En 2 mots
Appliquez tous les correctifs connus aux failles de sécurité avec Microsoft MBSA (ou Microsoft HFNetChk Pro pour l'entreprise)
Mettez à jour tous les logiciels installés (pas de manière automatique mais en vous informant environ 1 fois par mois).
Désactivez WSH avec NoScript
Désactivez ActiveX (même si vous n'utilisez pas Internet Explorer et OutLook)
Utilisez FireFox à la place d'Internet Explorer (qui est un générateur de failles à flux continu)
Utilisez Thunderbird à la place de OutLook ou OutLook Express (qui s'appuient sur Internet Explorer et ses failles)

Pour aller plus loin
Utilisez un système pro-actif contre les failles non encore corrigées : Qwick-Fix

Pour comprendre
Que sont les "failles de sécurité" ?


Vous avez le choix entre :

1. Appliquer les correctifs de tous les logiciels que vous utilisez. Pas forcément avoir les toutes dernières versions de ces logiciels (il est préférable d'utiliser des logiciels ayant 6 mois à un an d'existence au minimum et laisser très courtoisement le voisin essuyer les plâtres) mais avoir des versions sur lesquelles ont été appliqués tous les correctifs offerts par les développeurs.
   
   
2. Utiliser des alternatives. Changer de logiciels pour en utiliser des moins connus, moins "usines à gaz" et de préférence en "open source". Ils sont moins attaqués et contiennent moins d'erreurs. Certains open source sont gratuits. Open source : logiciels dont les codes sources sont publics^(*) et sur lesquels travaillent d'importantes communautés de bénévoles passionnés - ce type de logiciels est souvent très "pointu" sans être les usines à gaz commerciales dont on n'utilise que 2 ou 3% de ce qu'il y a dedans et, les sources étant publics, on est assuré de leur innocuité (il n'y a pas de code malicieux genre spywares, traceurs, guid etc. ... - ce qui n'exclut pas qu'il y ait des failles de sécurité - mais en beaucoup moins grand nombre et avec une très grande réactivité de la communauté des développeurs - et, en sus, actuellement, ces failles n'intéressent pas les pirates car trop peu de monde utilise ces logiciels moins connus).
   
   ^(*) nota pour les non informaticiens qui ont la gentillesse de me relire en détail et prennent le temps de corriger et me signaler mes fautes d'orthographes - ici, il n'y en a pas - "publics" est bien au masculin pluriel : ce sont LES "codes source" - un terme barbare et masculin de notre jargon, qui sont "publics" et non pas LES sources (d'inspiration ?) qui seraient "publiques".
   
   
3. Tester la pénétrabilité de votre système.
   
   
4. Tester l'étanchéité de votre système.
   
   
5. Tester les vulnérabilités de votre système.
   
   
6. Installer une détection d'intrusion - IDS
   
   
7. Installer un piège à pirate - HoneyPot
   
   

1/ Appliquer les correctifs
Il y a 3 méthodes. Utiliser, éditeur par éditeur, les correctifs en ligne ou utiliser un outil multi-éditeurs ou chercher les correctifs hors ligne.

Règle de prudence : soyez grand seigneur et laissez votre voisin passer le premier (passer les patchs, s'entend). Qui a oublié les patchs qui créaient plus de problèmes qu'ils n'en corrigeaient et qui nécessitaient un patch du patch puis un patch du patch du patch. Pour mémoire, par exemple, le SR-1 d'Office 97 ne permettait plus, en toute simplicité, d'enregistrer ses modifications sur un document ! Alors est sorti le SR-2 qui corrigeait le correctif et... qui plantait la machine de temps en temps ! Il aura fallu encore 1 mois à Microsoft pour sortir le correctif du correctif du correctif ! Et le patch de 28 mars 2002 sur Win 2000 et Win XP ! Et le 811493 de Microsoft encore...

Lorsqu'il y a tout de même urgence, dans les grands réseaux, on prendra la précaution d'installer les patchs sur une machine dédiée à cela (ou un mini réseau dédié) et on testera en conditions similaires aux conditions d'exploitations habituelles avant de déployer les correctifs. Ce qui signifie aussi que les outils de détection de failles et de recherches de correctifs (point 2 ci-dessous) ne doivent pas être autoriser à déployer automatiquement les patchs dès qu'ils les trouvent.

1. Correctifs en ligne, éditeur par éditeur
   Allez régulièrement sur les sites des éditeurs de vos logiciels et appliquer toutes les mises à jour disponibles avec les moyens proposés par chaque éditeur. Bien sûr il faut avoir des licences légales des logiciels. Tout ceci s'appelle Patchs, Service Packs (SP1, SP2...), Service Releases (SR1, SR2...), Cumulative Patch, Update Rollup etc. ... L'éditeur doit installer une tâche balayant vos disques durs à la recherche de ses produits, langue, version etc. ... La technique actuelle consiste à installer un contrôle ActiveX.
   
   Pour Microsoft, utilisez :
   Microsoft HotFix
   Microsoft MBSA
   Microsoft Service Packs
   
   N'installez pas ou ne réinstallez pas certains dispositifs que Microsoft va vous proposer et que vous avez déjà éradiqués si vous avez suivi tous les conseils de ce site (comme la désactivation de UPnP et des "Notification de mises à jour critique" etc. ... qui sont d'énormes failles de sécurité, des spywares, des backdoors etc. ...).
   
