Qu'est-ce que la gestion des vulnérabilités (vulnerability management) ?

1.  Qu'est-ce que la gestion des vulnérabilités (vulnerability management) ?

---

La gestion des vulnérabilités est constituée de technologies, d'outils, de politiques et de procédures visant à identifier, à prioriser et à corriger les failles de sécurité dans votre entreprise. C'est un processus proactif qui permet à vos équipes de réduire le risque d'une violation ou d'une cyber-attaque. En adoptant une approche basée sur le risque, vous pouvez également aligner votre programme de gestion des risques en matière de cyber-sécurité sur les objectifs opérationnels de votre entreprise.

L'objectif de la gestion des vulnérabilités est de réduire rapidement et efficacement les cyber-expositions et de sécuriser votre surface d'attaque, sur site et dans le cloud.

En disposant de la bonne solution de gestion des vulnérabilités, vous pouvez bénéficier d'une visibilité complète sur votre surface d'attaque en constante évolution. Cela vous permet de surveiller en continu votre environnement et de suivre l'évolution des menaces.

Il est indispensable de disposer d'un programme mature pour gérer les cyber-expositions afin d'assurer la résilience opérationnelle en réduisant le risque de violation ou de cyber-attaque.

La gestion des vulnérabilités compte quatre étapes :

• Identifier les assets et les vulnérabilités dans tous vos environnements, sur site et dans le cloud
• Prioriser la remédiation des vulnérabilités des expositions critiques d'après la threat intelligence, le profil de risque de votre entreprise et les vulnérabilités que les attaquants sont les plus susceptibles d'exploiter à court terme
• Remédier aux problèmes de sécurité
• Procéder à une surveillance en continu, améliorer votre programme et vos méthodes de reporting

En élaborant un programme de gestion des vulnérabilités axé sur le risque, vous pouvez connaître, dévoiler et éliminer de manière proactive les failles de sécurité que les outils de gestion des vulnérabilités traditionnels ignorent.

Et pas uniquement pour les systèmes IT traditionnels, mais aussi pour les éléments suivants :

• Systèmes et services cloud
• Appareils mobiles
• Conteneurs ou assets sans serveur
• Les applications web
• Technologies opérationnelles (OT)

Si chaque entreprise dispose d'un environnement de cybermenace unique, on peut distinguer quatre types principaux de vulnérabilités :

1. Systèmes d'exploitation et applications
2. Réseau
3. Mauvaises configurations et basées sur les processus
4. D'origine humaine

Exemples de vulnérabilités :

• Mauvaises configurations au niveau des systèmes, réseaux ou applications
• Systèmes d'exploitation et logiciels obsolètes ou non corrigés
• Ports ouverts et services inutilisés
• Systèmes d'authentification inefficaces ou défaillants
• Injection SQL
• Injection de code indirecte (XSS)

Quelles sont les vulnérabilités les plus courantes ?

La fondation OWASP met très fréquemment à jour sa liste des 10 principales vulnérabilités OWASP. La précédente liste des vulnérabilités courantes comportait les éléments suivants :

1. Contrôles d'accès défaillants
2. Défaillances cryptographiques
3. Injection
4. Conception non sécurisée
5. Mauvaise configuration de sécurité
6. Composants vulnérables et obsolètes
7. Défaillances d'identification et d'authentification
8. Défaillances d'intégrité des logiciels et données
9. Défaillances des systèmes de surveillance et de journalisation de sécurité
10. Falsification de requêtes côté serveur (SSRF)

Qu'est-ce qu'implique la gestion des vulnérabilités et quelles sont les cinq étapes qui la constituent ?

Description du cycle de vie de la gestion des vulnérabilités :

Étape 1 : Découvrir

Identifier et cartographier tous les assets de tous les environnements informatiques, sur site (on-prem) et dans le cloud, et rechercher des vulnérabilités et autres expositions.

Étape 2 : Évaluer

Comprendre la criticité et le risque des assets, notamment en matière de vulnérabilités, de mauvaises configurations et d'autres indicateurs d'état liés à la sécurité.

Étape 3 : Prioriser

Appréhender les expositions dans leur contexte pour prioriser la remédiation en fonction de la criticité de l'asset, de la sévérité de la vulnérabilité, du contexte de votre environnement et de la menace.

Étape 4 : Remédier

Prioriser les expositions à corriger en premier en fonction du risque pour l'entreprise. Puis, utiliser les meilleures pratiques et les mieux appropriées du secteur pour procéder à la remédiation.

Étape 5 : Mesurer

Mesurer et comparer votre cyber-exposition, en interne et vis-à-vis des autres entreprises du secteur, afin que vos équipes soient habilitées à prendre de meilleures décisions en termes d'objectifs métier et de cyber-risque. Cela contribue à une réduction du risque, favorise une meilleure conformité et renforce la maturité de votre programme.

Quelle différence y a-t-il entre gestion des vulnérabilités et évaluation des vulnérabilités ?

La gestion des vulnérabilités et l'évaluation des vulnérabilités sont deux concepts différents, mais complémentaires. Ces termes sont souvent employés de manière interchangeable, mais c'est incorrect.

La gestion des vulnérabilités de cyber-sécurité a pour but d'identifier les assets et vulnérabilités de votre surface d'attaque. Elle permet aux équipes de planifier des stratégies d'atténuation des problèmes de sécurité, et de priorisation et de remédiation des vulnérabilités.

Elle se distingue d'un scan des vulnérabilités, qui a une date de début et de fin définie. L'analyse des vulnérabilités est une vue instantanée à un moment précis de votre surface d'attaque. Elle s'inscrit dans votre programme global de gestion des vulnérabilités, et permet aux équipes d'identifier et de résoudre votre cyber-risque en continu.

Qu'est-ce que la gestion des vulnérabilités basée sur le risque ?

La gestion des vulnérabilités basée sur le risque ou gestion des risques de sécurité, offre une visibilité complète sur votre surface d'attaque pour que vous puissiez visualiser les problèmes de sécurité qui présentent le plus grand risque.

Lorsque vous connaissez les vulnérabilités critiques que les attaquants sont les plus susceptibles d'exploiter à court terme et leur impact potentiel, vous pouvez atténuer et remédier plus efficacement aux expositions afin de réduire le risque.

L'IA et l'apprentissage automatique viennent renforcer les pratiques de gestion des vulnérabilités basée sur le risque, qui doivent aller au-delà de la simple détection des vulnérabilités. L'objectif est de comprendre le risque en prenant connaissance du contexte de la menace, notamment à l'aide d'informations sur les conséquences pour le business.

En quoi la gestion des vulnérabilités se distingue-t-elle de la gestion des vulnérabilités basée sur le risque ?

Les pratiques de gestion des vulnérabilités traditionnelles vous offrent une vision globale des vulnérabilités et du risque. Elles permettent de découvrir les menaces qu'une vulnérabilité est susceptible d'introduire. Cependant, les anciens processus ne sont pas aptes à vous fournir un véritable aperçu de votre paysage des menaces.

Si vos équipes ne parviennent pas à contextualiser le risque, elles risquent de perdre du temps à tenter de corriger des vulnérabilités qui ne constituent pas une réelle menace. Et inversement, ne pas détecter ni corriger celles davantage susceptibles de nuire à votre entreprise.

Quels sont les avantages d'un programme de gestion des vulnérabilités ?

• Fournit le contexte de menace pour les vulnérabilités
• Permet aux équipes de réduire le risque au maximum avec un minimum d'efforts
• Offre une visibilité complète sur toutes les vulnérabilités de l'ensemble de votre surface d'attaque
• Aligne le cyber-risque sur le risque business pour vous permettre de prendre des décisions plus éclairées vis-à-vis de l'entreprise et de la cyber-sécurité
• Facilite l'élaboration d'analyses comparatives et de rapports sur l'efficacité du programme
• Aide à communiquer le cyber-risque aux principales parties prenantes dans le contexte de l'entreprise
• Réduit les mesures de sécurité réactives
• Élimine les angles morts créés par les processus de gestion des vulnérabilités traditionnelle
• Permet aux équipes de se concentrer sur les 3 % de vulnérabilités qui représentent le plus grand risque pour l'entreprise

Quels sont les défis courants en matière de gestion des vulnérabilités ?

