Définition du concept de vulnérabilité

Qu’est-ce qu’une vulnérabilité ?

En informatique, une vulnérabilité est un défaut de sécurité dans un système, qui peut être un serveur, un logiciel de bureautique, une application web, un objet connecté, un composant matériel, etc. Ce défaut de sécurité a pour effet d’exposer ce système à des attaques potentielles permettant à un attaquant de porter atteinte au bon fonctionnement du système, d’accéder ou d’altérer les données qu’il manipule.

Toutes les vulnérabilités n’ont pas le même impact, pas la même gravité, ne s’exploitent pas de la même façon ou ne possèdent pas les mêmes prérequis d’exploitation. Il existe un nombre important de vulnérabilités tous systèmes confondus, et toutes ces vulnérabilités ne sont pas activement exploitées par des attaquants. Certaines ne sont peut-être pas assez impactantes, trop difficile à exploiter, ou ne concernent qu’un nombre trop restreint de cibles potentielles pour intéresser les cybercriminels.

Les causes de ces vulnérabilités sont variées et peuvent être multiples. Cela peut aller d’une mauvaise configuration du système laissant une porte d’entrée aux attaquants, à un correctif publié par l’éditeur...

Référentiels de vulnérabilités

Au sein d’une entreprise, les vulnérabilités peuvent émaner de différentes sources. Il peut s’agir de faiblesses présentes dans les systèmes d’exploitation des différents équipements, des logiciels installés sur ces équipements, des autres systèmes externes, mais contribuant au bon fonctionnement de l’entreprise : pare-feu, serveur proxy, répartiteur de charge, etc. L’entreprise n’est pas en mesure de corriger le code vulnérable d’un produit tiers, surtout lorsque la solution est propriétaire et dont le code source est fermé. Malgré cela, la responsabilité incombe aux équipes en charge de ces équipements d’être au fait des vulnérabilités présentes sur ces composants, et d’appliquer les correctifs fournis par les éditeurs. En cas de manquement, un attaquant sera en mesure de compromettre la sécurité de l’entreprise en exploitant une, ou plusieurs, de ces vulnérabilités. Pour cela, l’équipe peut se reposer sur un ensemble de bases de données et de référentiels permettant de rechercher les vulnérabilités impactant un produit en particulier afin de récupérer les informations nécessaires la concernant.

Prioriser les corrections des vulnérabilités

Se posent donc maintenant les questions suivantes : au sein de l’entreprise, comment évaluer rapidement et de manière optimale une vulnérabilité en vue de déterminer sa priorité de correction ? Comment prioriser les vulnérabilités affectant les différents systèmes, équipements et composants ? Bien qu’il n’existe pas de solution parfaite, certains outils aident à la résolution de ces problèmes et permettent d’orienter les décisions à prendre.