Fiche 10 — Gestion des vulnérabilités, tests d’intrusion & sécurité applicative

1. Vocabulaire et référentiels

• CVE : identifiant d’une vulnérabilité publique (MITRE/CNA). CWE : type de faiblesse (ex. CWE-89 injection SQL). CPE : nomenclature de produit. CAPEC : modes d’attaque.
• CVSS v3.1 / v4.0 ⭐ : score 0-10.
  • v3.1 : Base (AV, AC, PR, UI, S, C, I, A) / Temporal / Environmental.
  • v4.0 : Base + Threat + Environmental + Supplemental ; nouvelles métriques (Attack Requirements, User Interaction P/A, impacts Subsequent System), nomenclatures CVSS-B / CVSS-BT / CVSS-BTE.
  • Sévérités : 0.1-3.9 faible, 4.0-6.9 moyenne, 7.0-8.9 élevée, 9.0-10 critique.
  • Message clé : le CVSS mesure la sévérité technique, pas le risque. Prioriser avec CVSS + exploitabilité réelle + exposition + criticité métier de l’actif.
• EPSS (probabilité d’exploitation à 30 jours) et CISA KEV (vulnérabilités activement exploitées) → les deux leviers modernes de priorisation. Savoir dire : « je patche d’abord tout ce qui est dans le KEV et exposé sur Internet, puis j’utilise EPSS pour arbitrer le reste ». ⭐
• VEX (Vulnerability Exploitability eXchange) + SBOM : le composant est-il réellement affecté/exploitable dans mon produit ?
• 0-day / n-day, PoC, exploit kit, CVE-less (mauvaise configuration).

2. Processus de gestion des vulnérabilités (à savoir dérouler)

1. Inventaire des actifs (CMDB) ──► 2. Découverte (scan authentifié + agent + externe)
        ▲                                        │
        │                                        ▼
6. Métriques & reporting ◄── 5. Vérification ◄── 4. Remédiation ◄── 3. Priorisation

1. Inventaire : sans CMDB fiable, le scan est aveugle. Inclure cloud, conteneurs, SaaS, OT, shadow IT.
2. Découverte : scans authentifiés (bien plus précis) + agents + surface d’attaque externe (EASM) + scan d’images/registres + SCA sur les dépendances + pentests.
3. Priorisation : CVSS × exposition (Internet/interne) × criticité de l’actif × KEV/EPSS × existence d’un contournement.
4. Remédiation : patch, contournement, mesure compensatoire, acceptation formelle avec date de revue. SLA type : critique exposée 48 h-7 j, critique interne 14 j, élevée 30 j, moyenne 90 j.
5. Vérification : rescan, preuve de correction, pas de « fermé sur déclaration ».
6. Métriques : couverture du scan, âge moyen des vulnérabilités ouvertes, respect des SLA, taux de récurrence (indique un problème de build/baseline), nombre de vulnérabilités critiques exposées (le seul chiffre que le COMEX doit voir).

Écueils fréquents à savoir critiquer : rapport de 40 000 lignes non priorisé ; scan non authentifié ; absence de propriétaire de remédiation ; pas de gestion des exceptions ; on scanne mais on ne patche pas ; on oublie les appliances et les firmwares (là où sont les CVE les plus exploitées).

Outils : Tenable (Nessus/IO/SC), Qualys, Rapid7, OpenVAS/Greenbone, Defender TVM, Wiz/Orca (cloud), Trivy/Grype (images), Dependabot/Renovate/Snyk (dépendances), Shodan/Censys + EASM (surface externe), Nmap.

3. Tests d’intrusion

Types & cadrage

• Boîte noire / grise / blanche (le gris est le meilleur rapport valeur/temps en général).