Un trop grand nombre de vulnérabilités

• À mesure que vous adoptez des technologies toujours plus variées et en plus grand nombre (IT traditionnel, IoT, IIoT, applications web, infrastructure et services cloud, machines virtuelles, etc.), le volume des vulnérabilités et des autres problèmes de sécurité grimpe en flèche.
• La solution basée sur le risque : Priorisez les vulnérabilités en fonction du risque réel pour votre environnement unique et des répercussions sur votre business afin de savoir quelle exposition corriger en premier.

Pas de contexte concernant les menaces pour procéder à la priorisation

• De nombreux outils de gestion des vulnérabilités détectent les vulnérabilités, mais ne donnent pas le contexte ou ne bénéficient pas d'une threat intelligence capable d'indiquer la probabilité qu'elles soient exploitées. Beaucoup d'entre eux classent trop de vulnérabilités avec un score élevé ou critique, alors qu'elles n'auront jamais de répercussions sur votre activité.
• La solution basée sur le risque : Utilisez l'IA, l'apprentissage automatique et d'autres formes de threat intelligence qui font référence dans le secteur, comme Tenable Research, pour comprendre les classements ACR (Asset Criticality Rating) et le contexte d'une menace afin de prioriser la remédiation des expositions.

Suivi limité des assets et peu d'informations sur tous leurs risques

• Alors que les surfaces d'attaque sont de plus en plus vastes et complexes, la plupart des équipes de sécurité, et particulièrement celles qui utilisent des outils de gestion de cyber-sécurité disparates, ne peuvent pas bénéficier d'une visibilité complète sur tous les assets et expositions de sécurité.
• La solution basée sur le risque : Utilisez des outils d'automatisation et d'autres outils tenant compte du risque pour visualiser tous les assets, même s'ils apparaissent et disparaissent rapidement.

Gestion des correctifs

• L'application de correctifs est un processus compliqué. Certains correctifs ont un impact négatif et provoquent des interruptions et perturbations imprévues.
• La solution basée sur le risque : En obtenant des informations sur la probabilité d'exploitation et l'impact sur le business, vous pouvez identifier les vulnérabilités auxquelles remédier en premier et celles à corriger plus tard.

Ressources limitées

• Il existe des millions de postes non pourvus dans le domaine de la cyber-sécurité, et ce problème est aggravé par le besoin croissant de professionnels de la sécurité du cloud.
• La solution basée sur le risque : Les outils d'automatisation, d'IA et d'apprentissage automatique axés sur le risque et le contexte de menace peuvent vous aider à prendre des décisions concrètes et réalisables plus rapidement en utilisant moins de ressources et de budget.

En quoi consistent les services de gestion des vulnérabilités gérés ?

Les services de gestion des vulnérabilités gérés sont des tâches de gestion de l'exposition que les entreprises externalisent auprès d'un fournisseur de services de sécurité gérés (MSSP) tiers, parmi lesquels :

• Scans de vulnérabilités en continu
• Identification, priorisation et atténuation des risques
• Processus et conseils de remédiation
• Métriques, documents et rapports

Il est possible que votre entreprise doive externaliser la gestion des vulnérabilités si :

• Vous avez des ressources et des budgets limités
• Vous opérez dans des environnements complexes, par exemple, un mélange de systèmes IT et OT traditionnels et multicloud ou hybrides.
• Vous avez des difficultés à suivre l'évolution rapide du paysage des menaces.

2. Assets et vulnérabilités

---

Qu'est-ce qu'un asset ?

Un asset désigne un matériel ou un logiciel sur votre surface d'attaque (assets IT traditionnels comme des serveurs, des réseaux et des ordinateurs de bureau) ainsi que d'autres appareils, tels que les :

• Smartphones
• Tablettes
• Ordinateurs portables
• Machines virtuelles
• Logiciels en tant que service (SaaS, Software-as-a-service)
• Infrastructures hébergées sur le cloud
• Technologies et services cloud
• Applications web
• Appareils IoT

Qu'est-ce que la découverte des assets et comment peut-elle améliorer mon programme de gestion des vulnérabilités ?

La découverte des assets permet d'identifier et de suivre les matériels, logiciels, appareils réseau et ressources cloud. Elle aide les équipes à :

• identifier les assets essentiels et comprendre leur rôle dans les opérations critiques
• savoir quels sont les assets les plus vulnérables aux cyber-attaques
• exposer les vulnérabilités négligées ou manquées qui créent des failles de sécurité
• prioriser la remédiation
• détecter et évaluer les assets invisibles dont les équipes IT peuvent ne pas avoir connaissance
• assurer la conformité aux exigences légales, réglementaires et contractuelles

Qu'est-ce qu'une surface d'attaque ?

Une surface d'attaque IT se compose de plusieurs points d'exposition (vos assets) qui pourraient être exploités par des attaquants, entraînant des cyber-violations.

De nombreuses entreprises rencontrent des difficultés à obtenir une visibilité sur leur surface d'attaque. Assurer une gestion des processus efficace constitue un véritable défi lorsqu'il s'agit d'atténuer et de corriger un important volume de vulnérabilités, de surcroit sur une surface d'attaque complexe et qui ne cesse de s'étendre.

Conseils rapides pour évaluer votre surface d'attaque :

1. Identifiez tous les assets, quel que soit leur type
2. Déterminez l'emplacement de chaque asset
3. Déterminez qui gère chaque asset et qui y a accès
4. Définissez le type d'asset (cloud, mobile, IT traditionnel, IoT, etc.)
5. Déterminez si l'asset est critique pour les activités de l'entreprise et priorisez en conséquence
6. Évaluez ce qui pourrait se passer en cas d'exploitation d'une vulnérabilité par un attaquant
7. Priorisez et remédiez aux vulnérabilités en fonction de l'impact sur l'entreprise et de la probabilité d'exploitation
8. Surveillez en continu les problèmes de sécurité et corrigez-les si besoin

Qu'est-ce qu'une vulnérabilité de sécurité ?

Une vulnérabilité de sécurité est une faille matérielle ou logicielle que des attaquants peuvent exploiter, comme un bug, des erreurs de programmation ou des mauvaises configurations.

L'application de correctifs, qui permet de réparer des problèmes dans le code, peut résoudre certaines vulnérabilités de sécurité.

Les mauvaises configurations du système peuvent également présenter des vulnérabilités et créer des vecteurs d'attaque supplémentaires.

Moyens courants qu'utilisent les attaquants pour cibler des failles de sécurité :

• Exploitation des mauvaises configurations et des systèmes non corrigés
• Envoi de faux e-mails (phishing) qui ont l'air de provenir de sources réelles (ou autres tactiques d'ingénierie sociale) pour tromper le destinataire et l'inciter à révéler des informations sensibles, comme ses informations d'authentification
• Vol d'informations d'authentification pour collecter des noms d'utilisateur et des mots de passe, puis les utiliser pour procéder à un mouvement latéral sur votre surface d'attaque
• Injection de logiciels malveillants ou malwares
• Attaques DoS (Denial of service - Déni de service) et DDoS (Distributed Denial of Service - Déni de service distribué) par inondation afin de limiter la réponse du système aux demandes de service réelles
• Injection de code indirecte (XSS) (insertion d'un code malveillant sur des sites web)
• Attaques Man-in-the-Middle (MitM) visant à compromettre les utilisateurs via des réseaux non sécurisés comme un WiFi public
• Injection SQL (Structured Query Language) malveillante pour obtenir un accès non autorisé à des informations sensibles
• Exploits Zero Day avant la publication d'un correctif ou une mise à jour

3. Scans des vulnérabilités

---

Qu'est-ce qu'un scanner de vulnérabilités ?

Un scanner de vulnérabilités est un outil automatisé qui découvre des vulnérabilités sur votre surface d'attaque.

Types de scans de vulnérabilités :

• Les scans authentifiés utilisent des informations d'authentification pour découvrir des informations détaillées sur les problèmes de sécurité au sein d'un asset, d'un système ou d'un réseau.
• Les scans non authentifiés ne nécessitent pas d'informations d'authentification et ciblent les ports ouverts, les protocoles et les services hôtes exposés.
• Les scans de vulnérabilités internes permettent de découvrir comment les attaquants peuvent se déplacer dans votre réseau. Ils peuvent par exemple obtenir un accès initial dans Active Directory, ce qui faciliterait un mouvement latéral dans vos environnements.
• Les scans de vulnérabilités externes réalisés en dehors de votre réseau permettent de détecter des failles de sécurité.
• Les scans basés sur le réseau sont destinés aux appareils tels que les pare-feu, les routeurs, les serveurs et les applications réseau.
• Les scans des applications web détectent les failles dans ce type d'applications.
• Les scans basés sur le cloud évaluent les environnements cloud comme AWS, GCP et Azure pour trouver des problèmes de sécurité.
• Les scans basés sur l'hôte examinent les appareils ou hôtes individuels pour y trouver des vulnérabilités.

