Qu'est-ce que la priorisation des vulnérabilités ?

• Les systèmes traditionnels d'évaluation de la sévérité, tels que le score CVSS, permettent de mesurer la sévérité technique, mais ils ne vous indiquent pas quelles vulnérabilités les attaquants sont les plus susceptibles d'exploiter dans votre environnement.
• La priorisation des vulnérabilités basée sur le risque combine la Threat Intelligence, le contexte des assets, l'Attack Path Analysis (Analyse du chemin d'attaque) et le contexte métier afin d'identifier les vulnérabilités exploitables qui nécessitent une attention immédiate.
• Les modèles d'IA frontier ont considérablement accéléré la détection et l'exploitation des vulnérabilités, rendant plus important que jamais le besoin d'une priorisation efficace et basée sur le risque de celles-ci.
• Une priorisation efficace des vulnérabilités permet de concentrer vos efforts de remédiation sur les vulnérabilités les plus susceptibles d'avoir un impact significatif sur vos activités.

La priorisation des vulnérabilités consiste à classer les vulnérabilités de sécurité en fonction du risque qu'elles représentent pour votre entreprise. La priorisation des vulnérabilités basée sur le risque permet à vos équipes de remédiation de se concentrer sur les vulnérabilités qui comptent le plus. Le tout sans oublier le défi que représente l'évolutivité.

La plupart des entreprises doivent composer avec des milliers, voire des dizaines de milliers, de vulnérabilités dans leurs environnements IT, OT, cloud, d'applications, liés aux identités, etc. Les méthodes traditionnelles d'évaluation des vulnérabilités classent souvent une grande partie de ces détections comme urgentes. Par exemple, le score CVSS classe environ 60 % des vulnérabilités comme étant de sévérité « critique » ou « élevée », ce qui génère une charge de travail qu'aucune équipe de sécurité ne peut raisonnablement assumer.

Les systèmes traditionnels d'évaluation et de priorisation des vulnérabilités, comme le score CVSS, contribuent à agrandir le fossé entre ce que vous connaissez et ce que vous pouvez corriger.

Une priorisation des vulnérabilités basée sur le risque permet de réduire cet écart. Au lieu de traiter toutes les détections de la même manière, cette approche permet d'identifier celles qui sont exploitables, celles qui affectent les assets les plus critiques de votre entreprise, et les mesures de remédiation qui auront le plus d'impact sur la réduction de votre risque cyber.

Le défi que représente les vulnérabilités a évolué au cours des dernières années.

Il n'est plus question pour les entreprises de gérer quelques centaines d'assets et un arriéré raisonnable de détections. Les surfaces d'attaque hybrides modernes comprennent désormais l'infrastructure cloud, les technologies opérationnelles, les endpoints à distance et non gérés, les systèmes d'identité, les applications SaaS, les conteneurs, etc. La complexité et l'étendue de la surface d'attaque moderne créent davantage d'exposition pour votre entreprise, ce qui donne aux attaquants plus de points d'entrée à exploiter et plus de chemins d'attaque menant à vos assets et données les plus critiques.

Parallèlement, le nombre de vulnérabilités ne cesse d'augmenter. 

Dans un environnement classique, les professionnels de la sécurité doivent gérer de nombreuses détections non résolues tout en assumant d'autres responsabilités, comme les opérations, la maintenance et la conformité. En l'absence de méthode claire pour déterminer quelles vulnérabilités nécessitent une attention immédiate, les efforts de remédiation deviennent réactifs et peuvent se révéler incohérents.

De plus, l'IA complexifie le défi de la gestion des vulnérabilités. Des modèles frontier tels que Claude Mythos ont démontré à quelle vitesse les grands modèles de langage (LLM) peuvent détecter des vulnérabilités dans le code.

Les correctifs réactifs ne peuvent pas rivaliser avec la rapidité de l'IA de pointe. Si votre processus de gestion des vulnérabilités repose sur un tri manuel et fonctionne selon un cycle de scan hebdomadaire, votre approche est intrinsèquement inadaptée aux attaques modernes boostées par l'IA. Les entreprises qui priorisent les vulnérabilités en fonction de leur exploitabilité réelle et de leur impact business potentiel, et qui utilisent l'IA pour automatiser la remédiation, sont les mieux positionnées pour se défendre contre les attaques boostées par l'IA.

