Analyse et inventaire des actifs

Tout programme de gestion des vulnérabilités repose sur un fondement essentiel : savoir ce dont vous disposez. Un inventaire des actifs précis définit le périmètre des analyses ; tout élément qui en est absent constitue un angle mort non surveillé.

L’informatique fantôme, les instances infonuagiques oubliées et les conteneurs non gérés sont les endroits où les compromissions se dissimulent. Inventoriez d’abord, analysez ensuite.

L’inventaire moderne dépasse les serveurs :

• Hôtes physiques et virtuels, ordinateurs portables, équipements réseau.
• Instances infonuagiques, fonctions sans serveur, compartiments de stockage.
• Conteneurs et images.
• Logiciels installés et versions d’OS.
• Domaines exposés publiquement, adresses IP et certificats.

Pour chacun, suivez un responsable, un environnement et une criticité, pas seulement une adresse IP.

La découverte active sonde le réseau (balayages par requêtes d’écho, analyses de ports) pour trouver les hôtes actifs. Elle est exhaustive, mais génère beaucoup de bruit et peut manquer les actifs qui sont hors tension au moment de l’analyse.

La découverte passive observe le trafic, DHCP et les journaux pour repérer les actifs sans les sonder. Combinez les deux : la découverte passive offre une visibilité permanente, tandis que la découverte active apporte profondeur et vérification.

Cette distinction détermine la précision :

• Les analyses non authentifiées voient ce qu’un observateur externe peut voir : ports ouverts, bannières et services exposés. Leur profondeur est limitée et elles produisent davantage de faux positifs.
• Les analyses authentifiées (avec identifiants) se connectent et lisent les paquets installés, les niveaux de correctifs et la configuration. Elles sont beaucoup plus précises.

Privilégiez les analyses authentifiées pour les actifs internes ; réservez les analyses non authentifiées à l’observation de la surface d’attaque externe.

Les outils d’analyse réseau contactent les actifs selon un calendrier ; ils offrent une bonne couverture, mais ne voient pas les hôtes déconnectés ou temporaires.

Les agents installés sur les points de terminaison signalent leur état en continu, y compris pour les ordinateurs portables itinérants et les charges de travail infonuagiques éphémères. De nombreux programmes combinent les deux : des agents pour les points de terminaison gérés, et des analyses réseau pour l’Internet des objets, l’OT et les appareils non gérés.

Les outils d’analyse comparent les versions de logiciels et les configurations observées à une base de données de vulnérabilités indexée par des identifiants CVE et CPE.

• CVE — identifiant unique d’une vulnérabilité donnée.
• CPE — nom normalisé d’un produit ou d’une version.

Si un hôte utilise un CPE correspondant à des CVE connues, l’outil d’analyse le signale. La précision dépend d’une détection correcte des versions.

Les outils d’analyse ne sont pas parfaits :

• Faux positifs — signalés, mais pas réellement exploitables (par exemple, un correctif rétroporté masque la version réelle).
• Faux négatifs — non détectés en raison d’une authentification échouée, de ports bloqués ou de logiciels inconnus.

Les analyses authentifiées et la validation réduisent les deux types d’erreurs. Ajustez et vérifiez toujours les paramètres avant de transmettre les constats aux équipes de remédiation.

Les analyses ont un impact opérationnel. Préparez-les :

• Limitez la cadence afin de ne pas surcharger les systèmes fragiles ou les systèmes OT et anciens.
• Planifiez les analyses lourdes pendant les fenêtres de maintenance.
• Utilisez des modes de vérification sécurisés ; évitez les modules d’extension intrusifs en production.
• Coordonnez-vous avec le NOC afin que les analyses ne soient pas prises pour des attaques.

Une analyse qui fait tomber un contrôleur en production vous ferait perdre le mandat du programme.

Les actifs infonuagiques sont éphémères ; les inventaires statiques deviennent vite obsolètes. Utilisez une découverte pilotée par des interfaces de programmation :

• Interrogez les interfaces de programmation des fournisseurs de services infonuagiques pour obtenir les instances, les fonctions, les compartiments et les groupes de sécurité.
• Analysez les images de conteneurs dans le registre, pas seulement les conteneurs en cours d’exécution.
• Étiquetez les ressources lors de leur création afin d’automatiser l’attribution des responsables.

Intégrez les analyses à l’intégration et au déploiement continus afin de vérifier les images avant leur mise en production.

Un inventaire n’est utile que s’il est actualisé. Alimentez-le à partir de sources faisant autorité :

• Rapprochez les analyses réseau, les agents et les interfaces de programmation infonuagiques dans une source unique de vérité (CMDB).
• Signalez pour examen les actifs qui n’ont pas été vus depuis N jours.
• Déclenchez une alerte pour les actifs nouveaux ou inattendus (possible informatique fantôme).

Le pourcentage de couverture (actifs analysés par rapport aux actifs connus) est une métrique fondamentale du programme.

L’inventaire et les résultats d’analyse produisent des constats, mais le contexte les transforme en risques. Le fait d’étiqueter les actifs selon leur criticité, leur exposition et la sensibilité de leurs données vous permet de les hiérarchiser : un serveur stratégique exposé à Internet a priorité sur une VM de test isolée présentant le même CVE.

Ce contexte lié aux actifs alimente directement les techniques de hiérarchisation présentées ensuite.

Un inventaire précis est le fondement de la VM : suivez les hôtes, les ressources infonuagiques, les conteneurs, les logiciels et la surface externe, avec leurs responsables et leur criticité. Combinez découverte active et passive, privilégiez les analyses authentifiées ou par agent pour gagner en précision, et tenez compte des faux positifs, des faux négatifs et de la sécurité des analyses.

Maintenez l’inventaire à jour grâce à un rapprochement piloté par des interfaces de programmation, et ajoutez aux actifs leur contexte afin de pouvoir hiérarchiser les constats. Ensuite : comment décider ce qu’il faut corriger en premier à l’aide de CVSS, EPSS et KEV.