Comment fonctionnent les scans de vulnérabilités et que détectent-ils ?

Les scanners de vulnérabilités fonctionnent en automatisant les processus pour détecter les failles de sécurité au niveau des assets.

Voici les méthodes de fonctionnement courantes des scanners de vulnérabilités :

• Utilisation de méthodes à base de scans actifs et passifs pour trouver des assets dans l'environnement cible
• Détermination et élaboration d'une liste de types d'assets, de systèmes d'exploitation, de logiciels et versions, de services, d'applications et de ports ouverts
• Identification de vulnérabilités telles que des mauvaises configurations, des problèmes de code, des correctifs manquants, des systèmes d'exploitation et des logiciels obsolètes
• Attribution de scores aux risques pour prioriser les vulnérabilités à corriger en premier.
• Rapports sur les détections

Un scanner de vulnérabilités peut détecter des problèmes de sécurité de type :

• systèmes d'exploitation et pare-feu obsolètes
• correctifs manquants
• Mauvaises configurations
• informations d'authentification, comme des mots de passe, manquantes ou faibles
• ports ouverts ou non sécurisés
• vulnérabilités connues
• certifications de sécurité obsolètes
• malwares
• autorisations excessives ou inappropriées
• injection SQL ou injection de code indirecte

Scanners actifs

Les scanners actifs créent un aperçu détaillé de votre réseau et de vos assets à un moment donné.

Les scans actifs génèrent un trafic réseau et interagissent avec les appareils sur votre réseau. Ils envoient des paquets à une cible distante, ce qui crée une vue instantanée de votre réseau à ce moment précis.

Vous pouvez alors comparer les services et applications actifs à une base de données de plug-ins afin de déterminer la présence de vulnérabilités.

Les scans actifs sont une option idéale pour les appareils IT dans un environnement IT/OT convergent. Ils donnent des informations sur :

• les applications installées
• les bibliothèques et services
• des milliards de vulnérabilités
• des détails sur les utilisateurs, les groupes et les logiciels installés

Les scans actifs aident également à évaluer les configurations. Ils dévoilent les noms d'utilisateur et mots de passe par défaut pour les systèmes et applications critiques. Ces scans permettent de détecter les malwares et peuvent déceler les portes dérobées, les ports ouverts, les mauvaises empreintes de fichiers et d'autres problèmes.

Tenable Vulnerability Management dispose de scans actifs intégrés, notamment :

• Des scans à la demande lancés par l'utilisateur
• Des scans planifiés qui s'exécutent tous les jours, toutes les semaines ou tous les mois, à un moment déterminé
• Des scans dépendants, qui se lancent quand un scan parent planifié est terminé. Vous pouvez lier des scans dépendants à d'autres scans dépendants.

Les scans actifs ne couvrent pas les appareils comme les tablettes, les smartphones ou les ordinateurs portables qui sont susceptibles d'apparaître occasionnellement sur votre réseau.

Ils peuvent par ailleurs causer des perturbations potentielles. Il est donc préférable de ne pas les utiliser sur des assets qui peuvent subir une panne ou une interruption suite à un scan. Ces assets peuvent, par exemple, être des systèmes critiques pour votre infrastructure organisationnelle, des appareils médicaux et des systèmes de contrôle IoT ou industriel.

Scans authentifiés

Les scans authentifiés permettent aux utilisateurs de se connecter à distance aux appareils et de les examiner de l'intérieur. Ils collectent des informations sur les paramètres de configuration et sur l'infection potentielle de logiciels par un malware.

Pour réaliser un scan authentifié, vous n'êtes pas obligé d'installer de logiciel sur un asset. Cependant, le scan peut tout de même occasionner des perturbations en utilisant la puissance de traitement et la bande passante du réseau.

Il est préférable d'utiliser des scans authentifiés pour les contrôles de sécurité IT dans les couches supérieures de votre environnement OT. Vous pouvez fréquemment utiliser ces scans avec des scans non authentifiés afin d'obtenir plus d'informations de l'intérieur et de l'extérieur.

Agents

Les scans avec agent examinent chaque appareil de l'intérieur. Ces scans sont généralement réalisés sur des systèmes d'environnement de contrôle et sont installés sur un appareil ou un serveur pour qu'ils fonctionnent. Les scans avec agent sont adaptés aux appareils qui ne sont pas fréquemment connectés (ou pas connectés du tout) à votre réseau.

Les scans avec agent peuvent servir à détecter des malwares sur un appareil, rechercher des mauvaises configurations et découvrir des vulnérabilités.

Les agents sont généralement faciles à installer et non intrusifs. Il existe toutefois des inconvénients, en particulier pour les ressources. En effet, puisqu'ils sont installés sur un appareil, ils utilisent de l'énergie, de la bande passante, de l'espace disque et de la mémoire. Avec une installation sur l'appareil, testez prudemment l'agent avant l'installation, en particulier dans des environnements OT.

Registre d'images

Le registre d'images est un processus de sécurité pour logiciel pendant la phase de création/développement. Les registres d'images conservent et scannent les images pour détecter des assets. Ils prennent en compte les conteneurs et instances de cloud public. L'avantage d'un registre d'images est qu'il détecte les problèmes de sécurité potentiels avant le déploiement d'un nouveau logiciel. Vous pouvez également utiliser un registre d'images pour des logiciels ou composants open source.

À quelle fréquence effectuer des scans de vulnérabilités ?

Pour déterminer la fréquence à laquelle effectuer des scans de vulnérabilités, tenez compte des éléments suivants :

• Taille de votre entreprise
• Secteur d'activité
• Obligations de sécurité et de conformité
• Profil de risque
• Spécificités de votre surface d'attaque

L'idéal, et la meilleure pratique, consiste à réaliser des scans de vulnérabilités automatisés et continus. Si cela n'est pas possible, envisagez d'effectuer des scans au moins une fois par mois, et plus fréquemment en fonction de votre niveau de risque acceptable. Par ailleurs, exécutez des scans au moment où des changements ont lieu au niveau du réseau, comme une expansion, l'intégration de nouveaux appareils ou des mises à jour significatives des systèmes, de l'infrastructure ou des logiciels.

Avantages des scans de vulnérabilités automatisés

• Capacité à scanner des surfaces d'attaque complexes en utilisant moins de ressources
• Charges de travail de sécurité IT réduites
• Identification des expositions liées à la sécurité en temps réel
• Capacité à suivre les changements au fil du temps
• Réduction du risque d'erreur humaine
• Processus cohérents et conformité aux politiques
• Meilleure visibilité sur votre surface d'attaque
• Posture de sécurité proactive pour réduire le risque de cyber-attaque

4. Le rôle de l'évaluation de vulnérabilités dans la gestion des vulnérabilités

---

Les évaluations de vulnérabilités jouent un rôle clé dans la gestion des vulnérabilités. Les évaluations de sécurité détectent des assets et des vulnérabilités afin que votre équipe puisse les prioriser et y remédier.

En termes de priorité du programme, les évaluations de vulnérabilités peuvent aider les équipes à comprendre le cyber-risque en lien avec le risque business afin de prendre des décisions plus éclairées et stratégiques.

Qu'est-ce que l'évaluation des vulnérabilités ?

Une évaluation de vulnérabilités est un moyen de connaître, d'exposer et d'éliminer les vulnérabilités à l'échelle de votre entreprise. Elle utilise différents outils et techniques de scan pour détecter des failles de sécurité, comme des correctifs manquants, des mauvaises configurations et des systèmes d'exploitation, logiciels et firmwares obsolètes.

Ces évaluations font bien plus qu'identifier des vulnérabilités. Elles fournissent le contexte et une threat intelligence pour prioriser et élaborer des stratégies de remédiation. Il s'agit d'une approche proactive visant à réduire le risque de cyber-attaque.

