Les outils d'analyse de vulnérabilités peuvent générer des centaines de résultats, mais identifier une faille n'est que le point de départ. Les équipes doivent ensuite déterminer les actifs affectés, leur exploitabilité, les risques pour l'entreprise, la propriété des ressources et l'efficacité des mesures correctives.
Une évaluation des vulnérabilités permet de contextualiser ces éléments. Elle combine la découverte, la validation, la priorisation des risques, l'attribution des responsabilités et la vérification afin que les équipes puissent se concentrer sur les failles nécessitant une intervention. Ce guide explique le processus pour les terminaux, les réseaux, les applications, les API, les environnements cloud et les bases de données.
Qu’est-ce qu’une évaluation de la vulnérabilité ?
Une évaluation des vulnérabilités est un examen systématique des systèmes, applications, configurations et processus visant à identifier les failles de sécurité et à déterminer les risques qu'elles représentent pour l'organisation. Elle combine généralement l'analyse automatisée avec la validation, la contextualisation des actifs et la planification des mesures correctives.
Des vulnérabilités peuvent exister dans les logiciels, les services réseau, les autorisations cloud, les applications web, les API, les conteneurs, les bases de données et les configurations de périphériques. Elles peuvent être liées à une CVE connue ou à une interface d'administration exposée.
L'évaluation de la vulnérabilité est plus large que gestion des terminauxDes outils d'analyse et de sécurité spécialisés peuvent identifier les failles de sécurité dans les applications, les réseaux, les charges de travail cloud, les API et autres infrastructures. Pour les terminaux gérés, Scalefusion peut intervenir ultérieurement dans le processus lorsqu'une faille nécessite un correctif ou une action de mise en conformité, aidant ainsi les équipes informatiques à passer de l'identification du risque à sa correction et à sa vérification.
Que révèle une évaluation de la vulnérabilité
Selon son étendue, une évaluation de la vulnérabilité peut identifier :
- Système d'exploitation, micrologiciel et correctifs d'application manquants
- Logiciels non pris en charge, paramètres par défaut non sécurisés et chiffrement faible
- Ports exposés, services, outils d'accès à distance et erreurs de configuration sans fil
- Faiblesses connues des applications web et des API, notamment en matière d'authentification et de validation des entrées
- Autorisations cloud excessives, stockage public, secrets exposés et risques liés aux images de conteneurs
- Les appareils qui ne répondent plus aux exigences de sécurité minimales de l'organisation
Une évaluation ne prouve pas que chaque élément découvert est exploitable. Elle permet d'identifier les risques potentiels et les problèmes qui méritent une enquête ou une action prioritaire.
Résultats attendus de l'évaluation finale
Pour chaque constatation significative, le rapport doit consigner l'actif concerné, la description technique, les preuves, le score CVE et CVSS le cas échéant, l'exploitabilité, l'impact sur l'activité, la solution recommandée, le propriétaire, la date limite de correction et l'état de vérification.
Il devrait également indiquer la couverture obtenue, les conclusions critiques, les risques acceptés, les correctifs en retard, les causes profondes récurrentes et les décisions nécessaires de la part de la direction.
Pourquoi l'évaluation de la vulnérabilité est importante
Chaque nouveau point de terminaison, charge de travail cloud, mise à jour d'application et modification de configuration peut accroître la surface d'attaque. Des évaluations régulières permettent aux équipes d'identifier les failles avant qu'un attaquant ou un incident ne les exploite.
Réduire l'exposition avant que les attaquants n'exploitent les failles
Les attaquants exploitent souvent des failles connues et évitables : un serveur non patché, un dispositif VPN vulnérable, un environnement de développement exposé ou des identifiants réutilisés. Une évaluation régulière des vulnérabilités permet d’identifier ces problèmes au plus tôt et de réduire la durée pendant laquelle ils peuvent être exploités.
