Prioriser et corriger les résultats

Une analyse de vulnérabilités classique en entreprise renvoie des milliers de résultats. Sans approche systématique de priorisation, les équipes finissent soit par tous les ignorer, soit par intervenir au hasard. Une correction efficace commence par un triage.

Le score de base CVSS fournit une référence de gravité indépendante du fournisseur. Commencez par les niveaux Critique (9,0 et plus) et Élevé (7,0–8,9). Cependant, CVSS seul ne suffit pas : il ne tient pas compte de votre environnement particulier ni de la possibilité d’exploitation.

Ajustez la priorité en fonction de la criticité de la ressource (s’agit-il d’un serveur de paiement ?), de son exposition à Internet (le port est-il accessible depuis l’extérieur ?), de la sensibilité des données (stocke-t-elle des PII ou des identifiants ?) et des mesures compensatoires.

Les scores EPSS prédisent la probabilité d’une exploitation au cours des 30 prochains jours. Une vulnérabilité présentant un CVSS élevé et un EPSS faible, sans code d’exploitation connu, peut être moins urgente qu’une vulnérabilité présentant un CVSS moyen et un EPSS élevé, qui fait l’objet d’une exploitation active dans la nature.

Le catalogue KEV de la CISA répertorie les CVE dont l’exploitation active est confirmée. Toute CVE figurant dans la liste KEV doit être traitée comme prioritaire, quel que soit son score CVSS.

Construisez une matrice simple : CVSS × Criticité de la ressource × Exposition Internet = Score de risque. Corrigez d’abord les éléments Critique × Critique × Externe ; reportez à des cycles ultérieurs les éléments Faible × Interne × Sans exploitation connue.

Priorisez → attribuez une tâche au responsable → définissez la SLA (Critique : 24 h, Élevé : 7 jours, Moyen : 30 jours, Faible : 90 jours) → vérifiez l’installation du correctif → effectuez une nouvelle analyse pour confirmer la clôture.

De nombreux résultats sont dus à des erreurs de configuration et non à l’absence de correctifs : panneaux d’administration ouverts, identifiants par défaut, messages d’erreur trop détaillés et listes de répertoires. Ces problèmes se corrigent souvent en modifiant la configuration, sans interruption de service.

Une bonne demande comprend : l’identifiant CVE, l’hôte et le service concernés, le score CVSS, les éléments probants (sortie de l’analyseur), les étapes détaillées de correction, les étapes de vérification et l’échéance. Éliminez toute ambiguïté : les développeurs ne devraient pas avoir besoin de rechercher eux-mêmes le correctif.

Suivez le délai moyen de correction (MTTR) par niveau de gravité. Communiquez chaque semaine à la direction les taux de conformité aux correctifs. L’analyse des tendances révèle si votre niveau de sécurité s’améliore ou se dégrade.

Documentez les faux positifs acceptés en indiquant la justification et l’approbation du réviseur. Réévaluez chaque trimestre les exceptions acceptées. La suppression de faux positifs sans documentation constitue une dette technique.

Quelle ressource répertorie les CVE activement exploitées dans la nature ?

Une gestion efficace des vulnérabilités repose sur le triage, non sur la perfection. Utilisez CVSS comme référence de base, EPSS pour la probabilité d’exploitation, KEV pour les exploitations confirmées dans la nature, et le contexte de l’actif pour ajuster la priorité. Rédigez des tickets clairs, définissez des accords de niveau de service et mesurez le MTTR afin de démontrer une amélioration continue aux parties prenantes.