Défis liés à l'évaluation de vulnérabilités

• Un trop grand nombre de vulnérabilités à éliminer
• L'absence de contexte pour une menace ou de threat intelligence fiable
• Un trop grand nombre de vulnérabilités classées critiques ou élevées qui ne représentent pas de risque réel
• Des informations insuffisantes pour prioriser la remédiation
• L'absence de processus de remédiation établis ou conformes aux meilleures pratiques
• Un trop grand nombre de faux positifs et de faux négatifs
• Une fatigue vis-à-vis des alertes de menace
• Trop d'assets et de vecteurs d'attaque différents
• Un manque de visibilité sur tous les assets
• Trop de contrôles de sécurité réactifs

Avantages de l'évaluation de vulnérabilités

• Identification des failles de sécurité au niveau des assets
• Évaluation de sécurité de vos réseaux, systèmes et applications
• Réduction du risque
• Gestion proactive de la cyber-sécurité
• Garantie de la conformité
• Aide à obtenir une cyber-assurance sécurisée
• Réduction du risque de cyber-violation, d'amendes, de sanctions et de frais de reprise associés

Quelle est la différence entre l'évaluation des vulnérabilités et les tests d'intrusion ?

Les évaluations de vulnérabilités et les tests d'intrusion sont différents, mais complémentaires. Ils disposent de différents champs d'application et priorités.

Une évaluation de vulnérabilités est une vision ponctuelle des failles de sécurité.

Les tests d'intrusion stimulent une cyber-attaque réelle pour démontrer comment les attaquants pourraient exploiter une vulnérabilité. Les tests d'intrusion peuvent également détecter d'autres problèmes de sécurité dont vous ignorez peut-être l'existence.

Une évaluation de vulnérabilités permet de détecter des vulnérabilités. Un test d'intrusion en démontre les répercussions.

5. Notation et priorisation des vulnérabilités

---

La priorisation des vulnérabilités et leur notation fonctionnent en tandem pour informer quant à la remédiation à appliquer. La notation permet d'évaluer chaque vulnérabilité en fonction de son impact potentiel. La priorisation s'appuie sur la notation, mais va plus loin que cette dernière. Elle considère également si l'exploit existe en environnement réel, la probabilité qu'un attaquant exploite cette vulnérabilité à court terme et l'impact business. Ces facteurs de priorisation aident les équipes à identifier les problèmes de sécurité sur lesquels se concentrer en priorité, en se basant sur leur impact direct critique pour l'entreprise. Utilisées ensemble, la notation et la priorisation des vulnérabilités permettent de réduire le risque.

Pourquoi la priorisation des vulnérabilités est-elle importante ?

La priorisation des vulnérabilités, ou la priorisation du risque, est importante car elle aide les entreprises à identifier les vulnérabilités qui requièrent une attention immédiate et celles qui peuvent être corrigées plus tard. Sans cela, les équipes ne disposent pas du contexte nécessaire pour savoir quelles vulnérabilités corriger en priorité parmi les milliers de menaces potentielles.

Sans priorisation, les équipes de sécurité patinent et finissent par s'embourber dans la sécurité réactive. Une approche de la gestion des vulnérabilités sans priorisation se révèle inefficace, engloutit les ressources et le budget, sans aider véritablement à réduire le risque.

Quels sont les défis courants de la priorisation des vulnérabilités ?

• Trop de données sur les vulnérabilités avec trop peu de contexte
• Un trop grand nombre d'alertes
• Un trop grand nombre de faux positifs et de faux négatifs
• Une notation inexacte qui complique l'identification des vulnérabilités à haut risque de celles qui ne sont pas urgentes
• Un manque de compréhension du lien entre le cyber-risque et le risque business
• Des problèmes à identifier tous les assets et à comprendre ceux qui sont critiques à la résilience opérationnelle
• Des difficultés à recruter des professionnels de la sécurité compétents
• Des contraintes budgétaires
• Des outils de gestion des vulnérabilités disparates qui cloisonnent les données
• Un paysage des menaces en constante évolution

Quels sont les avantages de la priorisation des vulnérabilités en vue d'une remédiation ?

• Des processus de remédiation ciblés et plus efficaces
• Une réduction concrète du risque, moins coûteuse en ressources et plus économique
• Une remédiation plus rapide des vulnérabilités critiques
• Un risque de cyber-attaques réduit
• Une efficacité opérationnelle améliorée
• Une confiance accrue en matière de conformité
• Une capacité à aligner le cyber-risque sur la tolérance du risque business et les objectifs de l'entreprise
• Une cyber-hygiène améliorée
• Une posture de sécurité renforcée

Qu'est-ce que les vulnérabilités et expositions courantes (CVE) et à quoi servent-elles ?

Les CVE sont des identifiants utilisés par les professionnels pour référencer les vulnérabilités connues liées à la sécurité et que MITRE a identifié et répertorié dans sa base de données CVE. MITRE attribue à chaque CVE une année et un numéro correspondant. Chaque CVE comporte également d'autres informations importantes, comme le nom, la description et l'impact potentiel de l'exploit. Il y a plus de 264 000 CVE dans la base de données.

Une CVE uniformise la manière dont les entreprises suivent les données sur les vulnérabilités grâce à plusieurs outils et technologies. Les scanners de vulnérabilités, par exemple, peuvent utiliser les données sur les CVE pour avoir plus de détails sur une vulnérabilité et guider les efforts de remédiation.

Qu'est-ce que le classement VPR ?

Le classement VPR (Vulnerability Priority Rating) est l'outil d'évaluation des vulnérabilités développé par Tenable. Contrairement au score CVSS (Common Vulnerabilities Scoring System), le classement VPR prend en considération la threat intelligence, la criticité des assets, l'activité des exploits en environnement réel et d'autres facteurs en temps réel pour identifier les vulnérabilités qui représentent la plus grande menace en fonction du profil de risque et de la surface d'attaque. Les classements VPR ne sont pas statiques. Tenable met à jour les systèmes VPR à mesure qu'apparaissent de nouvelles informations sur les menaces.

Comparé au classement VPR, le score CVSS détecte une montagne de vulnérabilités répertoriées comme critiques ou élevées. Pourtant, les équipes de sécurité n'ont pas besoin de détecter et de corriger chacune d'entre elles. Toutes les vulnérabilités ne représentent pas un risque réel. L'objectif du classement VPR est de vous aider à comprendre les vulnérabilités que les attaquants sont les plus susceptibles d'exploiter en fonction de votre surface d'attaque et d'autres facteurs.

Comment utiliser l'IA et l'apprentissage automatique pour la priorisation des vulnérabilités ?

Vous pouvez utiliser l'IA et l'apprentissage automatique pour évaluer avec rapidité et précision les données sur les vulnérabilités, les renseignements sur les menaces et les informations sur les assets en temps réel, ce qui permet de réduire les faux positifs, les faux négatifs et les alertes inutiles. Les outils de gestion des vulnérabilités basés sur l'IA peuvent s'appuyer sur des données historiques pour prédire les exploits futurs et d'autres tendances.

Tenable Exposure AI utilise l'IA générative pour rendre l'analyse des vulnérabilités et la prise de décisions plus rapides, notamment en apportant des conseils de remédiation afin d'accélérer les activités de réduction du risque. Cette solution contextualise les données sur les menaces pour que vos équipes puissent prendre des décisions de sécurité plus efficaces et proactives, et ainsi réduire le risque de cyber-violation.

6. Dispositifs de surveillance du réseau

---

Qu'est-ce qu'un dispositif de surveillance réseau et comment peut-il aider à gérer les vulnérabilités ?

Un dispositif de surveillance des vulnérabilités réseau permet de détecter les vulnérabilités et autres problèmes de sécurité au sein de votre infrastructure IT traditionnelle, tels que les éléments suivants :

• Réseaux
• Serveurs
• Systèmes d'exploitation
• Applications

Les scanners d'applications web sont similaires, mais fonctionnent avec des applications tierces et servent à tester les applications internes.

Surveillance passive du réseau

La surveillance passive du réseau vous apporte des informations en continu quant aux applications et systèmes d'exploitation sur votre réseau. Elle vous aide à voir :

• qui est connecté à votre réseau
• les transferts de données
• les hôtes actuellement actifs
• quand un nouvel hôte devient actif
• quels ports/services sont actifs
• les connexions entre assets

La surveillance passive du réseau utilise l'inspection approfondie des paquets pour analyser le trafic réseau. Elle est idéale pour les appareils IT et OT dans un environnement IT/OT convergé afin de découvrir et d'identifier des assets et vulnérabilités réseau actifs, ainsi que des applications et services installés actifs.

