Gestion des vulnérabilités réseau
Des milliers de vulnérabilités sont publiées chaque année. Les traiter toutes est impossible ; les ignorer est dangereux. Voici un processus réaliste : inventaire, détection, priorisation, correction et vérification.
Chaque année, des dizaines de milliers de vulnérabilités reçoivent un identifiant CVE. Une petite partie d'entre elles est réellement exploitée par des attaquants, mais celles-ci le sont parfois dans les jours qui suivent leur publication. Les équipements de bordure — pare-feu, passerelles VPN, serveurs exposés — sont des cibles privilégiées. La gestion des vulnérabilités vise à trouver, prioriser et corriger avant qu'une faille ne soit exploitée.
Objectif : construire un processus de gestion des vulnérabilités adapté à une infrastructure réseau et système, en concentrant les efforts sur ce qui compte vraiment.
Le cycle de gestion des vulnérabilités
- Inventorier les actifs.
- Détecter les vulnérabilités (veille et analyse).
- Évaluer et prioriser.
- Traiter : corriger, atténuer ou accepter.
- Vérifier la correction.
- Mesurer et améliorer.
1. Inventorier : on ne protège pas ce que l'on ignore
L'inventaire est la base de tout : équipements réseau, serveurs, postes, hyperviseurs, applications, services cloud, avec pour chacun la version logicielle, le propriétaire, la criticité et l'exposition (accessible depuis Internet ou non).
Sources possibles : outil de gestion de parc, source de vérité réseau, découverte active (balayage autorisé de vos propres plages), consoles des hyperviseurs et du cloud. Les équipements oubliés — un ancien serveur de test, un boîtier d'administration à distance — sont souvent ceux par lesquels les intrusions commencent.
Suivez aussi les dates de fin de support : un produit qui ne reçoit plus de correctifs de sécurité doit être remplacé ou isolé.
2. Détecter
La veille
- Avis des constructeurs (bulletins de sécurité des éditeurs et fabricants de vos équipements) ;
- CERT-FR en France, qui publie avis et alertes ;
- catalogue KEV de la CISA, qui recense les vulnérabilités dont l'exploitation active est avérée ;
- abonnements aux listes de diffusion des logiciels libres utilisés.
L'analyse de vulnérabilités
Des outils comme OpenVAS/Greenbone ou des solutions commerciales analysent vos systèmes et les comparent à des bases de vulnérabilités.
- Analyse non authentifiée : vue de l'extérieur, comme un attaquant ; détecte les services exposés et certaines failles, mais génère des faux positifs et manque beaucoup de vulnérabilités locales.
- Analyse authentifiée : l'outil se connecte au système (compte dédié en lecture) et inventorie précisément les paquets et versions. Beaucoup plus fiable.
Organisez des analyses régulières (au moins mensuelles pour l'interne, plus fréquentes pour ce qui est exposé), et ne les réalisez que sur des systèmes dont vous avez la responsabilité ou une autorisation formelle. Prévenez les équipes concernées : une analyse peut perturber des équipements fragiles (anciens automates, imprimantes).
3. Prioriser
Il est impossible de tout corriger immédiatement. La priorisation combine plusieurs facteurs.
Le score CVSS
Le CVSS (Common Vulnerability Scoring System, version 4.0 publiée en 2023 ; la version 3.1 reste très utilisée) évalue la gravité technique d'une vulnérabilité sur une échelle de 0 à 10 : vecteur d'attaque, complexité, privilèges requis, impact. Il ne mesure pas le risque pour votre organisation.
La probabilité d'exploitation
- Exploitation active connue (catalogue KEV, alertes CERT-FR) : priorité maximale.
- EPSS (Exploit Prediction Scoring System, publié par le FIRST) estime la probabilité qu'une vulnérabilité soit exploitée dans les 30 jours.
Le contexte
- Exposition : un équipement accessible depuis Internet passe avant un serveur isolé.
- Criticité de l'actif : annuaire, hyperviseurs, sauvegardes, données sensibles.
- Mesures existantes : la fonctionnalité vulnérable est-elle activée ? Un filtrage empêche-t-il l'accès ?
Une grille simple
| Situation | Délai cible indicatif |
|---|---|
| Exploitation active + système exposé sur Internet | Immédiat (heures à quelques jours) ; mesure d'atténuation en attendant |
| Exploitation active, système interne | Quelques jours |
| Critique (CVSS élevé), exposé, pas d'exploitation connue | Une à deux semaines |
| Critique, interne | Cycle de correctifs mensuel |
| Moyenne / faible | Cycle normal de maintenance |
Ces délais sont des exemples : définissez les vôtres dans une politique validée par la direction.
4. Traiter
Corriger
La solution de référence est l'application du correctif ou la mise à jour vers une version corrigée.
- Tester en préproduction lorsque c'est possible, surtout pour les équipements réseau critiques.
- Planifier une fenêtre de maintenance, avec sauvegarde de la configuration et plan de retour arrière. Voir Sauvegarde et restauration des configurations réseau.
- Exploiter la redondance : mettre à jour un membre d'une paire, vérifier, puis l'autre.
- Lire attentivement l'avis du constructeur : certaines vulnérabilités exigent, en plus du correctif, des actions complémentaires (changement de mots de passe, révocation de certificats, recherche de compromission).
Atténuer
Lorsque la correction n'est pas immédiatement possible :
- désactiver la fonctionnalité vulnérable ;
- restreindre l'accès par filtrage (limiter l'interface d'administration à quelques adresses) ;
- appliquer une signature IPS ou une règle de WAF ;
- renforcer la surveillance.
Une mesure d'atténuation est temporaire et doit être suivie jusqu'à la correction.
Accepter
Pour un risque faible ou un système en fin de vie isolé, l'organisation peut accepter formellement le risque, de manière documentée, validée et limitée dans le temps.
5. Vérifier
Après correction, relancez l'analyse pour confirmer la disparition de la vulnérabilité. Vérifiez aussi la version effectivement en service : un correctif téléchargé mais non installé, ou un équipement qui n'a pas redémarré, n'est pas corrigé.
Pour les vulnérabilités activement exploitées sur des équipements exposés, corriger ne suffit pas toujours : si l'équipement a pu être compromis avant la correction, il faut rechercher des traces de compromission, selon les indications du constructeur et des autorités. Voir Procédure de réponse à un incident de sécurité.
6. Mesurer
Quelques indicateurs utiles :
- pourcentage d'actifs inventoriés et analysés ;
- délai moyen de correction par niveau de priorité ;
- nombre de vulnérabilités critiques ouvertes au-delà du délai cible ;
- nombre de systèmes en fin de support.
Erreurs courantes
- Inventaire incomplet, laissant des systèmes hors du processus.
- Prioriser uniquement sur le score CVSS sans considérer l'exploitation et l'exposition.
- Oublier les équipements réseau (pare-feu, VPN, commutateurs), souvent moins bien suivis que les serveurs.
- Analyses non authentifiées seulement.
- Correctifs appliqués sans vérification.
Conclusion
La gestion des vulnérabilités est un processus continu : inventaire exhaustif, veille, analyses authentifiées, priorisation fondée sur l'exploitation réelle et l'exposition, correction vérifiée. Concentrez d'abord vos efforts sur les systèmes exposés et les vulnérabilités activement exploitées : c'est là que se joue l'essentiel du risque.