Pendant des années, les équipes de sécurité se sont appuyées sur le score CVSS pour déterminer la sévérité des vulnérabilités.

Le score CVSS est un outil précieux : il apporte une méthode normalisée pour évaluer des caractéristiques techniques telles que la complexité d'une attaque, les privilèges requis et l'impact potentiel.

Cependant, le score CVSS n'a pas été conçu pour évaluer le risque à l'échelle d'une entreprise. Il ne tient pas compte du fait qu'une vulnérabilité ayant un score élevé se trouve sur un système critique ou non, ni du fait qu'elle se situe sur un chemin d'accès à vos données sensibles.

Concrètement, voici les facteurs de risque que le score CVSS ne prend pas en compte :

• La criticité des assets
• L'impact business potentiel
• La présence de contrôles compensatoires 
• La viabilité du chemin d'attaque 

À mesure que le nombre de vulnérabilités augmente, les limites du score CVSS deviennent plus évidentes. Lorsque près de 60 % des détections sont classées comme étant de sévérité « critique » ou « élevée », la priorisation devient une étape difficile.

Le score EPSS apporte une certaine aide en estimant la probabilité d'exploitation.

Ce contexte supplémentaire vous aide à identifier les vulnérabilités que les attaquants pourraient cibler. Pourtant, le score EPSS évalue encore largement les vulnérabilités de manière isolée. Il ne peut pas savoir si l'asset concerné prend en charge un processus métier critique, si des identités dotées de privilèges peuvent y accéder, ni s'il se trouve sur un chemin d'attaque viable.

En résumé, ni le score CVSS ni le score EPSS ne permettent de répondre à la question qui compte le plus : quelles vulnérabilités un attaquant pourrait-il exploiter pour accéder à vos assets critiques ?

Sans ce contexte, vous risquez de perdre du temps à corriger des détections à faible impact, tandis que les expositions qui représentent la plus grande menace restent non résolues.

Le résultat est prévisible :

• De la fatigue liée aux alertes
• Un arriéré dans la remédiation
• Une utilisation inefficace des ressources
• Un risque cyber non atténué

Continental AG est passée à la priorisation des vulnérabilités basée sur le risque après un important incident cyber. L'entreprise a remplacé sa méthodologie basée sur le score CVSS par la plateforme de gestion de l'exposition Tenable One, qui tire parti de la Threat Intelligence, des contextes métier et technique, de l'Attack Path Analysis (Analyse du chemin d'attaque) et d'autres capacités pour prioriser les vulnérabilités les plus critiques de l'entreprise. Comme l'a souligné leur responsable sécurité IT, la même vulnérabilité sur l'appareil d'un PDG représente un risque bien plus élevé que sur celui d'un stagiaire. Le contexte permet de concentrer les efforts de remédiation là où ils auront le plus d'impact.

Une grande entreprise américaine de télécommunications est passée d'une approche axée sur la conformité à une approche fondée sur des scénarios d'attaques réels, car les scores de sévérité ne suffisaient pas à eux seuls pour déterminer quelles étaient les vulnérabilités à corriger en priorité. Seule une priorisation basée sur le contexte métier et l'exploitabilité réelle permet de réduire significativement le risque.

Une priorisation efficace des vulnérabilités se concentre sur l'exposition. Adopter une approche de priorisation basée sur le risque, recourir à l'Attack Path Analysis en tenant compte du contexte cloud et lié aux identités, et prendre l'habitude d'évaluer en continu le risque sont les moyens les plus efficaces de renforcer vos efforts de priorisation et, par conséquent, de remédiation.

Adopter une approche basée sur le risque

La priorisation des vulnérabilités basée sur le risque s'appuie sur plusieurs sources d'informations contextuelles pour déterminer les détections qui nécessitent une intervention immédiate.

Ces facteurs comprennent généralement :

• L'exploitabilité
• La Threat Intelligence
• La criticité des assets
• L'impact business
• L'ancienneté de la vulnérabilité
• L'activité d'exploitation actuelle

L'objectif est d'identifier les vulnérabilités qui présentent un risque réel, plutôt que celles qui se contentent de générer des scores élevés.