Les scans actifs ne sont pas toujours une option, car ils risquent de perturber vos opérations. Les scans passifs, quant à eux, vous offrent plus de visibilité et vous tiennent mieux informé de ce qui se passe sur votre surface d'attaque.

La surveillance passive du réseau utilise également la découverte des assets en temps réel. Cela signifie que vous pouvez éliminer les angles morts créés par des scans actifs périodiques.

Les scans réseau passifs sont efficaces pour découvrir des vulnérabilités dans vos systèmes de contrôle industriel (ICS) et systèmes Supervisory Control and Data Acquisition (SCADA). Les scans actifs risquent perturber ces environnements.

Nessus Network Monitor

Nessus Network Monitor (NNM) analyse passivement le trafic réseau pour éradiquer les angles morts. NNM constitue un moyen sûr et non intrusif de gérer les systèmes sensibles.

Tenable Vulnerability Management et Tenable Security Center intègrent Nessus Network Monitor comme capteur.

Voici quelques avantages qu'offre l'utilisation d'un dispositif de surveillance réseau :

• Surveillance et évaluation des risques non intrusives et en continu de votre réseau
• Surveillance du trafic réseau au niveau des paquets pour offrir de la visibilité sur les vulnérabilités côté serveur et côté client
• Évolutivité pour répondre aux exigences futures de découverte des assets et de surveillance des vulnérabilités pour tous vos appareils, notamment les systèmes virtuels et services cloud
• Évaluation automatique des infrastructures et des vulnérabilités
• Détection des vulnérabilités sur les systèmes communicants, notamment les protocoles et applications
• Identification de la compromission des applications
• Découverte exhaustive des assets de tous les appareils

Que rechercher dans les outils de surveillance passive du réseau ?

• Une visibilité complète sur le trafic réseau
• Des capteurs permettant de se connecter à un port SPAN ou un point d'accès pour test (TAP) physiques. Pour le trafic présent dans un environnement cloud ou une infrastructure virtuelle, le dispositif de surveillance doit opérer sur une machine virtuelle correctement configurée.
• Une prise en charge des protocoles TCP (Transmission Control Protocol) et UDP (User Datagram Protocol)
• Une prise en charge de protocoles système tels que SCTP, ICMP, IPIP, etc.
• La reconnaissance de tous les assets dans votre surface d'attaque qui utilisent vos protocoles
• L'identification de toutes les vulnérabilités connues
• L'envoi d'alertes à votre solution SIEM (Gestion de l'information et des événements de sécurité) en cas de découverte de nouveaux assets.

Dans Tenable Nessus, les dispositifs de surveillance passive du réseau, à savoir des capteurs de surveillance, permettent la découverte en continu de tous les assets réseau actifs et facilitent les évaluations de vulnérabilités. Nessus Network Monitor est également intégré à Tenable Vulnerability Management.

En quoi consistent les évaluations de vulnérabilités réseau pour les entreprises ?

Une évaluation des vulnérabilités réseau pour les entreprises permet aux équipes de sécurité d'identifier et d'évaluer les failles de sécurité dans votre infrastructure IT. Elle fonctionne en scannant votre réseau, vos bases de données, vos applications et vos autres assets pour découvrir des cyber-expositions.

Les évaluations des vulnérabilités réseau pour entreprise aident à réduire les expositions en offrant une visibilité sur vos assets IT et vos vulnérabilités. Elles peuvent également aider à se conformer à de nombreux cadres de sécurité et normes de conformité.

7. Gestion des correctifs

---

Qu'est-ce que la gestion des correctifs ?

La gestion des correctifs est un processus de mise à jour des systèmes et des logiciels visant à réduire les cyber-expositions.

Défis autour de la priorisation de l'installation des correctifs :

• Le volume de systèmes et d'applications au sein de votre surface d'attaque
• Les fournisseurs qui publient en permanence de nouveaux correctifs

Les priorités concernant l'application de correctifs doivent correspondre aux scores de risque les plus élevés liés à vos vulnérabilités. Si votre système de notation classe une vulnérabilité élevée ou critique, commencez par celle-ci. Passez ensuite aux vulnérabilités plus faibles, par ordre de sévérité décroissant.

Comme pour la découverte des assets, il est difficile de visualiser l'ensemble des correctifs appliqués sans plateforme de gestion des vulnérabilités.

Le dashboard Gestion des vulnérabilités, par exemple, indique les correctifs dont vos assets critiques ont besoin. Le classement VPR de Tenable indique sur quoi concentrer votre attention en priorité pour accélérer la remédiation.

Vous pouvez même filtrer la liste des correctifs pour procéder à un examen plus approfondi. En visualisant les correctifs publiés au cours des 90 derniers jours, vous pouvez appliquer des filtres afin d'afficher les plus critiques.

Certains correctifs causent des perturbations. Il est donc préférable de les pré-tester avant de les déployer dans un environnement actif. Après déploiement, pensez à effectuer des tests d'intrusion internes et externes pour voir si le correctif fonctionne comme prévu.

Votre système de gestion des correctifs est-il efficace ?

• Votre équipe applique-t-elle tous les correctifs de sécurité ?
  • Élaborez une politique pour déterminer si vos professionnels de la sécurité doivent couvrir tous les correctifs ou non. Si la réponse est oui, Nessus et Tenable Security Center peuvent déterminer si votre système de correctifs fonctionne. Si vous n'avez pas besoin d'une couverture totale, effectuez un audit externe pour dévoiler les failles de sécurité que les processus d'application de correctifs ne corrigent pas.
• À quelle vitesse appliquez-vous des correctifs ?
  • Créez une politique concernant un calendrier pour l'installation des correctifs. Vous pouvez utiliser Nessus et Tenable Security Center pour tester les divergences au niveau de votre politique et rendre compte de l'avancement.
• Intégrez-vous de nouveaux hôtes dans votre programme de gestion des correctifs ?
  • Quand vous ajoutez des serveurs ou des ordinateurs portables à votre infrastructure, utilisez Tenable Security Center pour surveiller votre cycle de correctifs.
• Que se passe-t-il pour les appareils intégrés ?
  • Il existe des problèmes de sécurité au sein des appareils intégrés, comme les commutateurs, les pare-feu, les routeurs et les imprimantes. Utilisez Nessus et Tenable Security Center pour trouver les problèmes de correctifs dans ces appareils intégrés.

Participez à ce webinaire portant sur la gestion des vulnérabilités, proposé à la demande : « Let’s End the Confusion and Get Awesome at Patching. » Il aborde les sujets suivants :

• Qu'est-ce qui rend une vulnérabilité critique et quel impact peut-elle avoir sur une application de correctifs efficace
• Comment résoudre le manque de communication entre vos équipes IT et de sécurité pour améliorer l'efficacité de l'application de correctifs
• Comment rationaliser les efforts liés à l'application de correctifs et à la remédiation

Pourquoi certaines applications de correctifs échouent-elles ?

• Votre appareil, un serveur UNIX ou Windows, par exemple, est peut-être trop sécurisé. Certaines configurations empêchent les comptes d'utilisateurs distants ou les agents d'utilisateurs locaux de publier un correctif.
• L'accès au réseau est limité. Par exemple, votre serveur possède des paramètres réseau qui ne sont plus à jour, comme un ancien serveur DNS ou un routeur local qui semble actif mais est en réalité obsolète.
• Les règles des pare-feu peuvent affecter les systèmes et causer un dysfonctionnement des correctifs.
• Le correctif pourrait avoir des dépendances que vous n'avez pas prises en compte.
• Le correctif peut ne pas fonctionner si vous possédez un espace limité sur votre disque ou votre partition. Ceci s'avère également vrai pour les correctifs auto-extractibles
• Vous possédez peut-être une bande passante limitée qui empêche le déploiement et l'installation du correctif.

Le rôle de la gestion des correctifs dans la remédiation des vulnérabilités

• Garantit une remédiation des vulnérabilités rapide
• Réduit votre surface d'attaque
• Résout de manière proactive les mauvaises configurations et les problèmes de sécurité
• Réduit le risque d'exploitation
• Améliore la cyber-hygiène

8. Gestion des vulnérabilités dans le cloud

---

En quoi consiste la gestion des vulnérabilités dans le cloud ?

La gestion des vulnérabilités dans le cloud comprend l'identification, la priorisation et la remédiation des risques de sécurité au sein des environnements cloud. Le cloud est dynamique. Les ressources y étant ajoutées et retirées en permanence, les pratiques de sécurité traditionnelles ne fonctionnent pas toujours.

