Une évaluation limitée aux CVE rend les entreprises plus vulnérables aux attaques

Les CWE et autres vulnérabilités nécessitent l'utilisation d'un dashboard unique pour effectuer une évaluation complète des cyber-risques 

De plus en plus de professionnels de la cyber-sécurité font évoluer leurs programmes de gestion des vulnérabilités traditionnelle vers une priorisation des efforts de remédiation, sur la base des vulnérabilités qui représentent le plus grand risque pour l'entreprise. C'est sûrement une avancée dans la bonne direction, mais cela signifie aussi que la plupart des entreprises se concentrent exclusivement sur les vulnérabilités et exploits les plus courants (CVE). 

L'écrasante majorité des professionnels de la cyber-sécurité estime que les CVE et les vulnérabilités sont la même chose, que ce sont des termes interchangeables. Mais on pourrait définir une « vulnérabilité » comme suit : une faiblesse dans les systèmes d'information, les procédures liées à la sécurité système, les contrôles internes ou les implémentations, susceptible d'être exploitée par une source de menaces. En d'autres termes, une vulnérabilité correspond à tout ce qui expose votre entreprise à une cyber-attaque. 

Une CVE non corrigée correspond à cette définition, mais elle n'est pas la seule à le faire. Peu importe la manière, tout ce qui intéresse les attaquants, c'est de pénétrer dans un système. Ils emprunteront le chemin offrant le moins de résistance pour obtenir un accès, quel qu'il soit. Si un voleur préfère habituellement passer par la porte de derrière, il n'hésitera pas à emprunter une fenêtre laissée ouverte au rez-de-chaussée, si l'occasion se présente. C'est pourquoi il est essentiel de découvrir et comprendre toutes vos vulnérabilités avant de développer un plan complet pour les traiter.

Cette liste n'est pas exhaustive, mails voici quelques vulnérabilités majeures à prendre en considération :

• Énumération des faiblesses courantes (CWE)
• Top 10 de l'OWASP (Open Web Application Security Project)
• Vulnérabilités Zero Day
• Mauvaises configurations ou erreurs dans la gestion des accès
• Mauvaises configurations au niveau des réseaux/infrastructures
• Mauvaises configurations accidentelles ou intentionnelles dans les environnements industriels

Ces vulnérabilités, ou failles, apparaissent dans des domaines très différents de la surface d'attaque. Elles représentent chacune un ensemble unique de défis qui nécessitent des compétences particulières pour un traitement efficace. Les vulnérabilités des assets matériels dans les environnements IT traditionnels sont le plus souvent des CVE ayant été identifiées et définies au préalable pour que les professionnels de la sécurité puissent déterminer le niveau de risque que chacune d'elles représente pour l'entreprise, mais aussi pour que les équipes IT puissent s'atteler directement à la neutralisation de la menace en appliquant les correctifs appropriés et autres méthodes de remédiation conseillées.

Les CWE, en revanche, correspondent majoritairement aux vulnérabilités détectées dans les applications web personnalisées, le matériel et les applications compilées. Les CWE renvoient au type ou à la catégorie sous-jacents d'une vulnérabilité, plutôt qu'à une instance spécifique. En fait, chaque instance de CWE est généralement unique, ce qui signifie que les efforts de remédiation doivent être personnalisés pour chaque instance. Il y a certes moins de CWE basées sur les applications que de CVE basées sur le matériel, mais une CWE peut nécessiter infiniment plus de temps et de ressources pour une remédiation efficace.

Dites-vous maintenant que ce ne sont là que deux exemples des nombreuses vulnérabilités auxquelles les entreprises font face. Ajoutez-y les vulnérabilités Zero Day, ainsi que les très nombreuses mauvaises configurations qui existent probablement partout sur votre surface d'attaque, et le nombre de vulnérabilités sera bientôt trop grand pour que les équipes de sécurité puissent les gérer efficacement. Surtout que la plupart de ces équipes utilisent des outils différents pour chaque type de vulnérabilité et évaluent manuellement nombre d'entre elles.

La détection et l'évaluation des vulnérabilités constituent peut-être la difficulté majeure qu'implique une gestion efficace de toutes les vulnérabilités. Étant donné que chaque type de vulnérabilité est unique, des outils spécialisés sont nécessaires pour les identifier correctement. Les outils de gestion des vulnérabilités conviennent très bien aux CVE, mais pour vos applications web, il convient d'avoir recours à des des scanners d'applications. De la même manière, les environnements industriels nécessitent des outils spécialement conçus pour eux. Et les mauvaises configurations varient beaucoup, en fonction de l'environnement ou du groupe d'assets évalué.

Avec des données disparates, issues de différents domaines de la surface d'attaque, il est pratiquement impossible pour les praticiens d'évaluer manuellement et de prioriser les vulnérabilités en fonction du risque immédiat le plus important qu'elles représentent pour l'entreprise. Les équipes, si elles veulent atteindre leur objectif, ont besoin d'une plateforme unique qui puisse rassembler toutes les données et elles ont besoin de les évaluer ensemble via des algorithmes d'apprentissage automatique, l'intelligence contextuelle et l'analytique prédictive, pour pouvoir prioriser les remédiations à appliquer.

Une plateforme complète, qui découvre et évalue les données de sécurité de toute l'entreprise, vous permet de :

• Dépasser les CVE et comprendre de manière précise l'environnement dans son intégralité
• Voir toutes les vulnérabilités en contexte pour renforcer la prise de décisions en matière de limitation du risque
• Mieux aligner les efforts des équipes de sécurité sur les publics professionnels non techniques, et assurer ainsi une meilleure pertinence pour l'entreprise
• Perfectionner les processus de sécurité pour agir de manière plus proactive et stratégique

Pour résumer : si l'évaluation et la remédiation des CVE constituent une étape essentielle dans la réduction des cyber-risques, une stratégie de sécurité globale nécessite de traiter toutes vos faiblesses.

Pour en savoir plus

• Regardez le webinaire : Vulnerabilities Beyond CVEs. Which are You Missing? https://www.tenable.com/webinars/vulnerabilities-beyond-cves-which-are-you-missing
• Téléchargez le livre blanc : Overcoming Challenges Created by Disparate VM Tools : https://www.tenable.com/whitepapers/overcoming-challenges-created-by-disparate-vulnerability-management-tools
• Lisez le rapport Gartner : The Essential Elements of Effective Vulnerability Management: https://www.tenable.com/analyst-research/gartner-the-essential-elements-of-effective-vulnerability-management