Lorsque les équipes chargées de la remédiation identifient les vulnérabilités qui menacent les services critiques, elles peuvent allouer leurs ressources de manière plus efficace et limiter rapidement le risque.

Utiliser l'Attack Path Analysis (Analyse du chemin d'attaque)

Les attaquants exploitent rarement une seule et unique vulnérabilité.

Ils cherchent à tirer parti d'un mélange de vulnérabilités, de mauvaises configurations et de faiblesses liées aux identités pour se faufiler dans les environnements et atteindre des cibles de grande valeur.

En pratique, c'est la différence entre passer au crible un important volume de détections non résolues et se concentrer sur les quelques-unes liées à vos assets les plus précieux.

L'Attack Path Analysis vous permet de comprendre comment les différents risques s'interconnectent au sein de votre environnement. Au lieu d'examiner les vulnérabilités isolément, cette approche identifie le chemin qu'un attaquant pourrait réellement emprunter pour se déplacer au sein de votre réseau et accéder à vos systèmes ou données sensibles.

Ce contexte vous aide à distinguer les vulnérabilités sans issue de celles qui font partie d'un chemin d'attaque viable et à haut risque, afin que vous puissiez concentrer vos efforts de remédiation pour bloquer les chemins d'attaque et endiguer toute brèche matérielle.

Intégrer le contexte cloud et lié aux identités

La même vulnérabilité représente un risque très différent selon son emplacement et qui peut l'atteindre. Une faille de sévérité moyenne sur un workload cloud exposé à Internet et lié à un compte de service doté de privilèges excessifs est souvent plus urgente qu'une CVE critique sur un serveur isolé et étroitement contrôlé.

Le contexte lié aux identités vous indique les actions qu'un attaquant pourrait mener après avoir exploité une vulnérabilité : quels comptes peuvent accéder à l'asset concerné, de quels privilèges ils disposent, et s'ils ont accès à des données sensibles ou à des droits d'administrateur. Le contexte cloud vous indique avant tout le niveau d'exposition de l'asset : s'il est accessible publiquement, comment il est configuré et quelles sont ses connexions.

Une priorisation tenant compte de ces deux indicateurs classe les vulnérabilités en fonction de l'impact qu'un attaquant pourrait réellement avoir, et non pas seulement en fonction de leur score de sévérité. Vous pouvez ainsi concentrer votre remédiation sur les expositions les plus susceptibles de perturber vos activités.

Évaluer le risque en continu

La priorisation doit être une approche en continu, et non un processus statique et ponctuel.

De nouvelles CVE apparaissent quotidiennement, et les attaquants adaptent leurs tactiques en conséquence. Les priorités métier évoluent au fil du temps, de même que les infrastructures.

Une vulnérabilité classée aujourd'hui de faible priorité pourrait se révéler beaucoup plus importante demain si son activité d'exploitation augmente ou si l'asset concerné devient critique pour l'entreprise.

Une évaluation en continu vous aide à adapter vos priorités au fil des évolutions de vos environnements. Cela permet à vos équipes de se concentrer sur le risque actuel plutôt que sur des hypothèses obsolètes.

Tenable a développé ses fonctionnalités de priorisation des vulnérabilités en partant d'un principe simple : on ne peut pas traiter toutes les vulnérabilités de la même manière.

Concentrez-vous sur les vulnérabilités les plus sérieuses

Le classement VPR (Vulnerability Priority Rating) de Tenable est un score dynamique qui évalue chaque vulnérabilité en fonction de sa probabilité d'exploitation et de la sévérité de son impact.

Le score CVSS classe environ 60 % des vulnérabilités comme étant de sévérité « critique » ou « élevée », mais les études menées par Tenable Research montrent que seules environ 1,6 % d'entre elles représentent un risque significatif pour l'entreprise.

Le classement VPR s'appuie sur l'apprentissage automatique, la Threat Intelligence, les caractéristiques des vulnérabilités, l'activité des exploits et d'autres indicateurs pour identifier les détections à prioriser.

Cela vous permet de concentrer vos efforts de remédiation là où ils auront le plus d'impact.

