Évaluation CVSS et priorisation des vulnérabilités

After avoir exécuté une analyse des Vulnerabilities, une organisation peut découvrir des centaines ou des milliers de Vulnerabilities dans ses Systems. Essayer de tout corriger IMMEDIATELY n’est ni possible ni stratégique : les ressources sont limitées et toutes les Vulnerabilities ne présentent pas le même risque. La Vulnerability Prioritization consiste à classer les Vulnerabilities selon le risque réel qu’elles représentent pour l’organisation, afin de traiter les problèmes les plus dangereux en premier. Une Prioritization efficace évite l’erreur courante qui consiste à corriger des problèmes esthétiques mineurs tandis qu’une Vulnerability critique d’exécution de code à distance attend dans la file.

Le Common Vulnerability Scoring System (CVSS) est un Framework ouvert qui fournit un Score numérique standardisé (0.0-10.0) représentant la gravité d’une Vulnerability de sécurité. CVSS est géré par FIRST (Forum de réponse aux incidents et des équipes de sécurité) et constitue le principal système de Scoring utilisé dans la NVD (base de données nationale des Vulnerabilities). La version actuelle, CVSS v3.1, calcule les Scores à partir de trois groupes de métriques : Base (caractéristiques intrinsèques de la Vulnerability), Temporal (facteurs qui évoluent dans le temps) et Environmental (modificateurs propres à l’organisation). Seul le Base Score est obligatoire ; les autres permettent d’affiner l’évaluation et restent facultatifs.

Le Base Score est calculé à partir de deux groupes de métriques. Les métriques d’Exploitability décrivent la manière dont la Vulnerability peut être attaquée : Attack Vector (AV) — Network (à distance), Adjacent, Local ou Physical ; Attack Complexity (AC) — Low ou High ; Privileges Required (PR) — None, Low ou High ; User Interaction (UI) — None ou Required. Une Vulnerability exploitable via le réseau, sans authentification ni interaction de l’User, obtient le Score d’Exploitability le plus élevé (AV:N/AC:L/PR:N/UI:N). Ces facteurs sont combinés aux métriques d’Impact pour produire le Base Score.

Les métriques d’Impact mesurent les conséquences sur les trois dimensions de la triade CIA lorsqu’une Vulnerability est Exploited. Confidentiality Impact (C) — None, Low ou High (quantité de données pouvant être divulguées). Integrity Impact (I) — None, Low ou High (quantité de données pouvant être modifiées). Availability Impact (A) — None, Low ou High (importance de l’interruption du service). Scope (S) — Unchanged ou Changed (la question de savoir si l’Impact de la Vulnerability s’étend au-delà du composant Vulnerable, à d’autres composants ou Systems). Un Scope Changed signifie qu’une Vulnerability Exploited avec succès peut affecter des Systems au-delà de son périmètre initial, ce qui augmente fortement le Score.

Les métriques Temporal ajustent le Base Score en fonction de facteurs qui évoluent dans le temps. Exploit Code Maturity (E) — indique si un Exploit fonctionnel existe (Unproven, Proof-of-Concept, Functional, High). Une Vulnerability pour laquelle un Exploit militarisé est disponible publiquement est plus urgente qu’une Vulnerability sans Exploit Known. Remediation Level (RL) — Official Fix, Temporary Fix, Workaround ou Unavailable. Une Vulnerability pour laquelle le fournisseur propose un correctif officiel est moins urgente qu’une Vulnerability sans correctif. Report Confidence (RC) — Unknown, Reasonable ou Confirmed. Une Vulnerability Confirmed et reproduite par de nombreuses personnes est évaluée avec davantage de fiabilité qu’un signalement non Confirmed.

Les métriques Environmental permettent aux organisations de personnaliser le Score CVSS en fonction de leur contexte particulier. Les Modified Base Metrics permettent de modifier n’importe quelle métrique Base pour refléter l’environnement (par exemple, une Vulnerability accessible par le réseau peut avoir AV:L si ce service n’est accessible que localement dans la configuration concernée). Les valeurs de CIA Requirement (Low, Medium, High) reflètent l’importance de chaque dimension CIA pour l’organisation : un hôpital peut attribuer la valeur High à Availability pour les Systems de surveillance des patients, tandis qu’un établissement de recherche peut accorder la priorité la plus élevée à Confidentiality. Le Scoring Environmental tient compte du contexte et rend CVSS plus utile pour les décisions réelles de Prioritization.