   D'autre part, en allant sur le site de Windows Update, les mises à jour sont directement installées et les procédures de mises à jour ne sont pas conservées sur votre disque dur - elles sont effacées aussitôt : s'il faut recommencer plus tard, il faudra à nouveau se connecter et laisser Microsoft balayer encore nos disques durs puis re-télécharger les mises à jour (1 heure 1/2 avec un modem pour installer IE par exemple !). Donc le coup du cd-rom chez le marchand de journaux (voir ci-après) est un très bon plan.
   
   Nota :
   Si vous arrivez à préciser, lors de la connexion avec un site de mise à jour, que vous souhaitez des mises à jour pour plusieurs ordinateurs, vous recevez parfois une version complète utilisable hors ligne (connexion coupée). Ces mises à jour, dites "de réseau" ou "déployables" sont téléchargées et restent sur votre disque dur - à charge pour vous de les installer une ou plusieurs fois - mais cette possibilité ne saute pas aux yeux sur les pages de Microsoft.
   
   
   
2. Correctifs en lignes avec un utilitaire multi-éditeurs :
   Ces outils sont appelés "Automated Vulnerability Remediation tools" ou "Patch management tools". Certains se souviennent du site du CNET et de son service CNet CatchUp. Ce service totalement gratuit devait mobiliser plusieurs personnes à temps plein. Il n'existe plus. Il agissait de la même manière que Windows Update de Microsoft, pour les produits Microsoft mais aussi pour tous les autres produits de quasiment tous les éditeurs de logiciels, y compris pour les versions de démonstration, les drivers, les utilitaires gratuits, les jeux etc. ... D'un emploi très simple, ce site était devenu un must depuis des années. C'était le pivot planétaire des mises à jour (et de bien d'autres choses). Bien sûr, son comportement était suspect d'espionnage comme Windows Update (une petite tâche de 211 KO s'installait sur le disque système, balayait tous les supports et remontait la liste des moindres logiciels installés avec leurs numéros de version, langue etc. ...) mais Dieu que c'était pratique (j'avoue que j'y allais).
   
   De quoi disposons nous aujourd'hui ? Il y a plusieurs solutions disponibles mais toutes très professionnelles et très onéreuses, à commencer par le grand frère de Microsoft MBSA, le service HFNetChk Pro. Ces solutions ne concernent donc que les grands comptes.
   
   • Microsoft HFNetChk Pro (Microsoft Hot Fix Net Checker)
   • Citadel Hercules
   • St. Bernard Update Expert
   • TotalCOMMAND
   • BigFix (contrats de fourniture de mises à jour en "push", il existe une solution gratuite pour particuliers)
   • Microsoft SUS (Software Update Services)
   • SecurityExpressions
   • LANGuard de GFI software
   • SMS (Systems Management Server) Microsoft?
   • PatchLink
   • BackWeb (contrats de fourniture de mises à jour en "push", implanté de base, avec de nombreux constructeurs d'ordinateurs)
   • McAfee Oil Change Online ?
     
     
   • Qwick-Fix ajoute des correctifs ou des contournements aux failles non encore corrigées par les éditeurs de logiciels.
     
3. Correctifs hors ligne
   Est-ce que quelqu'un pense, sérieusement, qu'en allant sur les sites de Microsoft "Windows Update", "Office Update" et autres du même genre, aucune information n'est envoyée ?
   
   Regardez la presse informatique.
   
   

2/ Utiliser des alternatives
Il existe des alternatives propres (open source) à quasiment tout et, souvent, de meilleur qualité et gratuit. Tout en conservant Windows pour ceux qui hésitent encore à franchir le pas vers Linux, il est possible d'utiliser un autre navigateur, un autre traitement de texte, un autre tableur, un autre logiciel de retouche d'image, un autre agenda, un autre lecteur multimédia, un autre client de messagerie, un autre etc. ...

1. Changer de navigateur
   Alternatives navigateurs
   
   
2. Autres alternatives
   Autres alternatives
   
   

3/ Tests de pénétration
Voir tous les tests de pénétration on-line (scans de ports) et le test UPnP. Si ces tests sont "gentillets" (sauf Security Space qui est un service Web profesionnel ouvert gratuitement aux particuliers) pour le particulier (et servent, accessoirement, à vendre du pare-feu (firewall)), ils sont totalement insignifiants pour le service informatique d'une entreprise. Les grandes structures se pencheront sur des outils professionnels comme Core Impact ou embaucheront du monde (d'anciens super hackers par exemple).


4/ Tests d'évasions - Leak Test
Voir tous les leak test. Complément aux tests de pénétration, beaucoup plus importants qu'eux car ils mettent en évidence les failles des firewall en utilisant les techniques avancées de contournement des produits de piratage les plus "pointus".


5/ Tests de vulnérabilité
Concerne les grands comptes et pas le particulier. Il y a plusieurs produits sur le marché, commerciaux et plutôt orientés grands comptes, ainsi que deux outils en open sources.

Nouvelle adresse du site Assiste.com depuis le 22 octobre 2012 : http://assiste.com