Les 5 principales étapes du processus de gestion des vulnérabilités
La réduction des risques est au cœur du processus de gestion des vulnérabilités. Bien que la remédiation reste toujours un objectif pertinent, vous ne pouvez pas éliminer totalement les risques, aussi renforcées que puissent paraître les défenses de votre système. De plus, la principale source de vulnérabilités dans les applications logicielles vient de l’intérieur, du code lui-même.
Dans cet article, j’expliquerai les étapes de la gestion des vulnérabilités et la manière dont celle-ci est utilisée pour gérer, atténuer et corriger les risques liés à la cybersécurité.
Pourquoi le processus de gestion des vulnérabilités est-il important ?
Dans Code Complete, Steve McConnell affirme qu’il y a environ 15 à 50 erreurs ou bogues pour 1 000 lignes de code livré. McConnell a toutefois indiqué que l’application essentielle à la mission de la NASA, le logiciel de la navette spatiale, ne comportait aucun défaut de code. Mais cet exploit stupéfiant a été réalisé au prix de milliers de dollars par ligne de code !
Envie d'en avoir plus avec The CTO Club ?
Créez un compte gratuit pour terminer cet article et rejoindre une communauté de CTO et de leaders en ingénierie partageant des cadres pratiques, des outils et des conseils pour concevoir, déployer et faire évoluer des technologies alimentées par l'IA.
Have an account? Log In
Inutile de dire que ce coût est tout simplement trop prohibitif pour la plupart des entreprises. En outre, la plupart d’entre elles n’envoient pas de vaisseaux spatiaux en orbite, où la vie des astronautes est littéralement en jeu. La gestion des vulnérabilités constitue donc un objectif plus réalisable pour les entreprises ordinaires.
En tant que processus, la gestion des vulnérabilités consiste à identifier, évaluer et hiérarchiser les vulnérabilités de sécurité dans les systèmes, les charges de travail et les terminaux. Une fois les vulnérabilités classifiées, le processus s’intéresse généralement à la remédiation, à la création de rapports et à la résolution satisfaisante des menaces découvertes.
Quelle est la différence entre un programme et un processus de gestion des vulnérabilités ?
Les termes « programme de gestion des vulnérabilités » et « processus de gestion des vulnérabilités » sont liés, mais désignent des aspects différents de la gestion des vulnérabilités dans les pratiques de sécurité d’une organisation.
Un programme de gestion des vulnérabilités est une approche globale et stratégique de la gestion des vulnérabilités dans les logiciels d’infrastructure informatique et les systèmes d’une organisation. Il s’agit d’un concept de niveau supérieur qui englobe divers éléments, notamment des politiques, des procédures, des outils et des ressources, visant à réduire le risque global posé par les vulnérabilités.
Un programme de gestion des vulnérabilités comprend généralement les composants suivants :
- Évaluations des vulnérabilités : Analyser régulièrement les systèmes, les applications et les réseaux afin d’identifier les vulnérabilités potentielles.
- Hiérarchisation des risques : Évaluer et hiérarchiser les vulnérabilités en fonction de leur gravité et de leur impact potentiel sur l’organisation.
- Gestion des correctifs : Élaborer des processus pour appliquer les correctifs et les mises à jour de sécurité afin d’atténuer les vulnérabilités identifiées. (ce qui est souvent facilité par les outils de test de sécurité)
- Renseignements sur les menaces : Intégrer les renseignements sur les menaces afin de comprendre les dernières vulnérabilités et les vecteurs d’attaque potentiels.
- Rapports et indicateurs : Générer des rapports et des indicateurs pour suivre l’efficacité des efforts de gestion des vulnérabilités.
- Responsabilités et rôles : Définir clairement les responsabilités et les rôles du personnel participant au processus de gestion des vulnérabilités.
Le processus de gestion des vulnérabilités constitue une partie plus spécifique et opérationnelle du programme de gestion des vulnérabilités. Il désigne les procédures et les actions étape par étape mises en œuvre lors du traitement d’une vulnérabilité unique ou d’un ensemble de vulnérabilités. Le processus implique l’exécution de tâches et suit une approche structurée pour traiter efficacement les vulnérabilités.
