CISA orders federal agencies to replace end-of-life edge devices
Mis à jour :
Directive CISA : Sécurisation des périphériques réseau critiques
L’Agence de cybersécurité et de sécurité des infrastructures des États-Unis (CISA) impose aux agences fédérales de remplacer les périphériques réseau en fin de vie (EOS). Ces équipements, tels que les routeurs, pare-feux et commutateurs réseau, qui ne reçoivent plus de mises à jour de sécurité de la part de leurs fabricants, exposent les systèmes fédéraux à des risques importants et à des exploitations par des acteurs malveillants avancés.
Points clés :
- Les périphériques réseau en fin de vie constituent une menace constante pour les systèmes d’information fédéraux.
- Ces dispositifs sont particulièrement vulnérables aux exploitations de failles récemment découvertes et non corrigées.
- La directive opérationnelle contraignante (BOD) 26-02 vise à prévenir l’exploitation de ces failles.
Vulnérabilités (non spécifiées dans l’article) :
Bien que l’article mentionne que ces appareils sont vulnérables aux “nouvelles failles non corrigées”, il ne détaille pas de CVE spécifiques.
Recommandations et délais :
- Action immédiate : Pour les appareils supportés par leur vendeur mais dont le logiciel est en fin de support et pour lesquels des mises à jour sont disponibles.
- Dans les trois mois : Réaliser un inventaire de tous les appareils figurant sur la liste des fin de support de la CISA.
- Dans les 12 mois : Mettre hors service les appareils ayant atteint leur fin de support avant la date d’émission de la directive.
- Dans les 18 mois : Remplacer tous les périphériques réseau identifiés en fin de support par des équipements supportés par le vendeur et recevant des mises à jour de sécurité actuelles.
- Dans les 24 mois : Mettre en place des processus de découverte continue pour identifier les périphériques réseau et maintenir des inventaires des équipements et logiciels approchant de leur statut de fin de support.
La CISA encourage également toutes les organisations de défense de réseau à suivre ces directives pour sécuriser leurs systèmes, données et opérations.