Mises à jour des bornes et du pare-feu : pourquoi il faut s’en occuper
En bref
Parce qu’une mise à jour corrige souvent une faille connue, et que le Centre pour la Cybersécurité Belgique constate que les failles des routeurs grand public sont exploitées en quelques jours. Sur un réseau UniFi, les mises à jour se programment ou s’automatisent. Il reste à décider qui les suit, quand elles s’installent, et comment on vérifie après.
Le réseau a été posé il y a trois ans. Les bornes Wi-Fi clignotent au plafond, le pare-feu ronronne dans l’armoire, et personne n’y a plus touché depuis. Tout fonctionne, alors pourquoi s’en occuper ? Parce que ces appareils sont de petits ordinateurs, avec un logiciel qui vieillit, et que ce logiciel est la première chose qu’un intrus regarde.
Cet article fait partie du guide de la maintenance du réseau d’entreprise, qui reprend tout le sujet.
Qu’est-ce qu’une mise à jour change, concrètement ?
Le logiciel interne d’un appareil réseau s’appelle le micrologiciel (firmware, en anglais). Une mise à jour peut faire trois choses :
- corriger une faille de sécurité découverte après la sortie de l’appareil ;
- corriger un défaut : une borne qui décroche, un réglage qui ne tient pas ;
- ajouter des fonctions, parfois utiles, parfois non.
Ubiquiti, le fabricant du matériel UniFi, présente les mises à jour comme le moyen de garder le système à son meilleur niveau et d’accéder aux dernières fonctions, et publie les notes de chaque version en ligne (Ubiquiti, UniFi Updates). Pour une PME, c’est surtout le premier point qui compte.
Pourquoi est-ce urgent quand une faille est publiée ?
Quand une faille est rendue publique, tout le monde la connaît, y compris ceux qui cherchent à l’exploiter. Le Centre pour la Cybersécurité Belgique (CCB) le dit sans détour pour les routeurs : il conseille de vérifier régulièrement si une mise à jour du micrologiciel existe et de l’installer sans délai, car les failles connues des routeurs grand public sont exploitées en quelques jours après leur publication (CCB, Votre Wi-Fi, une porte ouverte ?).
Le même article du CCB décrit le routeur laissé tel qu’il est sorti de l’usine comme une porte ouverte : mots de passe génériques, protocoles dépassés, micrologiciel resté dans sa version d’origine. Un pare-feu d’entreprise oublié dans une armoire court le même risque, avec plus à perdre derrière lui : les postes de la comptabilité, le serveur de fichiers, les caméras.
Quels appareils faut-il suivre ?
Tout ce qui fait passer vos données, et pas seulement les ordinateurs :
| Appareil | Ce qu’il protège ou transporte | Pourquoi le suivre |
|---|---|---|
| Pare-feu ou passerelle | L’entrée de tout le réseau | C’est lui qui fait face à Internet |
| Commutateurs | Les câbles de tous les bureaux | Ils portent les réseaux séparés |
| Bornes Wi-Fi | Les appareils sans fil, les visiteurs | Elles reçoivent n’importe quel téléphone |
| Console de gestion | Les réglages de tout le reste | Qui la contrôle contrôle le réseau |
La console est souvent oubliée. Sur UniFi, Ubiquiti distingue d’ailleurs les mises à jour de la console, celles de l’application et celles des appareils, qui se règlent dans l’application qui les gère (Ubiquiti).
Automatique ou à la main : que choisir ?
Le matériel UniFi laisse le choix : les mises à jour peuvent être automatisées, programmées, ou lancées à la main. Ubiquiti les rassemble dans un gestionnaire de mises à jour, accessible depuis le web ou depuis l’application mobile, avec un réglage du canal de versions : les versions publiées pour tous, ou les versions en accès anticipé (Early Access) (Ubiquiti).
Dans une PME, trois règles simples font l’essentiel :
- Rester sur les versions publiées pour tous. L’accès anticipé sert à essayer des nouveautés ; un réseau d’entreprise n’est pas un banc d’essai.
- Programmer les mises à jour en dehors des heures de travail. Un appareil qui se met à jour pendant une visio de l’équipe, personne n’en veut.
- Vérifier après. Les bornes ont-elles repris leur place, les réseaux séparés tiennent-ils, le lien de secours bascule-t-il toujours ? Une mise à jour réussie, c’est une mise à jour suivie d’un contrôle.
Pour une version qui change beaucoup de choses, on attend souvent d’avoir lu ses notes avant de l’installer. C’est le sujet de l’article UniFi Network : ce que la dernière version change pour une PME.
Et si la mise à jour échoue ?
Ubiquiti donne quelques causes courantes : l’appareil doit être en ligne pour se mettre à jour, les serveurs de noms (DNS) doivent répondre, et certains ports ne doivent pas être bloqués par la passerelle ou l’opérateur (Ubiquiti). Autrement dit, un échec dit souvent quelque chose du réseau lui-même. C’est une raison de plus pour que quelqu’un regarde le résultat, au lieu de supposer que tout s’est bien passé.
Les mises à jour suffisent-elles à protéger le réseau ?
Non. Elles referment des failles connues, elles ne rangent pas un réseau mal organisé. Les autres gestes restent nécessaires :
- changer les mots de passe d’usine des appareils, comme le recommande le CCB pour les routeurs (CCB) ;
- séparer les réseaux de l’équipe, des visiteurs et des caméras (Wi-Fi des visiteurs : pourquoi le séparer du réseau de votre entreprise ?) ;
- écrire des règles de pare-feu claires (Règles de pare-feu : ce qu’une PME devrait bloquer et autoriser).
L’ensemble est repris dans le guide de la cybersécurité du réseau pour une PME.
Qui doit s’en occuper chez vous ?
C’est la vraie question. Dans beaucoup de PME, le réseau a été posé par l’opérateur, un électricien ou un proche, et personne n’a été chargé de le suivre. Les mises à jour ne demandent pas des heures, mais elles demandent quelqu’un : qui reçoit l’alerte, qui choisit le moment, qui vérifie après, qui note la version installée. Sans nom en face de ces quatre gestes, elles ne se font pas. L’article Pas de service informatique : qui appeler quand le réseau de l’entreprise tombe ? part de la même situation.
Ce que fait SateLink
Romuald et son équipe posent des réseaux UniFi et en remettent les plans et les accès à la fin du chantier. Avec la maintenance Sérénité, le réseau est surveillé à distance, les mises à jour critiques sont appliquées et les failles connues surveillées. La documentation est tenue à jour, et des visites programmées contrôlent sur place ce qui ne se voit pas à distance, avec un audit annuel de l’installation.
Si votre réseau a été posé par quelqu’un d’autre, la reprise est possible après un audit, si les conditions sont réunies : l’audit dit ce qui peut rester tel quel et ce qu’il faut remettre en ordre d’abord. SateLink Solution est une entreprise indépendante, qui pose et configure ce matériel sans appartenir à ces sociétés.
En résumé
- Bornes, commutateurs, pare-feu et console ont un logiciel qui vieillit et qui se met à jour.
- Le CCB conseille d’installer sans délai les mises à jour des routeurs : leurs failles connues sont exploitées en quelques jours.
- Sur UniFi, les mises à jour s’automatisent ou se programment ; on reste sur les versions publiées pour tous, en dehors des heures de travail.
- Une mise à jour se vérifie après, et quelqu’un doit en être chargé.
L’appel de cadrage est gratuit : trente minutes pour faire le point sur les versions de votre réseau.