Trois Systems associés fonctionnent conjointement avec CVSS. CVE (Common Vulnerabilities and Exposures) est une liste de Vulnerabilities de sécurité connues du public, chacune possédant un identifiant unique (CVE-2021-44228 correspond à Log4Shell). CWE (Common Weakness Enumeration) catégorise les types de faiblesses logicielles (CWE-79 correspond à XSS, CWE-89 à SQL Injection) : il classe la cause racine plutôt qu’un cas particulier. La NVD (National Vulnerability Database) enrichit les entrées CVE avec des Scores CVSS, des références, les gammes de produits concernés et des liens de correction. Les équipes de sécurité s’abonnent à la NVD et aux avis des fournisseurs pour être informées des nouveaux CVEs pertinents pour leur inventaire logiciel.

Les Scores CVSS représentent la gravité technique prise isolément, mais ne tiennent pas compte du contexte de l’organisation. La Prioritization fondée sur le risque ajuste l’urgence de la correction en fonction de plusieurs facteurs : la criticité des actifs (un système ERP critique est prioritaire par rapport à un serveur de test), l’Exploitability dans la nature (le catalogue KEV — Known Exploited Vulnerabilities de CISA — répertorie les CVEs activement exploités), l’Exposure (le système Vulnerable est-il exposé à Internet ?) et les contrôles compensatoires (un WAF bloque-t-il le chemin d’attaque ?). Une Vulnerability avec un CVSS de 7.5 sur un système essentiel à l’activité, critique et exposé à Internet, avec un Exploit public, peut être bien plus urgente qu’une Vulnerability avec un CVSS de 9.0 sur un serveur de test interne isolé.

Plusieurs Frameworks et outils améliorent la Prioritization fondée sur CVSS. EPSS (Exploit Prediction Scoring System) estime la probabilité qu’un CVE soit Exploited dans la nature au cours des 30 prochains jours, grâce à l’apprentissage automatique appliqué aux données de renseignement sur les menaces. EPSS High + CVSS High = priorité maximale. SSVC (Stakeholder-Specific Vulnerability Categorization) est un arbre de décision de CISA/Carnegie Mellon qui prend en compte l’état de l’Exploitation, l’Impact sur la sécurité et les infrastructures critiques, ainsi que le caractère essentiel du système pour la mission. Ces Frameworks aident les organisations à aller au-delà d’un simple tri par Score CVSS et à prendre des décisions de correction réellement fondées sur le risque.

Les professionnels de la sécurité doivent traduire les Scores CVSS techniques en termes métier pour permettre à la direction de prendre des décisions. Au lieu de dire : « Nous avons une RCE avec un CVSS de 9.8, sans authentification, sur notre serveur Web public », dites : « Un attaquant sur Internet peut prendre le contrôle complet de notre site destiné aux clients sans aucun identifiant, accéder potentiellement aux 500 000 dossiers clients et à notre système de traitement des paiements ; nous devons appliquer le correctif du fournisseur ou mettre le serveur hors ligne dans les 24 heures. » Présenter l’Impact métier (données exposées, pertes financières, conséquences réglementaires) accélère davantage la prise de décision des dirigeants que les Scores bruts seuls.

La Vulnerability Prioritization n’a de valeur que lorsqu’elle est reliée à un processus efficace de gestion des correctifs. Le cycle de gestion des Vulnerabilities comprend : Identify (analyser), Analyze (CVSS + contexte), Prioritize (classement des risques + SLA), Remediate (déploiement des correctifs via SCCM/Intune/Ansible), Verify (effectuer une nouvelle analyse pour Confirmed la correction) et Report (présenter les tendances à la direction). Les outils de gestion des correctifs automatisent le déploiement à grande échelle tout en indiquant quels Systems ont été corrigés et lesquels restent exposés. Le délai SLA de correction commence lorsqu’une Vulnerability est découverte ; la fréquence des analyses influe donc directement sur le délai moyen de correction.

Vérifiez votre compréhension des notions de CompTIA Security+ (SY0-701) abordées dans cette Lesson.

Dans cette Lesson, vous avez appris que : CVSS évalue les Vulnerabilities sur une échelle de 0.0 à 10.0 à l’aide de métriques Base (Exploitability + Impact), Temporal (maturité de l’Exploit + disponibilité du correctif) et Environmental (contexte de l’organisation) ; le catalogue KEV de CISA et les Scores EPSS améliorent la Prioritization fondée sur CVSS en identifiant les Vulnerabilities activement Exploited dans la nature ; et une gestion efficace des Vulnerabilities relie les résultats des analyses aux processus de gestion des correctifs, avec des SLA définis selon la gravité. Ce module consacré à la gestion des Vulnerabilities est terminé ; nous abordons ensuite la sécurité des applications et l’OWASP Top 10.