En 2023, le catalogue KEV de la CISA contenait à la fin de l'année plus de 1 000 entrées de vulnérabilités confirmées comme activement exploitées. Sur les quelque 25 000 nouveaux CVE publiés cette même année dans la National Vulnerability Database, cela représente environ 4% du total. Autrement dit, les équipes de sécurité qui tentent de traiter toutes les vulnérabilités à sévérité élevée ou critique comme des priorités absolues se trouvent à gérer un backlog qui croît plus vite qu'il ne peut être traité. La question n'est pas "avons-nous les ressources pour patcher toutes les vulnérabilités critiques ?" mais "comment identifier parmi toutes les vulnérabilités connues les 4% qui représentent 96% du risque réel ?"
L'intelligence sur les vulnérabilités est la discipline qui répond à cette question : non pas en inventoriant toutes les vulnérabilités connues, mais en combinant des données de sévérité, d'exploitation confirmée, de disponibilité d'exploit public, et d'exposition spécifique à l'organisation pour produire une liste priorisée des vulnérabilités qui nécessitent une action immédiate.
Le Common Vulnerability Scoring System (CVSS) est le standard utilisé par l'industrie pour évaluer la sévérité des vulnérabilités. CVSSv3.1, la version actuelle, produit un score entre 0 et 10 basé sur des métriques qui incluent le vecteur d'attaque (réseau, adjacent, local, physique), la complexité de l'attaque, les privilèges requis, et l'impact sur la confidentialité, l'intégrité, et la disponibilité. Un score CVSS de 9.8 signifie "vulnérabilité de sévérité critique avec peu de conditions préalables pour l'exploitation."
Le problème du CVSS seul pour la priorisation est qu'il est conçu pour mesurer la sévérité intrinsèque d'une vulnérabilité, pas la probabilité qu'elle soit exploitée dans un contexte réel. Des recherches publiées par FIRST, l'organisation qui maintient le standard CVSS, montrent qu'une minorité des vulnérabilités avec des scores CVSS critiques sont activement exploitées dans la nature. Prioriser uniquement sur la base du CVSS conduit à consacrer des ressources de remediation à des vulnérabilités qui ne seront jamais utilisées dans des attaques réelles, au détriment de vulnérabilités à sévérité modérée qui font l'objet d'une exploitation active.
L'Exploit Prediction Scoring System (EPSS), maintenu par FIRST et mis à jour quotidiennement, utilise l'apprentissage automatique pour estimer la probabilité qu'une vulnérabilité donnée soit exploitée dans la nature dans les 30 prochains jours. Le modèle EPSS s'entraîne sur des données d'exploitation historiques et incorpore des caractéristiques incluant le score CVSS, la disponibilité d'un exploit public, la part de marché des logiciels concernés, et des signaux issus de sources de renseignement sur les menaces.
La valeur d'EPSS réside dans sa capacité à distinguer les vulnérabilités qui seront exploitées de celles qui ne le seront pas, une distinction que CVSS seul ne peut pas faire. Une vulnérabilité avec un score CVSS de 7.5 (haute sévérité) et un score EPSS de 0.95 (95% de probabilité d'exploitation dans les 30 jours) est en pratique beaucoup plus urgente qu'une vulnérabilité avec un CVSS de 9.5 et un EPSS de 0.02. La priorisation basée sur EPSS seul, ou sur une combinaison de CVSS et EPSS, réduit significativement le nombre de vulnérabilités traitées en priorité par rapport à une approche CVSS seul, tout en capturant une proportion plus élevée des vulnérabilités qui seront effectivement exploitées.
Si EPSS estime la probabilité future d'exploitation, le catalogue Known Exploited Vulnerabilities (KEV) de la CISA fournit une liste de vulnérabilités avec exploitation confirmée dans la nature. Lancé en novembre 2021 comme directive opérationnelle contraignante pour les agences fédérales américaines, le catalogue KEV liste uniquement les vulnérabilités pour lesquelles la CISA a confirmation d'une exploitation active, accompagnées de délais de remediation obligatoires pour les agences concernées.
Pour les organisations en dehors du gouvernement américain, le catalogue KEV est un signal de priorisation puissant : une entrée KEV signifie que des attaquants utilisent activement cette vulnérabilité, pas qu'ils pourraient théoriquement le faire. Traiter les entrées KEV comme des priorités absolues de remediation, devant les autres vulnérabilités au même niveau de sévérité CVSS, est une approche fondée sur des preuves d'activité attaquante réelle. La CISA publie les mises à jour du catalogue sur son site officiel et via des flux de données structurés qui s'intègrent dans les plateformes de gestion des vulnérabilités.