Il prend également en charge la gestion des correctifs basée sur les risques. Plutôt que de demander aux équipes de corriger chaque problème simultanément, l'évaluation identifie les systèmes exposés, les ressources exposées sur Internet, les failles exploitables et les services métiers critiques qui nécessitent une attention immédiate. Catalogue des vulnérabilités connues et exploitées de la CISA Il s'agit d'un signal utile pour déterminer si une faiblesse connue est activement exploitée dans la nature.
Soutenir la conformité, les audits et la confiance des parties prenantes
Les cadres de sécurité et les revues clients exigent souvent des preuves de gestion des vulnérabilités. Selon leur portée, les preuves d'évaluation peuvent contribuer aux activités de contrôle de sécurité, d'audit ou de gestion des risques. PCI DSS, ISO 27001, NIST Les exigences varient selon le cadre de référence, notamment en matière de directives ou de CIS.
Pour les auditeurs et les clients, la preuve la plus solide est une traçabilité reproductible de l'étendue, des constatations, de la responsabilité, de l'état de la correction, des exceptions et des résultats des nouveaux tests.
Types d'évaluations de la vulnérabilité
Le type d'évaluation dépend de l'environnement.
1. Évaluations du réseau, de l'hôte et du sans-fil
Les audits réseau examinent les hôtes accessibles, les ports ouverts, les services exposés et les protocoles non sécurisés. Les audits au niveau des hôtes analysent les terminaux afin de détecter les correctifs manquants, les logiciels obsolètes, les problèmes de configuration et les problèmes de privilèges. Les analyses authentifiées offrent une visibilité plus approfondie sur les correctifs et les logiciels.
Les évaluations des réseaux sans fil permettent de détecter les points d'accès non autorisés, les cryptages Wi-Fi faibles, les réseaux invités non sécurisés et les appareils non autorisés.
2. Évaluations des applications, des API et des bases de données
Les évaluations d'applications portent sur les sites web, les interfaces d'administration mobile et les applications métier. Elles permettent d'identifier les vulnérabilités des composants, les en-têtes non sécurisés, les erreurs de configuration et les failles d'authentification. Les évaluations d'API ajoutent des vérifications concernant les autorisations défaillantes, les points de terminaison exposés et la gestion des jetons.
Les audits de bases de données examinent les niveaux de correctifs, les contrôles d'accès, l'exposition du réseau, le chiffrement et la configuration. Une analyse coordonnée permet d'éviter toute interruption des charges de travail en production.
3. Évaluations de la surface d'attaque du cloud, des conteneurs et des sources externes
Les évaluations du cloud examinent la gestion des identités et des accès, le stockage public, les services exposés, les groupes de sécurité et les dérives de configuration. Les évaluations des conteneurs et de Kubernetes ajoutent les vulnérabilités des images, les secrets exposés, les autorisations des charges de travail et la configuration du cluster.
Les évaluations de la surface d'attaque externe se concentrent sur ce qui est visible depuis Internet : domaines, sous-domaines, certificats, services distants, informatique parallèle et actifs exposés.
Processus d'évaluation de la vulnérabilité : de la définition du périmètre à la correction
Définir le périmètre, les actifs et les règles d'évaluation
Commencez par un inventaire des actifs existants. Définissez les éléments à évaluer, le propriétaire de chaque actif, les environnements concernés, les périodes d'analyse, les identifiants et les règles de traitement des données. Incluez les comptes cloud, les terminaux distants, les intégrations SaaS et les tiers, le cas échéant.
Avant toute analyse, classez les actifs selon leur criticité métier et la sensibilité des données. Une vulnérabilité critique détectée sur un système de test isolé n'a pas la même incidence sur un service de paiement accessible en ligne.
Analyser, valider et hiérarchiser les résultats
Effectuez des analyses authentifiées et non authentifiées appropriées, puis enrichissez les résultats avec des données sur les actifs, l'exposition et les menaces. Validez les résultats les plus importants et déterminez si des mesures de contrôle compensatoires permettent de réduire le risque.
