À mesure que les cybermenaces se multiplient, les enjeux deviennent plus importants pour les entreprises soucieuses de leur continuité d’activité, de leur réputation, de leur rentabilité et de la protection des données clients. Une bonne stratégie de cybersécurité comporte de nombreux niveaux, mais il est préférable d’identifier les vulnérabilités et de les corriger avant qu’un incident ne se produise plutôt que de réagir à une attaque. Cet article examine l’analyse des vulnérabilités, les évaluations des vulnérabilités et la vision plus globale de la gestion des vulnérabilités afin de clarifier les différentes approches.
- Qu’est-ce que l’analyse des vulnérabilités ?
- Types d’analyse des vulnérabilités
- Qu’est-ce qu’une évaluation des vulnérabilités ?
- Types d’évaluations des vulnérabilités
- Qu’est-ce que la gestion des vulnérabilités ?
- Étapes de la gestion des vulnérabilités
- En résumé : analyse des vulnérabilités, évaluation des vulnérabilités et gestion des vulnérabilités
Qu’est-ce que l’analyse des vulnérabilités ?
L’analyse des vulnérabilités consiste à détecter automatiquement les failles, brèches et vulnérabilités potentielles susceptibles de devenir des menaces. Le processus s’appuie sur des outils qui analysent les ports réseau et les équipements de communication afin de rechercher des problèmes d’authentification, des scripts intersites, des erreurs de configuration de sécurité ou des compromissions de mots de passe — en bref, des faiblesses que des acteurs malveillants peuvent exploiter pour lancer une attaque.
Des scanners de vulnérabilités comme Acunetix, Burp Suite et Nexpose recherchent les menaces potentielles en comparant la « cible » à une liste de vulnérabilités connues, appelée base de données Common Vulnerabilities and Exposures (CVE). La plupart de ces outils recueillent des données en temps réel pour générer une note du Common Vulnerability Scoring System (CVSS) et une évaluation des risques liés aux vulnérabilités présentes.
Les équipes de sécurité peuvent utiliser les résultats pour adopter des mesures proactives, notamment corriger les vulnérabilités, réaliser des audits de sécurité ponctuels ou résoudre les erreurs de configuration.
Types d’analyse des vulnérabilités
L’analyse des vulnérabilités peut prendre différentes formes et s’appuyer sur diverses méthodes selon les besoins et les capacités d’une organisation. Voici quelques types courants d’analyse des vulnérabilités que les équipes peuvent utiliser pour contrecarrer les cyberattaques :
Programmes de chasse aux bugs
Dans le cadre d’un programme de chasse aux bugs, des hackers white hat ou « éthiques » sont invités à tenter d’attaquer un système afin d’en révéler les faiblesses et de signaler les vulnérabilités de sécurité, en échange d’incitations universitaires ou financières. Ces programmes sont souvent permanents et reposent sur des tests et une amélioration continus.
Ces programmes sont largement déployés par les entreprises technologiques. Par exemple, Mozilla verse une prime forfaitaire de 3 000 $ pour la détection de vulnérabilités critiques pour un système, tandis que Microsoft paie 20 000 $ pour les failles détectées dans les réseaux Xbox et live, et jusqu’à 60 000 $ pour les bugs liés au cloud Azure.
Analyses externes
Les analyses externes utilisent des logiciels pour détecter les vulnérabilités potentielles dans les infrastructures externes et les systèmes accessibles au public. Elles sont particulièrement utiles pour aider une entreprise à comprendre et à prévenir les attaques directes ou celles qui exploitent des atteintes à la confidentialité, des ports ouverts ou des accès non autorisés.
Analyses internes
Les analyses internes évaluent les capacités de sécurité des réseaux, bases de données, serveurs et appareils système internes d’une entreprise. Elles sont particulièrement importantes, car elles recoupent les analyses réalisées lors des audits externes. Une bonne combinaison d’analyses internes et externes peut aider les équipes à intensifier leurs initiatives de cybersécurité face à la multiplication des attaques.
Analyses basées sur les applications
Les analyses basées sur les applications recherchent les faiblesses de ressources opérationnelles telles que le code source, les appareils de l’Internet des objets (IoT) et les serveurs web. Elles aident les organisations à protéger la validation des entrées, les pratiques de programmation et les mécanismes d’authentification contre toute exploitation. Parmi les outils d’analyse applicative les plus utilisés figurent Drozer et AppScan.
Analyses continues
Les outils d’analyse continue comme Nessus et Qualys exécutent automatiquement des analyses périodiques chaque trimestre afin de rechercher les menaces de sécurité. Ces analyses présentent un avantage sur les autres, car elles détectent les vulnérabilités directement à leur source, améliorant ainsi la conformité et la gestion des risques.
En savoir plus : Tendances de l’analyse des vulnérabilités
Une fois ces vulnérabilités bien identifiées, l’étape suivante consiste à hiérarchiser les failles et les bugs nécessitant une intervention urgente — un processus appelé évaluation des vulnérabilités.
Qu’est-ce qu’une évaluation des vulnérabilités ?
Une évaluation des vulnérabilités fournit des informations exploitables sur les menaces de sécurité et permet de hiérarchiser les vulnérabilités les plus critiques. Les organisations réalisent ces évaluations à l’aide de scanners automatisés, de configurations manuelles des systèmes et de tests réseau et d’intrusion. Une fois que les équipes de sécurité disposent de suffisamment de données sur les failles non corrigées, l’étape suivante consiste à créer des rapports d’évaluation et des stratégies d’atténuation.