Au-delà du KEV, la disponibilité d'un exploit public pour une vulnérabilité est un signal de priorisation important. Une vulnérabilité pour laquelle un exploit fonctionnel est disponible dans Metasploit, ExploitDB, ou sur GitHub est accessible à un spectre beaucoup plus large d'attaquants que ceux qui disposeraient des capacités de développer leur propre exploit. La corrélation entre la publication d'un exploit public et l'augmentation des tentatives d'exploitation est documentée : les équipes de recherche observent régulièrement des augmentations significatives des scans et des tentatives d'exploitation dans les heures suivant la publication d'un exploit pour une vulnérabilité dans un logiciel largement déployé.
Des services comme Exploit-DB et Vulhub agrègent les exploits publics et les environnements de test de vulnérabilités. Des solutions commerciales de gestion des vulnérabilités intègrent la disponibilité des exploits publics comme facteur de priorisation supplémentaire. Pour les équipes de sécurité, le suivi de la disponibilité des exploits publics pour les vulnérabilités présentes dans leur environnement est une activité de renseignement à forte valeur ajoutée qui peut déclencher une escalade de priorité pour une vulnérabilité qui n'avait pas encore atteint le seuil d'alerte.
L'intelligence sur les vulnérabilités n'a de valeur opérationnelle que lorsqu'elle est connectée à l'inventaire des actifs de l'organisation : savoir qu'une vulnérabilité critique dans Apache Struts fait l'objet d'une exploitation active n'est utile que si on sait si l'organisation utilise Apache Struts, dans quelle version, et avec quelle exposition réseau. L'intelligence sur les vulnérabilités sans contexte d'actifs produit des alertes qui ne peuvent pas être triées ; l'inventaire d'actifs sans intelligence sur les vulnérabilités produit une liste qui ne peut pas être priorisée. La combinaison des deux est ce qui permet une gestion des vulnérabilités basée sur le risque réel.
Pour la gestion de la surface d'attaque externe, l'intelligence sur les vulnérabilités a une application spécifique : comprendre quels services exposés à internet font tourner des logiciels avec des vulnérabilités connues et exploitées. Une application web faisant tourner une version non patchée d'un framework populaire, listée dans le catalogue KEV, est une priorité immédiate car elle représente un vecteur d'exploitation confirmé accessible depuis internet. La combinaison d'une exposition externe avec une entrée KEV déclenche automatiquement le niveau de priorité le plus élevé dans un programme de gestion des vulnérabilités bien conçu, allouant les ressources de remediation là où le risque réel est le plus élevé.
La mise en œuvre opérationnelle de l'intelligence sur les vulnérabilités dans un programme de sécurité nécessite une automatisation de la collecte de données et de la génération de priorités, pour permettre aux analystes de se concentrer sur les décisions de remediation plutôt que sur l'agrégation manuelle de données provenant de sources multiples. Sans automatisation, la priorisation des vulnérabilités devient un exercice chronophage qui perd de sa valeur si les résultats arrivent trop tard pour guider les cycles de patching.
Les plateformes de gestion des vulnérabilités modernes intègrent des flux de données NVD, KEV, et EPSS, les croisent avec les données de scans de vulnérabilités internes ou externes, et produisent des listes de priorités qui incorporent les critères de scoring basés sur les preuves. Cette automatisation permet aux équipes de sécurité de commencer chaque cycle de patching avec une liste ordonnée par risque réel plutôt que de trier manuellement des centaines ou des milliers d'alertes de vulnérabilités générées par les scanners.
L'intégration entre la plateforme de gestion des vulnérabilités et les systèmes ITSM (gestion des tickets et des changements) est le maillon qui transforme la priorisation en action. Une vulnérabilité priorisée qui ne génère pas automatiquement un ticket d'action assigné à un propriétaire avec une date d'échéance reste dans un backlog sans garantie d'être traitée dans le délai approprié. L'automatisation de ce workflow, de la détection de la vulnérabilité à la création du ticket de remediation avec un niveau de priorité et une date d'échéance calculés, est ce qui donne à l'intelligence sur les vulnérabilités un impact mesurable sur la réduction du risque. Defendis enrichit l'intelligence sur les vulnérabilités avec le contexte de la surface d'attaque externe de votre organisation, permettant d'identifier en temps réel les vulnérabilités qui nécessitent une action immédiate en raison de leur combinaison d'exploitation active confirmée et d'exposition externe.