Le processus de gestion des vulnérabilités comprend généralement les étapes suivantes :
- Identification : Cette étape consiste à découvrir et à cataloguer les vulnérabilités au moyen de différentes méthodes, telles que l’analyse des vulnérabilités, les évaluations manuelles ou les tests d’intrusion.
- Évaluation : Une fois les vulnérabilités identifiées, elles sont évaluées afin de déterminer leur gravité et leur impact potentiel sur les actifs et les opérations de l’organisation.
- Remédiation : Au cours de cette phase, l’organisation prend des mesures pour résoudre les vulnérabilités identifiées. Cela peut impliquer l’application de correctifs de sécurité, des modifications de configuration ou la mise en œuvre de solutions de contournement.
- Vérification : Après la mise en œuvre des mesures de remédiation, l’organisation vérifie si les vulnérabilités ont été correctement traitées et atténuées.
- Rapports : Tout au long du processus, la documentation et la création de rapports sont essentielles pour suivre les progrès, assurer la conformité et communiquer avec les parties prenantes.
En résumé, un programme de gestion des vulnérabilités est une stratégie globale qui englobe divers éléments permettant de gérer efficacement les vulnérabilités au sein d’une organisation. En revanche, le processus de gestion des vulnérabilités est un ensemble précis d’étapes et d’actions mises en œuvre pour identifier, évaluer et corriger des vulnérabilités individuelles dans le cadre du programme global. Le processus fait partie intégrante du programme et contribue à sa réussite générale.
Les cinq étapes du processus de gestion des vulnérabilités
Contrairement à l’évaluation des vulnérabilités, qui est un événement ponctuel, la gestion des vulnérabilités est un processus continu et permanent. Voici les étapes à suivre dans le cycle de vie de la gestion des vulnérabilités.
Étape 1 : Identifier les vulnérabilités
Cette étape consiste à identifier et à classer les vulnérabilités. Les vulnérabilités sont généralement classées à l’aide du système commun de notation des vulnérabilités (CVSS).
Le rôle du CVSS est plus important lors de la deuxième étape ; toutefois, ce qui occupe le devant de la scène à ce stade est l’analyse des vulnérabilités. L’analyse des vulnérabilités est souvent réalisée dans le cadre d’un test d’intrusion par un pentesteur ou une équipe de spécialistes des tests d’intrusion.
Dans ce processus, un analyseur de vulnérabilités est un outil automatisé utilisé pour rechercher, identifier et signaler les vulnérabilités connues présentes dans l’infrastructure informatique d’une entreprise.
Il crée un inventaire de tous les actifs informatiques disponibles dans le système, en particulier ceux qui sont activement connectés au réseau de l’organisation. Ceux-ci comprennent généralement les pare-feu, les serveurs, les systèmes d’exploitation, les conteneurs, les machines virtuelles, les routeurs, les imprimantes, les ordinateurs portables, les ordinateurs de bureau et les commutateurs.
Ils analysent également les points d’extrémité tels que les ports ouverts, les appareils IoT, les configurations système, les logiciels installés, les applications tierces et les structures de systèmes de fichiers.
Comme les analyseurs de vulnérabilités effectuent des analyses sur l’ensemble du réseau d’une organisation pour rechercher des vulnérabilités, le risque de perturber le système ou ses éléments est élevé. Par conséquent, les pirates informatiques éthiques adaptent généralement leurs méthodes pour en tenir compte lors des tests d’intrusion. Ainsi, ils peuvent exclure les systèmes susceptibles d’avoir un comportement instable ou imprévisible, ou adapter leurs méthodes afin de réduire les perturbations. Par exemple, si la bande passante du réseau pose problème, ils peuvent décider d’effectuer les analyses du réseau en dehors des heures de pointe, lorsque la bande passante n’est pas limitée.
Les solutions de gestion des vulnérabilités sont également capables de recueillir en continu des données à partir des systèmes à l’aide d’agents de point d’extrémité. À mesure qu’elles ont évolué, elles sont également devenues plus agiles ; elles analysent donc un nouveau système ou appareil immédiatement après sa connexion au réseau.