L’évaluation des vulnérabilités constitue une étape importante pour réduire la vulnérabilité d’une organisation et éliminer les points d’entrée que les hackers pourraient exploiter. Des outils comme Nessus et OpenVAS fournissent des rapports personnalisés, une surveillance continue et des analyses périodiques.
Types d’évaluations des vulnérabilités
Voici quelques-uns des types d’évaluations des vulnérabilités les plus couramment utilisés dans les environnements technologiques d’entreprise.
Évaluation des vulnérabilités réseau
Une évaluation réseau audite et examine les points de terminaison du réseau, les commutateurs, les pare-feu et les routeurs afin de détecter et de corriger les vulnérabilités. Elle aide à repérer celles qui sont dues à des mots de passe faibles, des ports ouverts et des logiciels non corrigés.
Évaluation des vulnérabilités des applications web
Une évaluation des vulnérabilités des applications web examine minutieusement ces applications à la recherche de problèmes de gestion des sessions, de failles de validation des entrées et de possibilités d’injection SQL. Ces analyses recherchent les vulnérabilités au moyen de techniques telles que l’exploration et le spidering, et analysent les contenus courants à la recherche de faiblesses.
Évaluation des vulnérabilités des réseaux sans fil
Une évaluation d’un réseau sans fil examine les faiblesses du chiffrement, les problèmes de configuration et les points d’accès non autorisés susceptibles de se transformer en cyberattaques de grande ampleur.
Évaluation des vulnérabilités liées à l’ingénierie sociale
L’ingénierie sociale s’intéresse aux risques liés aux vulnérabilités humaines — autrement dit, aux situations dans lesquelles un employé pourrait être trompé et amené à fournir des données ou un accès aux systèmes. L’évaluation aide à répondre aux incidents provoqués par le phishing, le vishing ou la manipulation physique.
Évaluation des vulnérabilités des hôtes
Une évaluation des vulnérabilités des hôtes examine les hôtes individuels, les postes de travail et les serveurs critiques à la recherche d’anomalies de sécurité. La plupart des outils basés sur les hôtes prennent également en charge le cloud pour les comptes individuels et les mises à jour non installées des versions du système d’exploitation (OS).
Une bonne stratégie de sécurité ne se limite pas à l’exécution d’analyses périodiques. Elle consiste également à gérer et à atténuer régulièrement les failles de sécurité afin d’empêcher les hackers de tenter de les exploiter.
Qu’est-ce que la gestion des vulnérabilités ?
La gestion des vulnérabilités aide les équipes de sécurité à garder une longueur d’avance sur les hackers black hat ou malveillants en assurant la continuité de la perception, de l’analyse, de la détection et de la gestion des menaces. Un programme de gestion des vulnérabilités commence par de simples analyses et comprend la création de rapports personnalisés, le suivi des problèmes et l’analyse des causes profondes.
Étapes de la gestion des vulnérabilités
Un programme robuste de gestion des vulnérabilités couvre tout le cycle de vie d’une faille de sécurité, de sa détection à son signalement et à sa correction. La plupart des équipes de sécurité disposent d’un dispositif de gestion personnalisé, mais voici quelques étapes courantes que ces processus devraient inclure.
Inventaire des actifs
Un inventaire des actifs consiste à créer un répertoire des actifs d’une entreprise — systèmes d’exploitation, logiciels, matériel, systèmes réseau et correctifs appliqués, par exemple — et à effectuer périodiquement une analyse des risques afin de déterminer lesquels présentent les risques les plus élevés.
Évaluation des risques et hiérarchisation des vulnérabilités
Les actifs présentant les risques les plus élevés sont identifiés et traités en priorité. Une valeur unique est attribuée à chaque faille afin de calculer l’exposition des actifs individuellement et dans leur ensemble. Ils sont ensuite regroupés selon leur criticité et leur niveau de risque, puis un plan d’atténuation est créé pour y remédier. L’étape cruciale que la plupart des équipes négligent consiste à utiliser les renseignements sur les menaces afin que les données compilées soient riches en contexte et offrent une visibilité à 360 degrés sur l’ensemble de la surface de menace.
Établissement de rapports
L’établissement de rapports permet à une entreprise de suivre les progrès de sa stratégie globale. En créant des indicateurs pour réévaluer ces progrès et en documentant les mesures une fois qu’elles sont mises en œuvre, l’organisation peut s’assurer qu’elle prend les bonnes dispositions pour se protéger. La surveillance continue et les analyses de sécurité sont courantes à ce stade.
Correction et vérification
À cette étape, le plan de sécurité des actifs critiques est exécuté. Il peut s’agir de mettre à jour des équipements clés, d’appliquer des correctifs et de reconfigurer des clés de sécurité. Une fois tous les remèdes disponibles appliqués, il convient de créer un plan à long terme permettant de détecter et d’éliminer régulièrement les failles de sécurité.
En résumé : analyse des vulnérabilités, évaluation des vulnérabilités et gestion des vulnérabilités
Une cyberattaque contre une entreprise se produit toutes les 39 secondes, et une violation de données peut coûter en moyenne jusqu’à 3,8 millions de dollars à une entreprise. Les organisations qui ne donnent pas la priorité à la gestion des vulnérabilités peuvent devenir des cibles faciles, mettant en danger la continuité de leur activité, leur rentabilité, leur réputation et les données de leurs clients. Les entreprises de toutes tailles devraient adopter une approche de leur infrastructure plaçant la sécurité au premier plan. L’analyse des vulnérabilités, l’évaluation des vulnérabilités et la gestion des vulnérabilités sont toutes des composantes essentielles de cette approche.