Gestion des vulnérabilités et correctifs
Structurer un cycle de gestion des vulnérabilités et des correctifs aligné sur le Contrôle 7 du CIS.
À retenir
- La gestion des vulnérabilités est un cycle continu : découverte, évaluation, remédiation, vérification.
- La priorisation doit combiner score CVSS, exploitabilité réelle et exposition de l'actif.
- Les comptes à privilèges mal maîtrisés amplifient l'impact d'une vulnérabilité non corrigée.
- La journalisation centralisée est indispensable pour détecter une exploitation et reconstituer un incident.
- Le catalogue CISA KEV aide à prioriser les correctifs sur les failles réellement exploitées.
Un cycle continu, pas une campagne ponctuelle
Le Contrôle 7 du CIS — Gestion continue des vulnérabilités exige un processus permanent de découverte, d'évaluation et de correction des failles, plutôt qu'une campagne de scan trimestrielle isolée. La menace évolue en continu : une vulnérabilité critique publiée un lundi peut être exploitée en masse dès le mercredi.
Les quatre étapes du cycle
- Découverte : scan d'infrastructure (interne et externe), inventaire à jour des versions logicielles.
- Évaluation et priorisation : score CVSS, mais aussi exploitabilité réelle (existence d'un exploit public, exposition sur Internet, criticité de l'actif).
- Remédiation : application du correctif, contournement temporaire (compensating control) ou acceptation formelle du risque.
- Vérification : re-scan pour confirmer la correction effective.
Point clé
un score CVSS élevé ne suffit pas à prioriser seul — une vulnérabilité critique sur un serveur isolé du réseau est souvent moins urgente qu'une vulnérabilité moyenne exposée directement sur Internet et activement exploitée (voir le catalogue KEV de la CISA).
Délais de correctif recommandés
| Criticité | Délai cible IG1/IG2 | Contexte |
|---|---|---|
| Critique, exploitée activement | 24 à 72 h | Actif exposé sur Internet |
| Critique | 7 jours | Correctif disponible et testé |
| Élevée | 30 jours | Cycle de maintenance planifié |
| Moyenne/faible | 90 jours ou prochain cycle | Suivi dans le backlog de correctifs |
Attention
un serveur « critique métier » est souvent celui qu'on hésite le plus à patcher par peur d'interruption — c'est pourtant statistiquement celui qui présente le plus grand impact en cas de compromission. Un plan de test de non-régression avant patch est préférable à un report indéfini.
Comptes à privilèges : un facteur aggravant
La gestion des vulnérabilités ne suffit pas si les comptes à privilèges ne sont pas maîtrisés (Contrôle 5 et 6 du CIS) : un attaquant qui exploite une vulnérabilité sur un compte disposant de droits d'administration locale ou de domaine peut se déplacer latéralement bien plus vite. Les bonnes pratiques incluent :
- Comptes d'administration nominatifs, séparés des comptes bureautiques quotidiens.
- Authentification multifacteur systématique sur les comptes à privilèges.
- Revue périodique des droits et suppression des comptes orphelins.
- Journalisation exhaustive de toute action effectuée avec un compte privilégié (Contrôle 8).
Sur le terrain
lors d'un test d'intrusion, la chaîne d'attaque la plus fréquemment observée combine une vulnérabilité non corrigée depuis plusieurs mois avec un compte de service disposant de droits d'administrateur local trop larges — corriger l'un des deux facteurs suffit souvent à bloquer l'intrusion.
Journalisation comme filet de sécurité
Même un correctif appliqué à temps ne garantit rien sans journalisation (Contrôle 8) : elle permet de détecter une tentative d'exploitation avant correction et de reconstituer la chronologie en cas d'incident. Les journaux d'authentification, de pare-feu et d'accès aux comptes à privilèges doivent être centralisés, horodatés de façon fiable (NTP synchronisé) et conservés selon une durée définie par la politique de sécurité.
Astuce
croisez systématiquement votre inventaire de vulnérabilités avec le catalogue CISA Known Exploited Vulnerabilities (KEV) : il liste les failles activement exploitées dans la nature et doit faire remonter automatiquement leur priorité de correction.