Évaluation et balayage des vulnérabilités

Ce que repère un balayage de vulnérabilités

Un balayage de vulnérabilités confronte ce que vos systèmes laissent voir sur Internet à de vastes répertoires de failles publiées; il trouve donc rapidement, et à grande échelle, les problèmes connus et catalogués. Les résultats se rangent d’ordinaire dans cinq familles.

L’outil lit des versions, des bannières et des réponses, sans comprendre le fonctionnement de votre entreprise. Une faille dans une logique sur mesure, un mot de passe volé utilisé normalement, un employé dupé au téléphone ou deux petites faiblesses enchaînées échappent à l’automate. D’où l’intérêt de le combiner à un audit de cybersécurité et, pour un système de grande valeur, à un test d’intrusion.

• Logiciel touché par une faille publiée : système de gestion de contenu, extension, serveur Web, appareil RPV ou micrologiciel de pare-feu périmé
• Mises à jour de sécurité absentes sur des serveurs joignables de l’extérieur
• Interfaces d’administration ouvertes à tout Internet : panneau d’hébergement, outil de base de données, bureau à distance
• Chiffrement faible, certificat expiré ou mal associé
• Pages par défaut, fichiers d’exemple et listes de répertoires qui révèlent la construction d’un système

Pourquoi une personne confirme chaque résultat

L’évaluation transforme la sortie brute de l’outil en une courte liste de problèmes réels, et cette étape demande un humain. Les outils signalent de fausses alertes, répètent un même défaut sur des dizaines de pages et ignorent le contexte : une faille dans un module jamais activé pèse moins que la même faille sur votre page de connexion.

Le cadre de cybersécurité 2.0 du NIST formule le résultat attendu : les vulnérabilités des actifs sont repérées, validées et consignées.¹ Nous prenons le mot « validées » au pied de la lettre. Chaque résultat est reproduit ou vérifié à la main avant d’entrer au rapport; ce que nous ne pouvons pas confirmer est retiré ou signalé comme non confirmé, avec la raison.

Classement des failles : gravité, exposition et exploitation connue

Chaque faille confirmée reçoit une note de gravité selon le Common Vulnerability Scoring System (CVSS), la norme ouverte publiée par le FIRST; la version 4.0 répartit les notes de 0 à 10 en cinq cotes qualitatives.² Le FIRST présente cette note comme une mesure de gravité technique que chaque organisation combine à ses propres facteurs pour évaluer le risque.²

Deux critères s’y ajoutent chez nous. Le premier : la faille figure-t-elle au catalogue des vulnérabilités exploitées connues, tenu par la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis comme référence des failles exploitées en conditions réelles?³ Le second : le système répond-il depuis Internet, et quelles données protège-t-il? Ensemble, ils fixent le palier de chaque constat.

• Aujourd’hui : faille exploitée en conditions réelles, ou critique et joignable depuis Internet
• Ce mois-ci : gravité élevée, ou moyenne sur un système qui contient des renseignements personnels ou financiers
• Plus tard : gravité faible, système interne seulement, ou faille déjà neutralisée par une autre mesure

Gestion des vulnérabilités : du balayage ponctuel au cycle régulier

La gestion des vulnérabilités est un cycle : inventaire des actifs, balayage, confirmation et classement, correction, puis nouveau balayage. Un balayage isolé ne décrit qu’une journée, et de nouvelles failles sont publiées chaque semaine. Le contrôle 7 du CIS, Continuous Vulnerability Management, demande d’évaluer et de suivre en continu les vulnérabilités de tous les actifs pour réduire la fenêtre offerte aux attaquants.⁴

Les orientations canadiennes vont dans le même sens. Les contrôles de base pour les petites et moyennes organisations exigent l’application automatique des correctifs ou un programme complet de gestion des vulnérabilités et des correctifs,⁶ et les 10 mesures de sécurité des TI demandent d’appliquer un correctif de sécurité le plus rapidement possible selon votre processus.⁷ Nous faisons ce contrôle quotidien des vulnérabilités sur nos propres serveurs et plus de 80 sites Web : ce cycle fait partie de notre routine.

L’évaluation peut être ponctuelle ou revenir selon un calendrier inscrit dans la lettre de portée. Le schéma montre un tour complet du cycle.

Balayage externe et surface d’attaque : ce que nous examinons

Le balayage externe regarde votre entreprise depuis Internet, comme le ferait un inconnu; la surface d’attaque est la liste complète de ce qui répond de l’extérieur. Dans la plupart des PME, cette liste dépasse les attentes, car des services ajoutés il y a des années par un ancien fournisseur tournent encore.

Gérer la surface d’attaque, c’est tenir cette liste à jour et la réduire : fermer ce qui ne sert plus, placer les panneaux d’administration derrière un RPV ou une liste d’adresses autorisées, et maintenir à jour chaque service restant. Les cibles figurent toujours dans la lettre de portée; des serveurs du réseau interne s’ajoutent si la lettre les prévoit.

• Vos domaines et les sous-domaines publiés dans le DNS
• Les adresses IP publiques du bureau, de l’hébergement et des serveurs infonuagiques
• Sites Web et boutiques en ligne, y compris le système de gestion de contenu et ses extensions
• Serveurs de courriel et pages de connexion au webmail
• Passerelles RPV, bureau à distance et autres points d’accès à distance

Évaluation des vulnérabilités et test d’intrusion : comment les combiner

L’évaluation des vulnérabilités dresse la liste des faiblesses connues sur de nombreux systèmes; le test d’intrusion choisit quelques cibles et tente de les exploiter pour démontrer l’impact réel. La première est large, répétable et se prête à un calendrier. Le second est profond, ponctuel, et se commande pour un système précis ou parce qu’un contrat l’exige.

Pour une PME, l’ordre logique est l’évaluation, puis les correctifs, puis le test d’intrusion une fois les entrées faciles fermées : le testeur consacre alors ses heures payées aux questions difficiles. Le test d’intrusion s’organise sur demande, avec sa propre portée.

Surveillance du Web clandestin et mots de passe divulgués

La surveillance du Web clandestin fouille les bases de données divulguées et les forums criminels à la recherche d’adresses courriel et de mots de passe liés à votre domaine, puis vous avertit lorsqu’un élément apparaît. Elle signale qu’un identifiant a fuité quelque part, sans pouvoir dire s’il fonctionne encore ni où il est réutilisé.

La réponse reste la même, peu importe la source de l’alerte : changer le mot de passe, activer l’authentification à deux facteurs et vérifier les règles de transfert ajoutées à la boîte de courriel. Ces vérifications de comptes font partie de notre audit de cybersécurité; une boîte détournée pour envoyer de fausses factures relève de la sécurité du courriel.