Privilégiez une approche qui dépasse la simple évaluation de la gravité de la vulnérabilité. Une décision pratique en matière de risques prend en compte le CVSS, la disponibilité des exploits, les preuves d'exploitation active, la probabilité d'EPSS, l'exposition à Internet, la criticité des actifs, les données sensibles, la facilité de déplacement latéral et les contrôles disponibles. CVE Des identifiants permettent de suivre les failles connues, mais n'oubliez pas que CVSS mesure la gravité technique, et non le risque commercial total.
Signaler, corriger et vérifier les correctifs
Créez des tickets de remédiation avec un responsable clairement identifié, une date d'échéance, des instructions de correction et des preuves. Les équipes peuvent appliquer des correctifs logiciels, modifier une configuration, supprimer des vulnérabilités, renouveler un secret ou appliquer un contrôle temporaire. Documentez les exceptions en précisant leur date d'expiration et le responsable des risques.
Après la correction, testez à nouveau le composant concerné. Ne classez pas un problème uniquement parce qu'un correctif a été déployé ; vérifiez qu'il n'est plus détectable. Analysez les schémas récurrents pour identifier les causes profondes.
Lorsque les évaluations identifient des faiblesses corrigibles ou liées aux politiques sur les terminaux gérés, les équipes informatiques ont besoin d'une remédiation contrôlée et d'une visibilité sur l'état des terminaux afin que les problèmes prioritaires puissent être résolus.
Lorsqu'un problème détecté sur un terminal géré peut être résolu à l'aide d'un correctif disponible, Scalefusion Gestion automatisée des correctifs Cet outil permet aux équipes informatiques de contrôler le déploiement des mises à jour et de surveiller l'état des correctifs. Les administrateurs peuvent consulter les mises à jour installées, en attente ou ayant échoué et utiliser les rapports de correctifs pour suivre l'historique des mises à jour sur les appareils gérés.
Liste de contrôle d'évaluation de la vulnérabilité
Utilisez cette liste de contrôle pour vous assurer que l'évaluation aboutit à un travail défendable et exploitable.
Avant l'évaluation
- Confirmer l'objectif, le périmètre, les exclusions et les règles d'engagement.
- Rapprocher l'inventaire des actifs avec les comptes cloud, les points de terminaison, les applications et les API.
- Identifier les propriétaires des actifs, leur criticité pour l'entreprise, les données sensibles et les fenêtres de maintenance.
- Choisissez les méthodes d'analyse, les identifiants, les limites de débit et les contacts d'escalade.
- Définir les critères de gravité, les SLA de remédiation et le processus d'exception.
Au cours de l'évaluation
- Exécutez des analyses de découverte et des analyses approuvées sur l'environnement concerné.
- Utilisez la numérisation authentifiée lorsque cela est approprié et sûr.
- Corréler les résultats avec les données CVE, les avis des fournisseurs et le contexte des actifs.
- Validez les résultats critiques et à haut risque avant de les signaler.
- Documentez les preuves, les versions concernées, les détails de l'exposition et l'impact sur l'activité.
Après l'évaluation
- Attribuer les responsables des travaux de remédiation et fixer les échéances en fonction du risque.
- Publier un rapport qui inclut les risques ouverts, les risques acceptés et les lacunes de couverture.
- Suivre les correctifs, les modifications de configuration et les contrôles compensatoires jusqu'à leur achèvement.
- Réeffectuer les tests sur les résultats corrigés et ne conclure qu'avec des preuves.
- Analyser les tendances et planifier la prochaine évaluation ou la prochaine analyse déclenchée par un événement.
Outils, techniques et sources de données
Les évaluations de vulnérabilité efficaces combinent automatisation et jugement humain. Aucun outil n'offre une couverture complète.
Scanners automatisés et validation manuelle
Les scanners de vulnérabilités identifient les failles connues dans les environnements de grande envergure. Parmi les catégories courantes, on trouve les scanners de réseau et d'hôtes, les scanners d'applications web, l'analyse de la composition logicielle, la gestion de la sécurité du cloud, l'analyse d'images de conteneurs et la gestion de la surface d'attaque.
La validation manuelle permet de déterminer la pertinence et l'exploitabilité des résultats importants, de réduire les faux positifs et d'éviter les corrections inutiles. Les tests doivent rester autorisés et respecter les règles d'engagement convenues.
