
Le défi de la gestion CVE à l’échelle de l’entreprise
L'organisation IBM Software Ingénierie de la fiabilité des sites (SRE) est responsable de la fiabilité et de la sécurité de la plateforme IBM Software as a Service (SaaS) et des services gérés, qui s'étendent sur plusieurs plateformes cloud, notamment IBM Cloud, AWS, Microsoft Azure et Google Cloud Platform. L'équipe Software SRE fournit une gamme variée de solutions SaaS à des centaines d'entreprises dans le monde entier, tous secteurs confondus.
Compte tenu de l'étendue et de la complexité de la plateforme, de nombreuses vulnérabilités et expositions communes (CVE) sont potentiellement pertinentes et pourraient nécessiter d'être atténuées. De plus, des milliers de certificats d'application doivent être correctement maintenus pour garantir la disponibilité du service.
C'est à l'équipe SRE Logiciels de déterminer précisément les CVE à atténuer et les certificats à renouveler ou à remplacer pour assurer les performances et la sécurité des solutions SaaS d'IBM. Jusqu'à récemment, cela signifiait beaucoup de travail manuel. « Nous avions un volume de 1 000 à 2 000 CVE à traiter chaque nuit », explique Marc Velasco, ingénieur de fiabilité du site pour la plateforme SaaS d'IBM. « C'est comme un océan d'informations. » Et notre défi est de trouver les perles rares : les CVE que nous devons vraiment corriger. »
Auparavant, l'équipe SRE Logiciels abordait le défi des CVE comme de nombreuses autres équipes SRE du secteur. Ils avaient recours au logiciel Twistlock, qui fait partie de Palo Alto Prisma Cloud, pour signaler les CVE potentiellement pertinentes. Puis, différentes équipes, chacune responsable d'un aspect spécifique de la plateforme, procédaient à une analyse manuelle des CVE pour déterminer les priorités et les actions à entreprendre dans leur domaine. Par ailleurs, les équipes devaient identifier et atténuer manuellement les certificats non couverts par le système de gestion automatisé des certificats de l'organisation.
Ce travail était très chronophage. Disposant de ressources limitées, l'équipe cherchait constamment des moyens d'être plus efficace. « On ne peut pas multiplier les ingénieurs SRE à l'infini », explique Velasco. « Comment transformer cette masse d'informations en actions concrètes et priorisées ? »
Entrez dans l'univers d'IBM Concert.
Informations pilotées par l'IA : une meilleure compréhension des risques. Une hiérarchisation plus rapide.
L'équipe Software SRE automatise, grâce à Concert, l'analyse des CVE et la gestion des stocks de certificats.
Concernant les CVE, l'équipe intègre les données de scan de Twistlock dans Concert, qui produit des résumés écrits de chaque CVE, proposant des suggestions concrètes et opérationnelles pour corriger les vulnérabilités. Il produit également une carte interactive montrant comment chaque CVE se rapporte à toutes les zones de la plateforme IBM SaaS.
« Concert effectue la recoupement de données et nous fournit les informations contextuelles : voici le CVE, les risques associés, les mesures d'atténuation et leur applicabilité. Cela nous a été d'une grande aide », affirme Velasco. « Nous avions toutes ces différentes équipes qui travaillaient en silos sur la même opération, tandis que Concert nous rassemble et nous permet d'agréger ces informations. »
Velasco ajoute que l'équipe utilise la fonction de chat de Concert, alimentée par la plateforme IBM watsonx, pour approfondir sa compréhension des risques réels posés par les CVE. Cette connaissance approfondie leur permet d'accélérer la hiérarchisation des priorités et de traiter plus rapidement les éléments les plus critiques. « Nos équipes SRE peuvent poser des questions auxquelles il n’était pas possible de répondre auparavant : quelle est notre position en matière de risque dans l’ensemble de l’organisation, en ce qui concerne les logiciels IBM et la multitude d'équipes, de technologies et d'applications diverses ? Concert me permet de voir, pour une application donnée, spécifiquement quels composants ou packages introduisent réellement des risques, et à quel degré. Nous pouvons voir l'impact potentiel tout au long du cycle de vie du développement logiciel et dans les environnements de production, y compris en temps d'exécution. »
Pour les certificats, l'équipe utilise désormais Concert pour vérifier les certificats existants par rapport à la liste des certificats gérés. La solution vérifie automatiquement les éléments non gérés et alerte l'équipe des certificats expirés ou non gérés.
