Facebook Google Plus Twitter LinkedIn YouTube RSS Menu Rechercher Ressource - BlogRessource - WebinaireRessource - RapportRessource - Événementicons_066 icons_067icons_068icons_069icons_070

Blog Tenable

S'abonner
  • Twitter
  • Facebook
  • LinkedIn

Une évaluation limitée aux CVE rend les entreprises plus vulnérables aux attaques

Une évaluation limitée aux CVE rend les entreprises plus vulnérables aux attaques

Les CWE et autres vulnérabilités nécessitent l'utilisation d'un dashboard unique pour effectuer une évaluation complète des cyber-risques 

De plus en plus de professionnels de la cyber-sécurité font évoluer leurs programmes de gestion des vulnérabilités traditionnelle vers une priorisation des efforts de remédiation, sur la base des vulnérabilités qui représentent le plus grand risque pour l'entreprise. C'est sûrement une avancée dans la bonne direction, mais cela signifie aussi que la plupart des entreprises se concentrent exclusivement sur les vulnérabilités et exploits les plus courants (CVE). 

L'écrasante majorité des professionnels de la cyber-sécurité estime que les CVE et les vulnérabilités sont la même chose, que ce sont des termes interchangeables. Mais on pourrait définir une « vulnérabilité » comme suit : une faiblesse dans les systèmes d'information, les procédures liées à la sécurité système, les contrôles internes ou les implémentations, susceptible d'être exploitée par une source de menaces. En d'autres termes, une vulnérabilité correspond à tout ce qui expose votre entreprise à une cyber-attaque. 

Une CVE non corrigée correspond à cette définition, mais elle n'est pas la seule à le faire. Peu importe la manière, tout ce qui intéresse les attaquants, c'est de pénétrer dans un système. Ils emprunteront le chemin offrant le moins de résistance pour obtenir un accès, quel qu'il soit. Si un voleur préfère habituellement passer par la porte de derrière, il n'hésitera pas à emprunter une fenêtre laissée ouverte au rez-de-chaussée, si l'occasion se présente. C'est pourquoi il est essentiel de découvrir et comprendre toutes vos vulnérabilités avant de développer un plan complet pour les traiter.

Cette liste n'est pas exhaustive, mails voici quelques vulnérabilités majeures à prendre en considération :

  • Énumération des faiblesses courantes (CWE)
  • Top 10 de l'OWASP (Open Web Application Security Project)
  • Vulnérabilités Zero Day
  • Mauvaises configurations ou erreurs dans la gestion des accès
  • Mauvaises configurations au niveau des réseaux/infrastructures
  • Mauvaises configurations accidentelles ou intentionnelles dans les environnements industriels

Ces vulnérabilités, ou failles, apparaissent dans des domaines très différents de la surface d'attaque. Elles représentent chacune un ensemble unique de défis qui nécessitent des compétences particulières pour un traitement efficace. Les vulnérabilités des assets matériels dans les environnements IT traditionnels sont le plus souvent des CVE ayant été identifiées et définies au préalable pour que les professionnels de la sécurité puissent déterminer le niveau de risque que chacune d'elles représente pour l'entreprise, mais aussi pour que les équipes IT puissent s'atteler directement à la neutralisation de la menace en appliquant les correctifs appropriés et autres méthodes de remédiation conseillées.

Les CWE, en revanche, correspondent majoritairement aux vulnérabilités détectées dans les applications web personnalisées, le matériel et les applications compilées. Les CWE renvoient au type ou à la catégorie sous-jacents d'une vulnérabilité, plutôt qu'à une instance spécifique. En fait, chaque instance de CWE est généralement unique, ce qui signifie que les efforts de remédiation doivent être personnalisés pour chaque instance. Il y a certes moins de CWE basées sur les applications que de CVE basées sur le matériel, mais une CWE peut nécessiter infiniment plus de temps et de ressources pour une remédiation efficace.

Dites-vous maintenant que ce ne sont là que deux exemples des nombreuses vulnérabilités auxquelles les entreprises font face. Ajoutez-y les vulnérabilités Zero Day, ainsi que les très nombreuses mauvaises configurations qui existent probablement partout sur votre surface d'attaque, et le nombre de vulnérabilités sera bientôt trop grand pour que les équipes de sécurité puissent les gérer efficacement. Surtout que la plupart de ces équipes utilisent des outils différents pour chaque type de vulnérabilité et évaluent manuellement nombre d'entre elles.

La détection et l'évaluation des vulnérabilités constituent peut-être la difficulté majeure qu'implique une gestion efficace de toutes les vulnérabilités. Étant donné que chaque type de vulnérabilité est unique, des outils spécialisés sont nécessaires pour les identifier correctement. Les outils de gestion des vulnérabilités conviennent très bien aux CVE, mais pour vos applications web, il convient d'avoir recours à des des scanners d'applications. De la même manière, les environnements industriels nécessitent des outils spécialement conçus pour eux. Et les mauvaises configurations varient beaucoup, en fonction de l'environnement ou du groupe d'assets évalué.

