Gestion des vulnérabilités
Définition
La gestion des vulnérabilités est un processus continu qui identifie, classe et corrige les faiblesses d'un système d'information. Elle ne se limite pas à lancer un scan : chaque cycle doit se terminer par une vérification que la correction est bien en place.
Le cycle en cinq étapes
Le cycle se déroule en cinq étapes : inventaire, scan, priorisation, correctif, revérification.
Inventaire. On ne protège que ce qu'on connaît. L'inventaire recense les actifs : serveurs, postes, équipements réseau, applications, comptes. Un actif oublié, un ancien serveur de fichiers ou un routeur de test, est une porte d'entrée qui n'apparaît dans aucun rapport.
Scan. Un scanner de vulnérabilités (Nessus, OpenVAS, Qualys) interroge chaque actif et compare les versions logicielles aux bases de failles connues. Le scan produit une liste de vulnérabilités avec un niveau de gravité.
Priorisation. Toutes les failles ne méritent pas la même urgence. Une faille critique sur un serveur exposé à Internet passe avant une faille moyenne sur un poste interne. Le score CVSS, l'exposition réelle de l'actif et l'existence d'une exploitation active guident le classement.
Correctif. L'équipe applique le correctif de l'éditeur, ou une mesure compensatoire (règle de pare-feu, désactivation d'un service) quand le correctif n'existe pas encore.
Revérification. Un scan de contrôle confirme que la faille a disparu. Sans cette étape, un correctif installé mais non actif, à cause d'un redémarrage manqué ou d'une exception non documentée, passe inaperçu.
Pourquoi le processus compte
Un scan isolé donne une photo à un instant T. Les nouvelles failles apparaissent chaque semaine, les nouveaux actifs aussi. Le cycle doit tourner en continu, avec un calendrier adapté à la criticité des systèmes.
Un programme mal priorisé produit des centaines de failles corrigées et laisse passer la seule qui compte. La priorisation est le cœur du métier.
Exemple concret
Un hôpital scanne 400 actifs chaque semaine. Le rapport du lundi signale une faille critique sur le serveur des dossiers patients, exposé sur Internet. L'équipe constate qu'aucun correctif n'existe, applique une règle de pare-feu le jour même et surveille l'éditeur. Le correctif sort jeudi, il est testé puis déployé vendredi. Le scan de contrôle du lundi suivant ne montre plus la faille. Le dossier est clos.