Tirez parti du contexte des assets avec Tenable One

Le risque et le contexte vont de pair. 

Tenable One associe le classement VPR au classement ACR (Asset Criticality Rating), à l'Attack Path Analysis (Analyse du chemin d'attaque) et au contexte lié aux identités afin d'offrir une vue de l'exposition complète.

Cette approche vous aide à comprendre :

• Quels sont vos assets les plus importants ?
• Quelle est l'exploitabilité de vos vulnérabilités ?
• Quels chemins d'attaque peuvent menacer vos systèmes critiques ?
• Quelles mesures de remédiation réduisent le plus votre risque ?

Plutôt que d'examiner des détections de façon isolée, vous pouvez les prioriser en fonction du niveau d'exposition et de l'impact business.

Bénéficiez d'une couverture des vulnérabilités en continu

Tenable prend en charge la gestion des vulnérabilités à l'échelle de l'entreprise.

La plateforme s'appuie sur plus de 318 000 plug-ins pour détecter 138 896 vulnérabilités (CVE) parmi 20 000 produits pouvant faire l'objet d'un correctif. Dans les 6 à 24 heures suivant la découverte d'une vulnérabilité, les détections critiques sont généralement disponibles, ce qui vous permet d'évaluer rapidement les menaces émergentes.

Détectez plus tôt les cas d'exploitation active

N'oubliez pas : les attaquants n'attendent jamais les échéances de conformité.

Tenable recense les vulnérabilités activement exploitées au-delà de celles qui figurent dans le catalogue KEV (Known Exploited Vulnerabilities Catalog) de la CISA. Tenable Research a identifié 201 vulnérabilités (CVE) activement exploitées qui ne figurent pas encore dans le catalogue KEV, ce qui laisse un délai d'avance moyen de 37 jours avant que les mesures gouvernementales ne rattrapent leur retard.

Cette visibilité accrue vous permet de prioriser votre remédiation en fonction du comportement des attaquants plutôt qu'en fonction des échéances de mise en conformité.

Favorisez des prises de décision fiables et auditables

La précision d'un scan est critique dès lors que son résultat détermine la priorisation des décisions en matière de remédiation.

Le taux de précision des scans de Tenable est conforme à la norme Six Sigma et s'élève à 0,32 défaut par million d'analyses. Vous pouvez ainsi tirer parti de données fiables pour vos programmes de gestion des vulnérabilités, vos audits et vos rapports de conformité.

Accélérez la remédiation grâce à Tenable Hexa AI

Identifier les vulnérabilités à prioriser n'est que la première partie de la solution, il faut ensuite savoir comment y remédier.

Tenable Hexa AI contribue à réduire le délai moyen de remédiation en automatisant le tri des détections priorisées, la création de tickets, l'investigation et les workflows de remédiation. Les entreprises qui exploitent ces fonctionnalités ont réduit leurs délais de remédiation de 90 jours à 90 minutes pour les processus concernés.

À mesure que l'IA accélère la détection des vulnérabilités, les processus de remédiation doivent eux aussi s'accélérer.

SRF Limited, une entreprise industrielle présente dans le monde entier, a déployé Tenable One à la fois dans ses environnements IT et OT afin de bénéficier de cette vue d'ensemble unifiée. Comme l'a expliqué leur RSSI, la cybersécurité ne consiste pas à éliminer toutes les vulnérabilités. Il s'agit de déterminer lesquelles sont les plus importantes et d'y remédier avant que les attaquants ne les exploitent.

Les vulnérabilités et les CVE font partie du paysage de l'exposition, tout comme les erreurs de configuration et les accès dotés de privilèges excessifs. Tenable One centralise ces risques cyber évitables dans une vue d'ensemble unique, ce qui vous permet de prendre des décisions de remédiation basées sur l'exposition, et non en fonction de ce que votre scanner a signalé la semaine dernière.

Si vous souhaitez découvrir la prochaine étape après la priorisation, consultez le guide d'accompagnement consacré à la remédiation des vulnérabilités. Les programmes de sécurité des applications jouent également un rôle important en remédiant aux failles plus tôt dans le cycle de vie du développement logiciel.