La recherche sur les délais d'exploitation des vulnérabilités produit des données concrètes sur la vitesse à laquelle les organisations doivent agir après la publication d'un patch. Les données de Rapid7 et de Mandiant sur plusieurs années d'incidents montrent une tendance à la compression du délai entre la publication d'un patch et les premières tentatives d'exploitation dans la nature. Ce délai, qui était couramment mesuré en semaines ou en mois au début des années 2010, se mesure désormais fréquemment en jours ou en heures pour les vulnérabilités les plus critiques.
La compression de ce délai s'explique par plusieurs facteurs. La disponibilité d'outils d'analyse automatique de patches (patch diffing) permet à des attaquants compétents d'identifier la nature exacte d'une vulnérabilité corrigée en analysant la différence entre la version patchée et la version vulnérable du binaire, parfois en quelques heures après la publication du patch. Les exploits sont développés et partagés plus rapidement dans l'écosystème criminel, où la concurrence pour être le premier à proposer un exploit pour une nouvelle vulnérabilité crée une pression vers l'accélération. Et la professionnalisation du marché des exploits signifie que les vulnérabilités critiques dans des logiciels largement déployés font l'objet d'un développement d'exploit quasi immédiat par des acteurs spécialisés.
Les implications opérationnelles sont significatives : pour les vulnérabilités dans des logiciels exposés à internet et avec une entrée KEV ou un score EPSS élevé, les cycles de patching mensuels ou trimestriels ne suffisent plus. Ces vulnérabilités nécessitent une réponse en heures ou en jours, pas en semaines, ce qui implique des processus de patching d'urgence distincts des cycles normaux, avec des seuils déclencheurs basés sur les critères KEV et EPSS. L'intelligence sur les vulnérabilités fournie par la surveillance de la surface d'attaque externe alerte sur les nouvelles entrées KEV qui correspondent à des logiciels présents dans votre infrastructure exposée, déclenchant automatiquement ces processus d'urgence pour les cas qui en ont besoin.
CVSSv4, publié en 2023, apporte plusieurs améliorations par rapport à CVSSv3.1. Il introduit une granularité accrue pour les vecteurs d'attaque, distingue les impacts sur les systèmes vulnérables des impacts en aval sur les systèmes qui interagissent avec eux (ce qui est pertinent pour les vulnérabilités dans des composants de bibliothèques), et améliore la représentation des scores pour les systèmes OT/ICS. La structure de scoring est également simplifiée pour réduire les scénarios de scoring ambigu. CVSSv4 n'est pas encore aussi largement adopté que CVSSv3.1, et les deux versions coexisteront pendant une période de transition. Pour la pratique courante de priorisation, CVSSv3.1 reste la référence dominante, mais les équipes de sécurité devraient commencer à se familiariser avec CVSSv4 dans la perspective de son adoption progressive.
Les scores EPSS sont disponibles publiquement via l'API REST de FIRST (first.org/epss) et sont également intégrés dans plusieurs plateformes de gestion des vulnérabilités et flux NVD. L'API FIRST permet d'interroger le score actuel et l'historique des scores pour n'importe quelle CVE, et fournit aussi des données bulk sous forme de CSV téléchargeable contenant les scores de toutes les CVEs. Les outils commerciaux de gestion des vulnérabilités comme Tenable, Rapid7, et Qualys intègrent les scores EPSS directement dans leurs dashboards, permettant des requêtes combinant CVSS, EPSS, et présence dans le catalogue KEV sans requêtes API séparées.
Non. Le catalogue KEV de la CISA liste les vulnérabilités pour lesquelles la CISA a confirmation d'exploitation active, mais sa couverture est incomplète pour plusieurs raisons. Les vulnérabilités exploitées uniquement dans des contextes très ciblés (attaques d'espionnage étatique contre des cibles spécifiques) peuvent ne pas être suffisamment documentées pour être ajoutées. Les vulnérabilités dans des logiciels peu répandus aux États-Unis peuvent être sous-représentées. Et le processus d'ajout prend du temps, ce qui signifie que des vulnérabilités activement exploitées peuvent passer plusieurs semaines avant d'être ajoutées. Pour une couverture plus complète de l'exploitation active, le catalogue KEV doit être complété par d'autres sources comme le Qualys TruRisk, les flux de threat intelligence, et les bulletins d'éditeurs de sécurité qui documentent l'exploitation active en dehors du périmètre KEV.
