Qu’est-ce que l’analyse des vulnérabilités ?

Une vulnérabilité de sécurité, c’est tout point faible dans la structure, le fonctionnement ou la mise en œuvre d’un actif informatique ou d’un réseauque des pirates ou autres acteurs malveillants peuvent exploiter pour obtenir un accès non autorisé aux systèmes et nuire au réseau, aux utilisateurs ou à l’entreprise. Voici quelques vulnérabilités courantes : Voici quelques vulnérabilités courantes :

•  Les défauts de codage, comme dans les applications web sujettes au cross-site scripting, à l’injection de code SQL et à d’autres attaques par injection en raison de la façon dont elles gèrent les entrées utilisateur.
  
  
• Ports ouverts non protégés sur les serveurs, ordinateurs portables et autres terminaux, que les pirates peuvent utiliser pour diffuser des logiciels malveillants.
  
  
• Mauvaises configurations, par exemple un compartiment de stockage cloud qui expose des données sensibles sur le réseau Internet public à cause d’autorisations d’accèsinappropriées. 
  
  
• Des correctifs manquants, des mots de passe faibles ou d’autres problèmes de cyberhygiène.

Des milliers de nouvelles vulnérabilités sont découvertes chaque mois. Aux États-Unis, deux agences gouvernementales tiennent des catalogues consultables des failles de sécurité connues : le National Institute of Standards and Technologies (NIST) et la Cybersecurity and Infrastructure Security Agency (CISA) (liens externes à ibm.com).

Malheureusement, même si les vulnérabilités sont soigneusement documentées une fois découvertes, ce sont souvent les pirates informatiques et autres acteurs malveillants qui les trouvent en premier, leur permettant de prendre les organisations par surprise.

Pour adopter une posture de sécurité plus proactive face à ces cybermenaces, les équipes informatiques mettent en œuvre des programmes de gestion des vulnérabilités. Ces programmes s’appuient sur un processus continu qui permet d’identifier et de résoudre les risques de sécurité avant que les pirates ne puissent les exploiter. L’analyse des vulnérabilités constitue généralement la première étape du processus de gestion des vulnérabilités : son objectif étant de découvrir les failles de sécurité que les équipes chargées de l’informatique et de la sécurité devront résoudre. 

Voici comment de nombreuses équipes de sécurité utilisent également l’analyse des vulnérabilités :

• Validation des mesures et des contrôles de sécurité : après avoir mis en place de nouveaux contrôles, les équipes effectuent souvent une autre analyse. Il s’agit de confirmer que les vulnérabilités identifiées ont été corrigées et que les efforts de résolution n’ont pas introduit de nouveau problème.
   

• Pour maintenir la conformité réglementaire : certaines réglementations exigent explicitement l’exécution d’une analyse des vulnérabilités. Par exemple, la norme PCI-DSS (Payment Card Industry Data Security Standard) exige que les organisations qui gèrent les données des titulaires de carte fassent des analyses trimestrielles (lien externe à ibm.com).

Il existe de nombreux types de scanners, et les équipes de sécurité utilisent souvent une combinaison d’outils pour obtenir une vue complète des vulnérabilités du réseau. 

Certains scanners se concentrent sur des types d’actifs particuliers. Par exemple, les scanners cloud se concentrent sur les services cloud, tandis que les outils d’analyse des applications web recherchent les failles, comme leur nom l’indique, dans les applications web. 

Les scanners peuvent être installés localement ou fournis sous forme d’applications SaaS (Software-as-a-Service ou logiciel en tant que service). Il existe des scanners de vulnérabilités open source et des outils payants. Certaines organisations externalisent entièrement l’analyse des vulnérabilités à des fournisseurs de services tiers.

Bien que les scanners de vulnérabilités soient disponibles sous forme de solutions autonomes, les fournisseurs les proposent de plus en plus dans des suites de solutions holistiques de gestion des vulnérabilités. Ces outils combinent plusieurs types de scanners avec la gestion de la surface d’attaque, la gestion des actifs, la gestion des correctifs et d’autres fonctions clés, dans une seule solution. 

De nombreux scanners prennent en charge les intégrations avec d’autres outils de cybersécurité, comme les systèmes de gestion des informations et des événements de sécurité (SIEM) et les outils de détection et de réponse des terminaux (EDR).

Les équipes de sécurité peuvent exécuter différents types d’analyses en fonction de leurs besoins. En voici les types les plus courants :

• Les analyses de vulnérabilités externes examinent le réseau depuis l’extérieur. Elles se concentrent sur les failles des actifs orientés Internet tels que les applications web, et elles testent les contrôles de périmètre comme les pare-feu. Ces analyses montrent comment un pirate externe pourrait s’introduire sur un réseau.
   

• Les analyses de vulnérabilités internes examinent les vulnérabilités depuis l’intérieur du réseau. Elles révèlent ce qu’un pirate informatique pourrait faire en cas d’intrusion, notamment ses déplacements latéraux potentiels et les informations sensibles qu’il pourrait voler en cas de violation de données.
   

• Les analyses avec authentification, également appelées « analyses avec identification », nécessitent les privilèges d’accès d’un utilisateur autorisé. Au lieu de simplement regarder une application de l’extérieur, le scanner peut voir ce qu’un utilisateur connecté pourrait voir. Ces analyses illustrent ce qu’un pirate pourrait faire avec un compte piraté ou comment une menace interne peut causer des dommages. 
   

• Dans les analyses sans authentification, également appelées « analyses sans identification », aucune autorisation d’accès ni aucun privilège ne sont donnés. Elles ne voient les actifs que d’un point de vue extérieur. Les équipes de sécurité peuvent exécuter des analyses non authentifiées internes et externes.

Bien que chaque type d’analyse ait ses propres cas d’utilisation, certains aspects se recoupent et ils peuvent être combinés pour répondre à des objectifs différents. Par exemple, une analyse interne authentifiée montrerait le point de vue d’une menace interne. En revanche, une analyse interne non authentifiée montrerait ce que verrait un pirate informatique s’il franchissait le périmètre du réseau.

L’analyse des vulnérabilités et les tests d’intrusion sont des formes distinctes mais liées de tests de sécurité réseau. Malgré leurs fonctions différentes, de nombreuses équipes de sécurité les utilisent en complément l’un de l’autre. 

Les analyses de vulnérabilités sont des analyses générales automatisées des actifs. Elles trouvent des failles et les signalent à l’équipe de sécurité. Les tests d’intrusion, ou tests de pénétration, sont des processus manuels. Les responsables des tests de pénétration utilisent des compétences de piratage éthique pour non seulement détecter les vulnérabilités du réseau, mais aussi pour les exploiter lors de simulations d’attaques. 

Les analyses de vulnérabilité sont moins coûteuses et plus faciles à exécuter, de sorte que les équipes de sécurité les utilisent pour surveiller un système. Les tests de pénétration nécessitent plus de ressources, mais peuvent aider les équipes de sécurité à mieux comprendre les failles de leur réseau.

Utilisés ensemble, les analyses de vulnérabilités et les tests de pénétration peuvent rendre la gestion des vulnérabilités plus efficace. Par exemple, les analyses des vulnérabilités peuvent constituer un point de départ utile pour les responsables des tests de pénétration. De même, les tests de pénétration peuvent ajouter plus de contexte aux résultats de l’analyse en révélant les faux positifs, en identifiant les origines des problèmes et en déterminant comment les cybercriminels peuvent associer les vulnérabilités lors d’attaques plus complexes.