Mais l’analyse des systèmes n’est pas le seul objectif principal de cette étape.
Globalement, la sécurité des systèmes et du réseau d’une organisation est renforcée grâce à la feuille de route des actifs informatiques créée à cette étape. Grâce à cette découverte des actifs, une organisation peut facilement déterminer quels appareils sont protégés, quels composants ne le sont pas et comment les points d’extrémité des systèmes peuvent potentiellement être accessibles.
Cette étape est cruciale, car elle permet de déterminer la surface d’attaque exposée ou vulnérable à une exploitation. En outre, les informations recueillies par la solution de gestion des vulnérabilités servent à créer des rapports et des indicateurs système utilisés lors de l’étape suivante du processus de gestion des vulnérabilités.
Garantir un stockage sécurisé des données est essentiel dans la gestion des vulnérabilités. Pour y parvenir, il est possible d’utiliser un logiciel de gestion de bases de données haut de gamme.
Étape 2 : Évaluer les vulnérabilités
Après la découverte des vulnérabilités, l’étape suivante consiste à évaluer le niveau de risque des vulnérabilités identifiées. À l’étape 1, j’ai brièvement mentionné le CVSS et son utilisation comme système de classement des vulnérabilités de cybersécurité.
Le CVSS est une norme gratuite et ouverte utilisée pour communiquer la gravité des vulnérabilités. Il fournit un score compris entre 0.0 et 10.0. Pour compléter l’évaluation des vulnérabilités, la Base de données nationale des vulnérabilités (NVD) inclut un niveau de gravité pour les scores CVSS, comme indiqué dans le tableau ci-dessous.
| Score CVSS | Niveau de gravité |
| 0.0 | Aucune |
| 0.1 - 3.9 | Faible |
| 4.0 - 6.9 | Moyenne |
| 7.0 - 8.9 | Élevée |
| 9.0 - 10.0 | Critique |
Ces scores indiquent aux organisations le risque que chaque vulnérabilité fait peser sur leur infrastructure. Les organisations peuvent ainsi hiérarchiser les vulnérabilités et les menaces sur lesquelles se concentrer. Cette évaluation oriente également la stratégie de gestion des risques et les efforts de correction de l’organisation.
Bien que les analyseurs de vulnérabilités et les scores CVSS soient d’excellents outils, ils peuvent ne pas toujours fournir une vision complète des risques auxquels une organisation est confrontée.
Cela s’explique par le fait que ces scores d’évaluation standardisés ne donnent pas toujours une vision optimale des menaces auxquelles votre entreprise est confrontée en raison de son profil de risque particulier. Bien que des outils intelligents de gestion des vulnérabilités puissent hiérarchiser les risques, ils ne sont pas toujours suffisamment nuancés pour prendre en compte d’autres facteurs supplémentaires.
Les professionnels de la cybersécurité peuvent fournir un contexte plus précis et plus complet de votre exposition aux risques en utilisant l’inventaire des renseignements sur les menaces recueillis. Ces professionnels de la sécurité prennent souvent en compte une multitude de facteurs tels que les suivants afin de déterminer une évaluation des risques appropriée :
- S’agit-il d’une véritable vulnérabilité ou simplement d’un faux positif ?
- Quel est le degré de difficulté pour exploiter la vulnérabilité ?
- Cette vulnérabilité peut-elle être exploitée à distance ?
- Est-il facile d’exploiter cette vulnérabilité ?
- Des méthodes d’exploitation de cette vulnérabilité ont-elles été publiées ?
- Combien d’appareils présentent cette vulnérabilité ?
- S’agit-il d’une nouvelle vulnérabilité (les vulnérabilités plus anciennes ont tendance à représenter un risque plus élevé) et savez-vous depuis combien de temps elle existe sur votre réseau ?
- Des politiques, des protocoles et des contrôles de sécurité sont-ils présents dans votre infrastructure pour atténuer l’impact de la vulnérabilité au cas où elle serait exploitée ?