Pour garantir l'efficacité de votre programme de gestion des vulnérabilités dans le cloud, utilisez des outils cloud natifs comme une CNAPP. Cela permet aux équipes de sécurité de conserver leur visibilité sur la surface d'attaque, de détecter les mauvaises configurations et de répondre rapidement aux menaces potentielles dans les environnements cloud publics, privés et hybrides.

Quelles sont les vulnérabilités communes dans les environnements cloud ?

Les vulnérabilités des environnements cloud contiennent souvent des mauvaises configurations, des logiciels non corrigés et des API non sécurisées. Parmi les autres vulnérabilités cloud courantes, on trouve un accès au stockage trop permissif, des services exposés et des configurations inappropriées de la gestion des identités et des accès (IAM).

Les équipes de sécurité peuvent laisser par inadvertance des ressources cloud, comme des bases de données et des machines virtuelles, accessibles au public. Cette situation se produit quand il y a une incompréhension du modèle de responsabilité partagée de la sécurité du cloud, et que les utilisateurs supposent qu'un fournisseur de services cloud (CSP) ou un autre tiers s'occupera de la sécurité et de la conformité.

S'il existe des failles dans la sécurité du cloud, les attaquants peuvent les exploiter afin de compromettre les systèmes, voler des données ou perturber les services. Des évaluations régulières de la sécurité du cloud et des outils automatisés permettent de détecter et de corriger des vulnérabilités cloud afin d'éviter les violations de manière proactive.

En quoi les vulnérabilités dans le cloud diffèrent-elles des vulnérabilités sur site ?

Contrairement aux systèmes et logiciels sur site, le cloud connaît généralement des changements fréquents au niveau de ses configurations, de ses instances et de ses services. Cela rend les pratiques de gestion des vulnérabilités traditionnelles, comme les scans manuels, insuffisantes pour le cloud.

Comment prévenir les vulnérabilités dans le cloud ?

Pour éviter les vulnérabilités dans le cloud, adoptez une approche proactive basée sur le risque. Implémentez les meilleures pratiques, telles que la configuration sécurisée des ressources cloud, l'application régulière de correctifs et la mise en œuvre d'un accès selon le principe du moindre privilège.

Utilisez des outils de sécurité du cloud automatisés qui surveillent en continu les mauvaises configurations et les vulnérabilités. L'authentification multifacteur (MFA) et l'utilisation d'outils de gestion de la posture de sécurité du cloud (CSPM) aident également à sécuriser le cloud.

Quels outils sont les plus adaptés à la gestion des vulnérabilités dans le cloud ?

Vos outils de gestion des vulnérabilités doivent apporter de la visibilité, une surveillance en continu et une remédiation automatisée au niveau de tous vos environnements cloud.

Tenable Vulnerability Management, par exemple, offre une gestion des vulnérabilités complète pour les environnements multicloud et hybrides. Il scanne les assets en temps réel, détecte des mauvaises configurations et contextualise les risques pour faciliter la priorisation des efforts de remédiation.

Des fonctions telles que l'intégration aux API cloud natives, les rapports détaillés et les contrôles de conformité garantissent une détection des vulnérabilités précoce. Les stratégies de remédiation guidée réduisent votre surface d'attaque et garantissent votre conformité.

9. Gestion des vulnérabilités dans les environnements d'IA

---

Les applications et services d'IA introduisent de nouveaux risques de sécurité complexes. On peut notamment penser aux attaques par exemples contradictoires, où les attaquants manipulent les données pour tromper les modèles d'IA afin qu'ils produisent des résultats incorrects.

Les attaques contre la sécurité de l'IA peuvent fausser les modèles d'apprentissage automatique, les poussant à se comporter de manière imprévisible.

De plus, les systèmes d'IA intégrés aux infrastructures cloud peuvent engendrer des mauvaises configurations, des API non sécurisées et des logiciels obsolètes qui introduisent de nouvelles expositions. Ces risques représentent des vecteurs critiques, qui nécessitent donc de scanner en continu les applications alimentées par l'IA afin de détecter les menaces en temps réel. Il est également indispensable d'appliquer des correctifs et de procéder à des mises à jour régulièrest pour atténuer le risque.

Quelles sont les principales vulnérabilités dans les environnements d'IA ?

• Pollution des données dans le but de fausser les prévisions du modèle d'IA
• Manipulation des algorithmes
• Mauvaises configurations
• API non sécurisées

Comment gérer les vulnérabilités dans les systèmes d'IA ?

Pour gérer les vulnérabilités dans les systèmes d'IA, utilisez un outil de gestion des vulnérabilités qui surveille en continu ces environnements. Effectuez des évaluations du risque pour détecter des problèmes de sécurité liés à l'IA.

Les environnements d'IA générative impliquent des infrastructures complexes, ce qui rend les pratiques de gestion des vulnérabilités traditionnelles inefficaces. Les solutions de Tenable visent notamment à identifier et à remédier aux vulnérabilités au niveau des pipelines de développement d'IA, des mauvaises configurations des infrastructures et de l'intégrité des données afin de corriger les expositions de sécurité liées à l'IA.

Comment l'IA affecte-t-elle la gestion des vulnérabilités ?

Les systèmes d'IA peuvent automatiser les scans de vulnérabilités, prioriser les risques et suggérer une remédiation basée sur la threat intelligence. Ils doivent toutefois être sécurisés pour éviter qu'ils ne deviennent des vecteurs d'attaque.

L'exploitation de l'IA pour améliorer les contrôles de sécurité aide à améliorer l'efficacité de votre programme, mais nécessite une attention particulière afin de sécuriser les modèles et infrastructures d'IA.

Défis

• La complexité des systèmes d'IA (architectures et algorithmes enchevêtrés) ne simplifie en rien l'identification et l'évaluation des vulnérabilités
• La sensibilité des données
• Un nouveau paysage des menaces lié à l'IA en pleine évolution
• Des problèmes d'intégration et des angles morts

Opportunités

• Une détection des menaces améliorée et plus efficace
• La remédiation automatisée pour plus de cohérence afin de réduire les erreurs humaines et diminuer le temps et les ressources liés aux interventions manuelles
• Une évaluation des risques plus efficace avec augmentation des capacités d'analyse des données. Par exemple, la possibilité d'obtenir des informations à partir des données historiques
• Des contrôles de sécurité proactifs avec capacités d'apprentissage pour anticiper et atténuer les menaces

Quels outils de gestion des vulnérabilités basés sur l'IA sont disponibles ?

Les outils d'IA, tels que Tenable Vulnerability Management, fournissent des solutions de gestion des vulnérabilités complètes dans les environnements d'IA. Ils proposent des fonctions telles que les évaluations de la sécurité des API et l'analyse des risques par apprentissage automatique. Tenable peut aider à gérer les vulnérabilités tout au long du cycle de vie de l'IA, du développement au déploiement.

Qu'est-ce que Tenable AI Aware ?

Tenable AI Aware protège les environnements d'IA et les grands modèles de langage (LLM).

Tenable AI Aware identifie et atténue de manière proactive les vulnérabilités propres aux modèles d'IA, corrigeant les risques tels que la manipulation des modèles, la pollution des données et les intégrations non sécurisées. Il s'intègre aux workflows de développement de l'IA, fournissant une surveillance en continu, des évaluations du risque et une remédiation automatisée, de la formation au déploiement, afin d'offrir une protection complète contre les menaces traditionnelles et propres à l'IA.

10. Gestion des risques et des vulnérabilités

---

La gestion des vulnérabilités et la gestion des risques sont étroitement liées. La gestion des vulnérabilités est axée sur l'identification, l'évaluation, la priorisation et l'atténuation des failles de sécurité sur votre surface d'attaque. La gestion des risques permet d'évaluer l'impact de ces vulnérabilités sur les opérations.

En comprenant l'impact qu'ont les vulnérabilités sur les objectifs de l'entreprise et en alignant les initiatives de sécurité sur ces derniers, vous pouvez affecter des ressources pour répondre plus rapidement à vos problèmes de sécurité les plus urgents.

Une gestion des risques efficace s'appuie sur les informations apportées par la gestion des vulnérabilités. Comprendre les conséquences potentielles des vulnérabilités aide les équipes à élaborer des stratégies pour réduire au maximum l'exposition aux menaces.

Cela permet de renforcer la posture de sécurité proactive et d'anticiper les vulnérabilités futures en fonction des menaces émergentes.