Bases de données de vulnérabilité, renseignements sur les menaces et données sur les actifs
Les résultats d'analyse sont plus utiles lorsqu'ils sont associés à des sources fiables. Base de données nationale sur la vulnérabilité Ce système fournit des informations standardisées sur les vulnérabilités, tandis que les avis des fournisseurs expliquent les produits concernés et les correctifs. Les renseignements sur les menaces, les KEV de la CISA et la propriété des actifs permettent de déterminer où une découverte est la plus importante.
Analyse authentifiée vs non authentifiée
L'analyse non authentifiée révèle ce qu'un attaquant externe ou disposant de privilèges limités pourrait voir. Elle teste l'exposition publique et la configuration du périmètre. L'analyse authentifiée utilise des identifiants ou des agents autorisés pour examiner les niveaux de correctifs, les packages installés, la configuration et les paramètres de sécurité.
Utilisez les deux méthodes lorsque cela est possible. Les analyses non authentifiées peuvent révéler des vulnérabilités qu'une analyse interne ne détecte pas, tandis que les analyses authentifiées réduisent les angles morts au sein des systèmes gérés.
Évaluation des vulnérabilités : bonnes pratiques et pièges courants
La qualité du flux de travail est aussi importante que la qualité du scanner.
Priorisez en fonction du risque réel, et non uniquement de la gravité du scanner.
Considérez CVSS comme un point de départ, et non comme une file d'attente. Une vulnérabilité activement exploitée sur un système exposé à Internet peut être plus prioritaire qu'une vulnérabilité de score CVSS plus élevé sur un système isolé. Établissez des critères de priorisation convenus.
Réduire les faux positifs et les angles morts
Validez les anomalies à haut risque et assurez-vous de l'exactitude des informations relatives à la propriété des actifs. La couverture sera insuffisante si des terminaux, des conteneurs, des actifs SaaS ou des comptes cloud sont absents de l'inventaire. Documentez les exclusions et les systèmes non analysables comme risques résiduels.
Créer un système de responsabilisation, des SLA et une cadence continue
Les équipes de sécurité identifient les vulnérabilités et accompagnent les équipes ; les responsables de l’infrastructure, du DevOps, des applications et les responsables métiers mettent généralement en œuvre les correctifs. Définissez des SLA de remédiation par niveau de risque, suivez les exceptions et intégrez les résultats aux processus de gestion des changements et des mises en production. Établissez une fréquence d’évaluation en fonction de la criticité des actifs, de leur exposition, de la fréquence des changements et des exigences applicables. Certaines organisations évaluent les environnements à haut risque mensuellement et ceux à faible risque trimestriellement, avec des analyses supplémentaires après des changements majeurs, des incidents ou la divulgation de vulnérabilités importantes.
Pour les résultats des points de terminaison liés aux règles de conformité prises en charge, Veltar Conformité automatisée Cet outil peut aider les équipes à surveiller la conformité, à identifier les appareils non conformes, à faciliter la correction des problèmes et à générer des rapports de conformité. Il complète le processus de correction, mais ne remplace pas les outils d'évaluation des vulnérabilités qui détectent les failles de sécurité dans les réseaux, les applications, les environnements cloud ou autres infrastructures.
Gestion des vulnérabilités vs Évaluation des vulnérabilités vs Tests d'intrusion
Ces activités se recoupent, mais elles répondent à des questions différentes.