L'intégration la plus simple est d'ajouter une colonne KEV et une colonne EPSS aux tableaux de suivi des vulnérabilités existants, et de définir des seuils déclencheurs : toute vulnérabilité avec une entrée KEV passe automatiquement en priorité haute (délai de 2 semaines ou moins) ; toute vulnérabilité avec un score EPSS supérieur à 0.5 monte d'un niveau de priorité par rapport à sa classification CVSS seule. Ces règles simples ne nécessitent pas de refonte complète du processus et peuvent être appliquées dans la plupart des outils de ticketing et de gestion des vulnérabilités existants. Une fois cette intégration de base établie, une analyse trimestrielle des résultats (quelle proportion des incidents impliquaient des vulnérabilités KEV non patchées ?) permet de calibrer les seuils et de justifier des investissements supplémentaires dans la capacité de patching d'urgence.
La gestion des vulnérabilités dans les environnements de technologie opérationnelle (OT) et de systèmes de contrôle industriels (ICS) présente des contraintes qui rendent les approches standard de patching souvent inapplicables. Les systèmes OT/ICS contrôlent des processus physiques (lignes de production, distribution d'énergie, traitement de l'eau) où l'interruption liée à un patch peut avoir des conséquences opérationnelles plus graves que la vulnérabilité qu'il corrige. Les cycles de maintenance qui permettent de patcher ces systèmes sont souvent annuels ou pluriannuels, et certains systèmes héritiers fonctionnent sur des systèmes d'exploitation qui ne reçoivent plus de patches de sécurité.
Dans ces environnements, l'intelligence sur les vulnérabilités joue un rôle encore plus critique qu'en IT, précisément parce que le patching ne peut pas être la réponse principale. La priorisation des vulnérabilités doit identifier celles qui nécessitent des compensatory controls urgents (segmentation réseau renforcée, surveillance spécifique, restrictions d'accès) même lorsque le patch ne peut pas être appliqué immédiatement. Des ressources spécifiques aux vulnérabilités OT/ICS comme la base de données CVE de l'ICS-CERT et les avis techniques de l'ANSSI pour les environnements industriels français complètent la couverture de la NVD pour les systèmes spécifiques aux environnements opérationnels.
La convergence IT/OT, l'interconnexion croissante entre les réseaux informatiques d'entreprise et les systèmes de contrôle industriels, crée de nouveaux vecteurs d'attaque qui rendent l'intelligence sur les vulnérabilités IT pertinente pour les environnements OT. Une vulnérabilité dans une solution de gestion IT qui a accès aux interfaces OT peut devenir un point d'entrée pour atteindre les systèmes de contrôle. L'intelligence sur les vulnérabilités la plus efficace pour ces environnements hybrides couvre l'ensemble de la chaîne d'attaque potentielle, depuis les composants IT classiques jusqu'aux interfaces OT, avec une compréhension des dépendances entre ces couches dans l'architecture de l'organisation.
La mise en œuvre effective des correctifs nécessite une coordination entre les équipes de sécurité qui identifient les vulnérabilités prioritaires et les équipes IT qui déploient les correctifs. Cette coordination est souvent un point de friction dans les organisations où la sécurité et l'IT opèrent dans des silos organisationnels avec des priorités et des métriques différentes. L'équipe de sécurité mesure son succès par la réduction de l'exposition aux vulnérabilités ; l'équipe IT mesure le sien par la stabilité et la disponibilité des systèmes. Ces objectifs peuvent entrer en tension lorsqu'un patch critique nécessite un redémarrage d'un service en production.
La résolution de cette tension nécessite des processus formalisés qui définissent comment les vulnérabilités prioritaires sont communiquées à l'IT, quels SLAs s'appliquent selon la catégorie de priorité, et comment les exceptions au SLA sont accordées et gérées. Des réunions de coordination régulières entre les équipes de sécurité et d'IT sur les backlogs de vulnérabilités maintiennent la visibilité partagée et permettent d'identifier et de résoudre les blocages avant qu'ils ne se transforment en retards prolongés. L'intelligence sur les vulnérabilités fournie par Defendis donne aux équipes de sécurité des arguments factuels basés sur l'exploitation active pour justifier les priorités auprès des équipes IT et des décideurs.
Chaque domaine de phishing ciblant votre marque obtient un certificat SSL avant d'être déployé. Chaque vulnérabilité exploitée activement dans vos systèmes est une fenêtre ouverte sur votre infrastructure. Defendis surveille les journaux de transparence des certificats pour détecter ces domaines malveillants en temps quasi réel, et corrèle l'intelligence sur les vulnérabilités avec votre profil d'exposition externe pour identifier les failles qui nécessitent une action immédiate. Les alertes arrivent avant que les attaquants ne frappent.
Réservez une démo pour voir comment Defendis surveille les certificats malveillants et les vulnérabilités exploitables pour votre organisation.