En quoi consiste l'analyse comparative en matière de gestion des vulnérabilités ?

En matière de gestion des vulnérabilités, l'analyse comparative permet de comparer votre posture de sécurité aux normes du secteur, aux meilleures pratiques ou à vos pairs. Elle aide à établir des objectifs d'amélioration mesurables.

L'utilisation d'une solution de gestion des vulnérabilités avec des fonctionnalités d'analyse des données, de reporting et d'analyse comparative vous donne des informations précieuses sur l'efficacité et le retour sur investissement (ROI) de votre programme.

L'analyse comparative peut également aider à définir des indicateurs de performance clés (KPI) pour suivre votre avancement au fil du temps. En analysant des métriques telles que le nombre de vulnérabilités découvertes, le délai de remédiation et l'efficacité de la stratégie d'atténuation, vous pouvez prendre des décisions fondées sur les données pour affiner vos processus de gestion des risques.

Analyse et reporting en matière de gestion des vulnérabilités

Grâce à l'analyse et au reporting utilisés pour la gestion des vulnérabilités, vous bénéficiez d'une vision plus approfondie de votre paysage des vulnérabilités. Les outils de reporting en matière de gestion des vulnérabilités facilitent la communication des détections et des stratégies aux parties prenantes pour renforcer leur soutien envers votre programme. Un reporting complet prend également en charge la conformité.

Utiliser la gestion des vulnérabilités pour aligner le cyber-risque sur le risque business

L'alignement du cyber-risque sur le risque business est un élément fondamental de la gestion des vulnérabilités. En comprenant l'impact que les vulnérabilités pourraient avoir sur les opérations critiques, vous pouvez prioriser la remédiation en fonction des conséquences financières et opérationnelles potentielles.

Cette approche basée sur le risque facilite la priorisation des vulnérabilités qui constituent la plus grande menace pour votre mission, plutôt que de se contenter de corriger les expositions en fonction de leur score de sévérité.

En inscrivant la gestion des vulnérabilités dans le contexte du risque business, vous renforcez votre résilience et réduisez votre risque.

Aider les professionnels de la sécurité à remporter l'adhésion et le soutien des parties prenantes

Traditionnellement, les équipes de sécurité, les dirigeants et les parties prenantes clés, comme le conseil d'administration, ne parlaient pas le même langage. La gestion des vulnérabilités permet d'éliminer ces obstacles à la communication pour aider les professionnels de sécurité à obtenir l'adhésion de tous.

En démontrant efficacement les répercussions potentielles des vulnérabilités sur les opérations et les finances, vous pouvez promouvoir l'importance de mesures de sécurité proactives, sans être freiné par des termes techniques que les professionnels non techniques ne comprennent pas.

Avec des informations sur la sécurité fondées sur les données et des métriques alignées sur les objectifs de l'entreprise, vous pouvez mettre en avant les risques associés aux vulnérabilités non corrigées. Vous pouvez également présenter un argument convaincant pour bénéficier d'un soutien continu et d'un investissement dans les initiatives de cyber-sécurité.

L'implication des parties prenantes dans le processus de gestion des vulnérabilités renforce également le sentiment de responsabilité. Lorsque les parties prenantes comprennent la nature critique des vulnérabilités et qu'elles connaissent les efforts déployés en continu en matière de sécurité, elles sont plus susceptibles d'apporter leur soutien et leurs ressources.

11. Solutions de gestion des vulnérabilités

---

En quoi la gestion des vulnérabilités est-elle nécessaire ?

Votre surface d'attaque possède des centaines de vecteurs d'attaque potentiels, un nombre infini d'assets et des environnements de travail complexes. Il devient alors impossible pour les équipes de sécurité de corriger toutes les vulnérabilités. Pourtant, les attaquants recherchent activement des moyens d'exploiter ces failles.

Bien que la National Vulnerability Database (NVD) possède plus de 265 000 CVE, les attaquants exploiteront en réalité un nombre infime de ces vulnérabilités. Cependant, ils pourraient cibler n'importe quelle faille de sécurité à tout moment.

Les entreprises accordent généralement le plus d'attention aux vulnérabilités ayant un score élevé/critique, mais les attaquants ne s'intéressent pas aux scores CVE. Ils recherchent plutôt le moyen le plus facile d'exploiter des vulnérabilités, où qu'elles se trouvent.

Comment choisir une solution de gestion des vulnérabilités ?

Si votre entreprise a certainement des besoins uniques qui orienteront son choix quant à la sélection d'une solution de gestion des vulnérabilités, il existe des considérations fondamentales à prendre en compte, quel que soit le secteur d'activité :

1. Découverte des assets en continu

La solution de gestion des vulnérabilités de votre entreprise doit offrir une couverture holistique, notamment en permettant de découvrir en continu des assets et en proposant une visibilité complète sur votre surface d'attaque.

Choisissez une solution ayant les caractéristiques suivantes :

• Scanners réseau
• Agents pour les terminaux fréquemment hors réseau, par exemple des ordinateurs portables ou appareils mobiles
• Dispositifs de surveillance passive du réseau pour découvrir des assets et des vulnérabilités en continu
• Connecteurs cloud et scanners cloud pré-autorisés pour surveiller et évaluer les instances cloud
• Scanners d'images pour les images de conteneurs statiques avant le déploiement
• Scanners d'applications web
• Intégrations au cloud, à une CMDB, à des pipelines CI/CD, des systèmes de tickets/SOAR et à d'autres technologies

2. Évaluation au-delà des scans statiques

L'évaluation des assets ne doit pas se limiter à un simple scan. Votre solution de gestion des vulnérabilités doit faciliter la collecte et l'évaluation de données pour identifier les problèmes de sécurité.

Choisissez une solution ayant les caractéristiques suivantes :

• Évaluation de conteneurs avant le déploiement avec des intégrations aux workflows des développeurs
• Besoins d'évaluation des charges de travail cloud avec une visibilité basée sur API
• Détection passive pour les appareils IT et OT qui n'aura pas de conséquences sur les performances et la disponibilité du système

3. Priorisation avancée

Une plateforme de gestion des vulnérabilités pour les entreprises doit synthétiser les données sur les vulnérabilités à l'aide de l'apprentissage automatique et de l'IA. Ces outils peuvent vous permettre de dévoiler les angles morts et les tendances cachées afin de mieux comprendre les risques pour l'entreprise.

Choisissez une solution ayant les caractéristiques suivantes :

• Priorisation des vulnérabilités
• Entrées de données pour la priorisation
• Équipes dédiées à la recherche et aux données de pointe
• Évaluation automatisée et évolutive des assets

4. Rapports automatisés et analyses comparatives

Votre solution de gestion des vulnérabilités doit fournir des rapports prêts à l'emploi pour répondre à vos besoins fondamentaux. Recherchez une solution disposant d'une API robuste pour faciliter les intégrations et automatiser les rapports.

En adaptant les rapports personnalisés selon les besoins de votre équipe, les objectifs de votre entreprise et les exigences de conformité, vous pourrez améliorer la communication quant à votre programme.

Par ailleurs, pensez à choisir un outil de gestion des vulnérabilités qui comporte des indicateurs d'analyses comparatives. Cela permettra à vos équipes d'évaluer l'efficacité d'un programme à la fois en interne et par rapport aux autres entreprises du secteur.

5. Tarifs et licences simples

Votre solution de gestion des vulnérabilités doit présenter une tarification simple. Sélectionnez un fournisseur proposant un modèle de licence qui ne vous pénalise pas pour avoir utilisé une API ou la threat intelligence.

6. Évolutivité

Votre solution de gestion des vulnérabilités doit être flexible et pouvoir évoluer en fonction de la croissance et des changements de votre entreprise au fil du temps. Recherchez une solution qui s'adapte à votre rythme.

12. Meilleures pratiques en matière de gestion des vulnérabilités

---

Les attaquants peuvent exploiter les failles de votre surface d'attaque de nombreuses manières. Une seule violation de sécurité peut avoir des effets dévastateurs pour votre entreprise. Voici quelques meilleures pratiques à appliquer pour votre programme de gestion des vulnérabilités :

Identification et gestion des assets

Commencez par identifier la totalité de vos assets, et ce dans tous vos environnements (sur site et dans le cloud).

Puis, répondez aux questions suivantes :

• Où se situe l'asset ?
• Comment utilisons-nous l'asset ?
• Qui est responsable de la gestion des assets ?
• À quel point cet asset est-il critique pour les opérations ?