En quoi chaque activité diffère
| Activité | Objectif principal | Sortie typique | Quand l'utiliser |
|---|---|---|---|
| Analyse de vulnérabilité | Détecter les faiblesses connues potentielles | Résultats techniques bruts | Pour une couverture technique fréquente et étendue |
| Évaluation de la vulnérabilité | Valider, prioriser et planifier les corrections | Rapport d'évaluation des risques et plan de remédiation | Lorsque les conclusions nécessitent un contexte sur les actifs, la propriété et les priorités de remédiation |
| Gestion des vulnérabilités | Découvrir, corriger, vérifier et signaler en continu. | Cycle de vie et indicateurs en cours | Mener l'évaluation et la remédiation dans le cadre d'un programme continu |
| Tests de pénétration | Exploiter en toute sécurité certaines faiblesses pour démontrer l'impact | Récit de l'attaque, preuves et recommandations | Pour tester l'impact réaliste ou l'efficacité de contrôles importants |
Quand utiliser chacun
Ces activités fonctionnent au mieux en tant que couches complémentaires : l’analyse permet une découverte générale, l’évaluation ajoute du contexte et des priorités, la gestion des vulnérabilités maintient le cycle de vie de la remédiation et les tests d’intrusion testent plus en profondeur les chemins d’attaque sélectionnés.
FAQ
1. L'évaluation des vulnérabilités est-elle la même chose que l'analyse des vulnérabilités ?
Non. L'analyse des vulnérabilités n'est généralement qu'une étape parmi d'autres dans le cadre d'une évaluation complète des vulnérabilités. Cette évaluation comprend également la définition du périmètre, la validation, la priorisation, la rédaction de rapports, l'attribution des responsabilités et la planification des mesures correctives.
2. À quelle fréquence une évaluation de la vulnérabilité doit-elle être réalisée ?
De nombreuses organisations évaluent leurs environnements critiques mensuellement ou trimestriellement, mais la fréquence optimale dépend des risques, du volume des changements et des exigences réglementaires. Il est recommandé de réaliser des évaluations supplémentaires après les mises à jour majeures, les nouveaux déploiements, les modifications apportées au cloud, les incidents, les fusions ou les divulgations de vulnérabilités à fort impact.
3. Que doit contenir un rapport d'évaluation de la vulnérabilité ?
Incluez les actifs concernés, la description des vulnérabilités, leur gravité et leur exploitabilité, l'impact sur l'activité, les preuves, les recommandations de remédiation, les responsables, les échéances, les exceptions, le risque résiduel et les résultats de la vérification. Un résumé analytique doit également présenter la couverture, les risques critiques, les actions en retard et les tendances.
4. Une évaluation de la vulnérabilité peut-elle détecter les vulnérabilités zero-day ?
Les évaluations sont particulièrement efficaces pour identifier les vulnérabilités et les erreurs de configuration connues. Les risques liés aux failles zero-day peuvent nécessiter, en plus des évaluations de routine, des renseignements sur les menaces, une surveillance comportementale, une revue de code, une revue de configuration, des techniques de détection ou des tests d'intrusion.
5. Quelle est la différence entre une évaluation de la vulnérabilité et un test d'intrusion ?
Une évaluation de vulnérabilité permet d'identifier et de hiérarchiser les faiblesses. Un test d'intrusion vise à exploiter certaines de ces faiblesses, selon des règles convenues, afin de démontrer un impact réaliste et des vecteurs d'attaque possibles.
6. Qui est responsable de la correction des vulnérabilités après une évaluation ?
La responsabilité est partagée. Les équipes de sécurité coordonnent les décisions relatives aux risques ; les équipes d’exploitation, DevOps, responsables d’applications et équipes cloud mettent généralement en œuvre les modifications ; et les responsables de la gestion des risques approuvent les exceptions. Des accords de niveau de service (SLA) clairs concernant la responsabilité et la correction permettent d’éviter que les problèmes identifiés ne deviennent une source de contravention permanente.
L'évaluation des vulnérabilités n'est utile que si elle permet de transformer la visibilité en réduction des risques avérée. Commencez par définir précisément le périmètre et le contexte des actifs, hiérarchisez les faiblesses exploitables par les attaquants, désignez des responsables et testez à nouveau chaque correctif important.
Transformez les résultats pertinents des analyses de points de terminaison en actions correctives traçables grâce à Scalefusion. Déployez les correctifs compatibles, surveillez leur état et leur conformité, corrigez les écarts de conformité pris en charge et utilisez les rapports de points de terminaison pour suivre les progrès sur l'ensemble des appareils gérés.