Avec des données disparates, issues de différents domaines de la surface d'attaque, il est pratiquement impossible pour les praticiens d'évaluer manuellement et de prioriser les vulnérabilités en fonction du risque immédiat le plus important qu'elles représentent pour l'entreprise. Les équipes, si elles veulent atteindre leur objectif, ont besoin d'une plateforme unique qui puisse rassembler toutes les données et elles ont besoin de les évaluer ensemble via des algorithmes d'apprentissage automatique, l'intelligence contextuelle et l'analytique prédictive, pour pouvoir prioriser les remédiations à appliquer.

Une plateforme complète, qui découvre et évalue les données de sécurité de toute l'entreprise, vous permet de :

  • Dépasser les CVE et comprendre de manière précise l'environnement dans son intégralité
  • Voir toutes les vulnérabilités en contexte pour renforcer la prise de décisions en matière de limitation du risque
  • Mieux aligner les efforts des équipes de sécurité sur les publics professionnels non techniques, et assurer ainsi une meilleure pertinence pour l'entreprise
  • Perfectionner les processus de sécurité pour agir de manière plus proactive et stratégique

Pour résumer : si l'évaluation et la remédiation des CVE constituent une étape essentielle dans la réduction des cyber-risques, une stratégie de sécurité globale nécessite de traiter toutes vos faiblesses.

Pour en savoir plus

Articles connexes

Êtes-vous à la merci des derniers exploits ?

Indiquez votre adresse e-mail pour recevoir les dernières alertes de Cyber Exposure.

Essayer gratuitement Acheter dès maintenant
Tenable.io ESSAI GRATUIT PENDANT 30 JOURS

Bénéficiez d'un accès complet à une plateforme de gestion des vulnérabilités moderne hébergée dans le cloud qui vous permet de consulter l'ensemble de vos assets et d'en assurer le suivi, tout en bénéficiant d'une précision inégalée. Abonnez-vous dès maintenant.

Tenable.io ACHETER

Bénéficiez d'un accès complet à une plateforme de gestion des vulnérabilités moderne hébergée dans le cloud qui vous permet de consulter l'ensemble de vos assets et d'en assurer le suivi, tout en bénéficiant d'une précision inégalée. Souscrivez votre abonnement annuel dès aujourd'hui.

65 assets

Sélectionnez votre option d'abonnement :

Acheter maintenant
Essayer gratuitement Acheter dès maintenant

Essayer Nessus Professional gratuitement

GRATUIT PENDANT 7 JOURS

Nessus® est aujourd'hui le scanner de vulnérabilités le plus complet du marché. Nessus Professional vous donne les moyens d'automatiser le processus de scan des vulnérabilités, d'écourter vos cycles de mise en conformité et d'impliquer votre équipe IT.

Acheter Nessus Professional

Nessus® est aujourd'hui le scanner de vulnérabilités le plus complet du marché. Nessus Professional vous donne les moyens d'automatiser le processus de scan des vulnérabilités, d'écourter vos cycles de mise en conformité et d'impliquer votre équipe IT.

Achetez une licence pluriannuelle et faites des économies. Ajoutez l'assistance avancée pour bénéficier de l'accès 24 h/24, 7 j/7 à une assistance par téléphone, via la communauté et via le chat. Cliquez ici pour plus d'informations.

Essayer gratuitement Acheter dès maintenant

Essayer Tenable.io Web Application Scanning

GRATUIT PENDANT 30 JOURS

Profitez d'un accès complet à notre nouvelle offre Web Application Scanning conçue pour les applications modernes et s'intégrant à la plateforme Tenable.io. Scannez l'ensemble de votre portefeuille en toute sécurité et avec une grande précision, sans effort manuel important ni interruption des applications web stratégiques. Abonnez-vous dès maintenant.

Acheter Tenable.io Web Application Scanning

Bénéficiez d'un accès complet à une plateforme de gestion des vulnérabilités moderne hébergée dans le cloud qui vous permet de consulter l'ensemble de vos assets et d'en assurer le suivi, tout en bénéficiant d'une précision inégalée. Souscrivez votre abonnement annuel dès aujourd'hui.

5 FQDN

3 578,00 $

Acheter maintenant

Essayer gratuitement Contacter le service commercial

Essayer Tenable.io Container Security

GRATUIT PENDANT 30 JOURS

Profitez d'un accès complet à la seule offre de sécurité des conteneurs intégrée dans une plateforme de gestion des vulnérabilités. Surveillez les images de conteneur pour détecter d'éventuelles vulnérabilités, malwares ou violations des politiques. Intégrez la solution aux systèmes d'intégration et de déploiement continus (CI/CD) pour soutenir votre démarche DevOps, renforcer la sécurité et assurer la conformité aux politiques de l'entreprise.

Acheter Tenable.io Container Security

Tenable.io Container Security permet la mise en œuvre sécurisée et fluide de processus DevOps en fournissant une visibilité sur l'état de sécurité des images de conteneur, notamment en ce qui concerne les vulnérabilités, malwares et violations des politiques, par le biais d'une intégration au processus de compilation.

Essayer gratuitement Contacter le service commercial

Essayer Tenable Lumin

GRATUIT PENDANT 30 JOURS

Visualisez et explorez votre Cyber Exposure, suivez la réduction des risques au fil du temps et comparez-vous à vos pairs grâce à Tenable Lumin.

Acheter Tenable Lumin

Contactez un commercial pour découvrir comment Lumin peut vous aider à obtenir une visibilité sur l'ensemble de votre entreprise et à gérer votre cyber-risque.