Analyse des vulnérabilités
L’analyse de vulnérabilité consiste en une vérification régulière et systématique de vos systèmes à la recherche de faiblesses connues : logiciels non mis à jour, erreurs de configuration, services exposés, composants obsolètes présentant des failles d’exploitation connues. Il ne s’agit pas de la même chose que les tests d’intrusion, qui simulent un attaquant réel cherchant à atteindre un objectif spécifique ; l’analyse est plus large et plus automatisée, conçue pour mettre en évidence l’ensemble des failles exploitables dans votre environnement selon un calendrier récurrent, plutôt que de tester en profondeur une voie d’attaque particulière.
La raison pour laquelle il s’agit d’un processus récurrent plutôt que d’un projet ponctuel tient au fait que votre environnement évolue constamment : de nouveaux logiciels sont déployés, les configurations dérivent et de nouvelles vulnérabilités sont révélées dans des logiciels existants que vous utilisez depuis des années sans y avoir apporté la moindre modification. Un système qui était sain au trimestre dernier peut présenter aujourd’hui une vulnérabilité critique activement exploitée, simplement parce qu’un chercheur en a découvert une dans un logiciel que vous aviez installé depuis le début.
Les limites des programmes d’analyse
Les deux types de défaillance que je constate le plus souvent sont les suivants : d’une part, des analyses qui s’exécutent mais dont personne ne lit réellement les résultats ni n’en tire parti, de sorte que les vulnérabilités s’accumulent sans être traitées dans un rapport qui n’existe qu’à des fins de conformité ; d’autre part, une couverture d’analyse qui omet discrètement certaines parties de l’environnement — des ressources cloud déployées en dehors du processus habituel, ou des systèmes ajoutés après la dernière révision du périmètre d’analyse.
Comment j’aborderais la question
Je vous conseille de configurer les analyses selon une fréquence qui corresponde réellement à votre niveau de risque et au rythme d’évolution de votre environnement — pour certaines organisations, cela signifie une fois par semaine ; pour d’autres, une couverture quotidienne des systèmes critiques s’avère plus pertinente — et de vous assurer que le périmètre couvre véritablement l’ensemble de vos systèmes en service, et pas seulement ceux qui existaient au moment de la configuration initiale de l’analyse. Les résultats doivent s’accompagner d’une véritable hiérarchisation des priorités, et non pas simplement d’un score de gravité extrait directement de la base de données d’un fournisseur : ce qui est réellement exploitable dans votre environnement spécifique, ce qui est exposé à Internet par opposition à ce qui est enfoui en interne, et ce qu’il faut corriger en priorité compte tenu de votre risque réel. Et quelqu’un doit être chargé de donner suite aux résultats de l’analyse, car un rapport qui atterrit dans une boîte de réception et reste sans suite ne constitue pas un programme de sécurité, mais simplement la documentation d’un risque dont vous aviez connaissance et que vous n’avez pas traité.
Si vous souhaitez bénéficier d’une analyse continue et discrète des vulnérabilités qui permette réellement de mettre en œuvre des mesures correctives plutôt que de se contenter de produire des rapports, contactez-moi.