Enfin, l'équipe SRE Logiciel utilise également la fonctionnalité de gestion de workflow de Concert, qui s'intègre à des outils tels que JIRA, ServiceNow et Git. Cette fonctionnalité permet de rationaliser l'attribution et la gestion des tickets, ce qui accélère les réponses lorsque des mesures d'atténuation sont nécessaires.
Des processus plus rapides. Plus de temps pour le travail de fond.
Avant d’utiliser Concert, l'équipe Software SRE estimait qu'elle passait presque 90 heures par semaine à trier, analyser et corriger les CVE. Au cours des six premières semaines avec Concert, l'équipe a gagné 80 heures de travail manuel par semaine en moyenne et a accéléré les processus de correction des CVE de plus de 90 %*.
La gestion de l’inventaire des certificats peut nécessiter environ 4,5 heures par mois. Au cours du premier mois d’utilisation de Concert, l’équipe a effectué ces processus en cinq minutes environ, soit 98 % plus rapidement*.
Et avec autant de temps gagné, l’équipe peut faire davantage pour soutenir les solutions SaaS d’IBM. « Le plus important, c’est l’évolutivité qu’il apporte », déclare M. Velasco. « Cela nous permet d’augmenter nos ressources et de gérer plus de risques plus rapidement, d’une manière que nous ne pourrions tout simplement pas faire autrement. Et cela signifie que nos SRE peuvent se concentrer davantage sur l’automatisation et le codage pour améliorer la fiabilité de nos services hébergés. »
* Données recueillies auprès d'équipes déployant sur des clouds publics avec des services gérés ou SaaS existants et des outils et processus d'analyse de CVE et de gestion de certificats existants. Les équipes ont signalé des données provenant de divers fournisseurs de cloud et outils et processus d’analyse. Les données sont basées sur des estimations et sur le volume moyen d’analyse des certificats, ainsi que sur le volume hebdomadaire moyen de CVE et le workload d’analyse.
L’organisation IBM Software SRE est une équipe mondiale dédiée à la fourniture de SaaS de production hautement disponibles et évolutifs pour les produits logiciels d’IBM. L’équipe Software SRE assure l’approvisionnement, le déploiement, la surveillance, la maintenance et la gestion des incidents en normalisant les outils, les processus, l’automatisation, les manuels d’exécution et les pratiques. Elle travaille en étroite collaboration avec les équipes de développement IBM Software pour concevoir et mettre en œuvre les changements, en fournissant un service hautement résilient tout au long du cycle de vie du logiciel.
Mentions légales
© Copyright IBM Corporation 2024. IBM, le logo IBM, IBM watsonx et Concert sont des marques d’IBM Corp. enregistrées aux États-Unis et/ou dans d’autres pays. Les informations contenues dans le présent document étaient à jour à la date de publication initiale et sont susceptibles d’être modifiées à tout moment par IBM. Certaines offres mentionnées dans le présent document ne sont pas disponibles dans tous les pays où la société IBM est présente.
Microsoft, Windows, Windows NT et le logo Windows sont des marques commerciales de Microsoft Corporation aux États-Unis, dans d'autres pays, ou les deux.
Les exemples de clients sont présentés pour illustrer la façon dont ces clients ont utilisé les produits IBM et les résultats qu’ils ont pu obtenir. Les performances, coûts, économies ou autres résultats réels dans d’autres contextes d’exploitation peuvent varier.