- Quel serait l’impact sur l’ensemble de l’organisation en cas d’exploitation réussie de la vulnérabilité ?
Étape 3 : Corriger les vulnérabilités
Cette étape consiste à traiter et à atténuer les vulnérabilités découvertes. Plusieurs stratégies sont mises en place afin de hiérarchiser et d’éliminer les vulnérabilités en fonction du niveau de risque qu’elles représentent pour l’entreprise.
Application de correctifs
L’application de correctifs est souvent la solution la plus simple pour corriger une grande partie des vulnérabilités présentes dans les logiciels. En fait, la plupart des failles de cybersécurité sont dues à des logiciels qui n’ont pas été corrigés. Il est donc essentiel de disposer d’un système de gestion des correctifs garantissant que les systèmes d’exploitation et les logiciels tiers sont à jour.
Cependant, il peut arriver qu’un fournisseur n’ait pas encore publié de correctif pour une vulnérabilité particulière. Dans ce cas, les organisations doivent passer à des mesures d’atténuation afin de réduire l’impact de l’exploitation potentielle de la vulnérabilité.
Ces mesures peuvent notamment consister à limiter les autorisations des utilisateurs pour ces activités ou, selon leur gravité, à isoler du réseau ou à placer sur liste noire les appareils concernés.
Lorsque les menaces et les vulnérabilités sont prises en charge, des contrôles doivent être établis et les progrès démontrés afin de parvenir à une posture de sécurité plus robuste au sein de l’organisation.
Acceptation
L’acceptation constitue également une stratégie de gestion des vulnérabilités contre-intuitive. Elle consiste à ne prendre aucune mesure concernant les vulnérabilités découvertes. Cette stratégie est pertinente pour les vulnérabilités à faible risque qui représentent une menace minimale pour l’entreprise, notamment lorsque le coût de correction de la vulnérabilité dépasse le coût potentiel de son exploitation.
Même lorsqu’il n’y a que des vulnérabilités bénignes à corriger, les organisations doivent tout de même s’efforcer d’optimiser les indicateurs de vulnérabilités qu’elles déclarent. Ainsi, plus le système de gestion des vulnérabilités vise à améliorer ces indicateurs, plus il réduit la surface d’attaque de l’organisation.
En outre, ce processus de correction peut établir une référence pour la gestion des risques, que l’organisation peut constamment réévaluer avec des objectifs nouveaux et plus ambitieux.
Étape 4 : Vérifier les vulnérabilités
Cette étape permet de s’assurer que les menaces présentes dans le système ont été éliminées au moyen d’audits de suivi. Des tests d’intrusion doivent également être utilisés pour vérifier l’efficacité des mesures correctives mises en œuvre. En outre, cela permet de s’assurer qu’aucune nouvelle vulnérabilité n’est créée par inadvertance au cours du processus.
Étape 5 : Signaler les vulnérabilités
Il est important de documenter non seulement les vulnérabilités découvertes, mais aussi un plan de sécurité expliquant comment décrire les vulnérabilités connues et surveiller les activités suspectes. Ces rapports sont essentiels, car ils constituent des traces qui aident les entreprises à améliorer leurs réponses de sécurité à l’avenir.
Il est également important de partager ces rapports avec la direction et dans le cadre des audits de conformité. En effet, démontrer et consigner les vulnérabilités et les problèmes corrigés témoigne d’une responsabilisation. Or, cette responsabilisation est souvent nécessaire pour maintenir les normes de conformité.
Heureusement, il existe des logiciels intelligents et sophistiqués de gestion des vulnérabilités ainsi que des outils de test d’intrusion des applications web capables de générer automatiquement ces rapports, afin que vous n’ayez pas à le faire manuellement.
L’importance de la gestion des vulnérabilités
Les processus de gestion des vulnérabilités sont essentiels si vous souhaitez assurer la sécurité de votre réseau en minimisant la présence de menaces et d’exploits.
En savoir plus sur la gestion des vulnérabilités et des menaces en consultant d’autres articles de notre blog, ou vous pouvez vous abonner à la newsletter de The QA Lead.
