Les vuln\u00e9rabilit\u00e9s logicielles constituent aujourd’hui une menace majeure pour les organisations. Le co\u00fbt de ces menaces est important, tant sur le plan financier qu’en termes de r\u00e9putation.<\/p>\n
La gestion et la correction des vuln\u00e9rabilit\u00e9s peuvent facilement devenir incontr\u00f4lables lorsque le nombre de vuln\u00e9rabilit\u00e9s dans votre organisation se compte en centaines de milliers de vuln\u00e9rabilit\u00e9s et qu’elles sont suivies de mani\u00e8re inefficace, comme l’utilisation de feuilles de calcul Excel ou de plusieurs rapports, en particulier lorsque de nombreuses \u00e9quipes sont impliqu\u00e9es dans l’organisation. .<\/p>\n
M\u00eame lorsqu’un processus de correction est en place, les organisations ont encore du mal \u00e0 corriger efficacement les vuln\u00e9rabilit\u00e9s de leurs actifs. Cela est g\u00e9n\u00e9ralement d\u00fb au fait que les \u00e9quipes examinent la gravit\u00e9 des vuln\u00e9rabilit\u00e9s et ont tendance \u00e0 appliquer des correctifs aux vuln\u00e9rabilit\u00e9s dans l’ordre de gravit\u00e9 suivant : critique > \u00e9lev\u00e9e > moyenne > faible > info. Les sections suivantes expliquent pourquoi cette approche est imparfaite et comment elle peut \u00eatre am\u00e9lior\u00e9e.<\/p>\n
Pourquoi le patch est-il difficile ?<\/strong><\/h2>\nS’il est bien connu que la correction des vuln\u00e9rabilit\u00e9s est extr\u00eamement importante, il est \u00e9galement difficile de corriger efficacement les vuln\u00e9rabilit\u00e9s. Les vuln\u00e9rabilit\u00e9s peuvent \u00eatre signal\u00e9es \u00e0 partir de sources telles que les rapports de pentest et divers outils d’analyse. Les analyses peuvent \u00eatre effectu\u00e9es sur vos applications Web, API, code source, infrastructure, d\u00e9pendances, conteneurs, etc.<\/p>\n
Le nombre total de rapports qui doivent \u00eatre pass\u00e9s au crible pour hi\u00e9rarchiser les correctifs peut augmenter consid\u00e9rablement, m\u00eame en peu de temps, et lorsque plusieurs \u00e9quipes sont impliqu\u00e9es, cela peut encore augmenter la complexit\u00e9 et le temps n\u00e9cessaires pour coordonner et hi\u00e9rarchiser les correctifs.<\/p>\n
Pour aggraver les choses, de nouveaux exploits continuent de faire surface presque quotidiennement, et le suivi des nouveaux exploits et des correctifs disponibles peut devenir une t\u00e2che colossale qui peut rapidement devenir incontr\u00f4lable si elle n’est pas trait\u00e9e correctement. \u00c0 moins qu’une organisation ne dispose d’un programme de s\u00e9curit\u00e9 tr\u00e8s mature, il est compliqu\u00e9 de g\u00e9rer efficacement les correctifs.<\/p>\n
Adopter l’approche bas\u00e9e sur les risques pour corriger les vuln\u00e9rabilit\u00e9s<\/strong><\/h2>\nSimplifier l’application de correctifs vous oblige \u00e0 simplifier d’abord la hi\u00e9rarchisation. “Approche bas\u00e9e sur les risques” signifie que vous \u00e9valuerez l’impact potentiel d’une vuln\u00e9rabilit\u00e9 par rapport \u00e0 la probabilit\u00e9 de son exploitation. Cela vous permet de d\u00e9terminer si cela vaut la peine d’agir ou non.<\/p>\n
Pour simplifier la priorisation, vous devez consid\u00e9rer les \u00e9l\u00e9ments suivants\u00a0:<\/p>\n
\n- L’exposition de l’actif,<\/li>\n
- La sensibilit\u00e9 m\u00e9tier de l’actif,<\/li>\n
- La gravit\u00e9 de la vuln\u00e9rabilit\u00e9 signal\u00e9e pour l’actif,<\/li>\n
- La disponibilit\u00e9 d’un exploit pour la vuln\u00e9rabilit\u00e9 signal\u00e9e,<\/li>\n
- La complexit\u00e9 de l’exploit, s’il est disponible,<\/li>\n
- La taxonomie de la vuln\u00e9rabilit\u00e9 signal\u00e9e.<\/li>\n<\/ul>\n
* L’actif peut \u00eatre n’importe quoi au sein de votre organisation, comme une application Web, une application mobile, un r\u00e9f\u00e9rentiel de code, un routeur, un serveur, une base de donn\u00e9es, etc.<\/i><\/p>\n
Simplifier l’application de correctifs vous oblige \u00e0 simplifier d’abord la hi\u00e9rarchisation. “Approche bas\u00e9e sur les risques” signifie que vous \u00e9valuerez l’impact potentiel d’une vuln\u00e9rabilit\u00e9 par rapport \u00e0 la probabilit\u00e9 de son exploitation. Cela vous permet de d\u00e9terminer si cela vaut la peine d’agir ou non.<\/p>\n
Pour simplifier la priorisation, vous devez consid\u00e9rer les \u00e9l\u00e9ments suivants\u00a0:<\/p>\n
- \n
- L’exposition de l’actif,<\/li>\n
- La sensibilit\u00e9 m\u00e9tier de l’actif,<\/li>\n
- La gravit\u00e9 de la vuln\u00e9rabilit\u00e9 signal\u00e9e pour l’actif,<\/li>\n
- La disponibilit\u00e9 d’un exploit pour la vuln\u00e9rabilit\u00e9 signal\u00e9e,<\/li>\n
- La complexit\u00e9 de l’exploit, s’il est disponible,<\/li>\n
- La taxonomie de la vuln\u00e9rabilit\u00e9 signal\u00e9e.<\/li>\n<\/ul>\n
* L’actif peut \u00eatre n’importe quoi au sein de votre organisation, comme une application Web, une application mobile, un r\u00e9f\u00e9rentiel de code, un routeur, un serveur, une base de donn\u00e9es, etc.<\/i><\/p>\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1658923588_301_Adopter-lapproche-basee-sur-les-risques-pour-corriger-les-vulnerabilites.jpg\")
<\/td>\n<\/tr>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1658923588_735_Adopter-lapproche-basee-sur-les-risques-pour-corriger-les-vulnerabilites.jpg\")
<\/td>\n<\/tr>\n