Suivez et enregistrez les relations et dépendances avec d'autres assets sur votre surface d'attaque. Si un attaquant compromet un asset, en quoi cela ouvre-t-il la voie à des exploits supplémentaires ? Même si un asset n'est pas critique, vérifiez les interdépendances qui pourraient vous exposer à un risque.

De nombreuses entreprises négligent la possibilité qu'Active Directory (AD) serve de point d'accès. Pensez à intégrer ce risque à vos processus de gestion des vulnérabilités.

Vous devez également évaluer quand chaque appareil se connecte et se déconnecte de votre réseau. Vous pouvez obtenir ces informations grâce à :

• Un système de contrôle d'accès réseau
• L'examen des journaux DHCP et des journaux du serveur DNS
• L'installation d'agents de scans de vulnérabilités sur les appareils
• Des scans de routine

Identification des vulnérabilités

Une fois que vous disposez d'informations sur vos assets, évaluez chacune des vulnérabilités, notamment le risque de sévérité pour chaque problème de sécurité.

Examinez attentivement à quel point il est facile pour les attaquants d'exploiter chaque vulnérabilité. Quels sont les dommages potentiels ? Une fois que vous comprenez la criticité, vous pouvez prioriser vos efforts d'atténuation et de remédiation pour chaque problème de sécurité.

Gestion des vulnérabilités en continu

Traditionnellement, la gestion des vulnérabilités dépendait des scans périodiques et ponctuels de découverte et d'évaluation des vulnérabilités. Pour faire progresser votre posture de sécurité, scannez en continu votre surface d'attaque pour remédier aux risques et réduire la potentialité d'une attaque.

Des scans continus permettent de mettre en lumière les angles morts entre les scans manuels. Ils peuvent détecter de nouveaux problèmes de sécurité susceptibles d'apparaître à tout moment. En scannant plus souvent et en procédant à une remédiation régulière, vous allez peut-être détecter de moins en moins de vulnérabilités lors de chaque scan.

Évaluations du risque

Vous disposez d'un large volume d'assets différents assets sur votre surface d'attaque, qui présentent chacun un niveau de sécurité différent. Vous devez déterminer le niveau de sécurité pour chacun d'eux. Le fait de déterminer la valeur et le niveau d'exposition des assets vous aidera à mieux comprendre ce que vous devez faire pour les protéger.

Gestion des changements

Les appareils présents sur votre réseau changent fréquemment. Ces changements sont sources de nouveaux problèmes de sécurité. Élaborez des processus pour découvrir et répondre aux changements lorsqu'ils surviennent. Ils peuvent apparaître suite à une mise à jour d'applications, un ajout de matériel, un changement d'infrastructure ou une mise à niveau logicielle.

Une gestion efficace des changements vous permettra de réagir rapidement face aux nouveaux problèmes de sécurité, tout en suivant les meilleures pratiques de l'entreprise.

Gestion des correctifs

En raison du volume de vulnérabilités traditionnellement découvertes pendant les scans de vulnérabilités, il est compliqué de déployer efficacement des correctifs sans interruption ou perturbations conséquentes. Votre programme de gestion des vulnérabilités doit intégrer des processus de gestion des correctifs et des versions afin de faciliter l'application rapide de correctifs pour les assets critiques.

Intégrez vos processus de gestion des correctifs à vos processus de gestion des changements pour garantir des mises à jour et des applications de correctifs constants.

Appareils mobiles

Les appareils mobiles peuvent représenter une part importante de votre surface d'attaque. Ces appareils apportent de la flexibilité à vos utilisateurs. Mais ils contribuent aussi à multiplier les risques de sécurité.

Si votre entreprise accepte des appareils personnels au travail (BYOD) au lieu de fournir les siens, cela peut encore davantage compliquer la situation. Les systèmes de gestion des appareils mobiles (MDM) et le déploiement d'agents sur des appareils mobiles sont de bonnes options à envisager.

Gestion de l'atténuation

Votre entreprise peut présenter des vulnérabilités pour lesquelles il n'existe pas de correctifs disponibles. Votre programme de gestion des vulnérabilités doit comporter des moyens alternatifs de gérer ces vulnérabilités jusqu'à ce que vous puissiez les corriger. Parmi les approches efficaces qu'il est possible de mettre en place, il y a l'augmentation de la surveillance des journaux, la mise à jour des signatures d'attaque IDS ou la modification des règles de pare-feu.

Réponse aux incidents

Une réponse rapide aux incidents de sécurité constitue un bon indicateur de l'efficacité de votre programme de gestion des vulnérabilités. Plus vite vous réagissez, plus vous avez de chances de réduire l'impact sur votre business.

La réponse aux incidents n'est pas seulement une réaction à une violation. Adoptez une approche proactive pour être toujours prêt. La surveillance continue de la sécurité, l'automatisation des processus et les alertes permettent de réagir plus rapidement.

Automatisation

L'automatisation vous permet de découvrir, évaluer et remédier aux vulnérabilités sur votre surface d'attaque avec rapidité et précision. Ceci est particulièrement vrai pour les plus gros systèmes ayant un flux constant de données sur votre surface d'attaque. L'automatisation vous aide à examiner les données plus rapidement et en commettant moins d'erreurs.

13. Comment mettre en place des systèmes de gestion des vulnérabilités

---

Un programme de gestion des vulnérabilités mature est la pierre angulaire de la gestion de l'exposition. Il peut aider votre équipe de sécurité à identifier, prioriser et remédier aux failles de sécurité plus efficacement et avant que les attaquants ne puissent les exploiter.

Voici cinq étapes à suivre pour élaborer un programme de gestion des vulnérabilités basée sur le risque :

Étape 1 : Établir l'inventaire de tous les assets, sur site et dans le cloud

Il est indispensable que l'inventaire des assets soit complet et exact pour que la gestion des vulnérabilités soit efficace. Il doit inclure tous les appareils, applications, systèmes d'exploitation et infrastructures cloud de votre surface d'attaque. Tenable propose des outils robustes de découverte des assets. Ces outils vous offrent une vision globale de votre surface d'attaque et permettent de s'assurer que vous ne négligez aucun système critique.

Étape 2 : Scanner et évaluer les vulnérabilités en continu

Les scans de vulnérabilités en continu permettent d'identifier les failles de sécurité dans votre environnement. Tenable fournit un large éventail d'options de scans, y compris des solutions avec ou sans agent et cloud natives. Ces scans vont plus loin que la détection de base. Ils proposent des informations détaillées sur les vulnérabilités, telles que la sévérité des exploits, la disponibilité d'un correctif et l'impact potentiel sur votre business, afin que vous puissiez prioriser vos efforts de remédiation.

Étape 3 : Se concentrer sur la prioritisation basée sur le risque

Un programme de gestion des vulnérabilités holistique tire profit de la priorisation basée sur le risque pour que vos équipes puissent se concentrer sur les menaces les plus critiques. Tenable s'intègre à des cadres d'évaluation du risque de référence dans le secteur pour que vous puissiez connaître l'impact de chaque vulnérabilité. Vous pouvez ensuite prioriser la remédiation en fonction du risque pour l'entreprise. Cela vous permet de corriger les vulnérabilités les plus critiques en premier afin d'optimiser la gestion de l'exposition.

Étape 4 : Rationaliser la gestion des correctifs et le reporting

Tenable simplifie les processus de gestion des correctifs et rationalise la remédiation des vulnérabilités afin d'assurer une application de correctifs rapide pour les problèmes de sécurité critiques. Les fonctionnalités de reporting complètes de Tenable permettent de suivre l'avancement. Vous pouvez également mesurer l'efficacité du programme et démontrer sa conformité aux principales parties prenantes, et ce, dans un langage professionnel qu'ils comprennent.

Étape 5 : Établir une culture d'entreprise qui ne néglige pas les sujets de sécurité

La gestion des vulnérabilités n'est pas un exercice qui consiste à régler le problème, puis à passer à autre chose. Pour conserver une posture de sécurité mature, il faut procéder en continu à une surveillance des vulnérabilités, à des ajustements du programme et à une formation et une sensibilisation des employés, fournisseurs et parties prenantes. Les outils d'analyse avancés de Tenable aident à identifier les tendances et à améliorer sans relâche votre stratégie de gestion des vulnérabilités.

Grâce à Tenable, vous pouvez créer un programme de gestion des vulnérabilités mature qui protège vos données et vos assets des cybermenaces.

Voir comment