Distingue faiblesse, vulnérabilité, CVE, sévérité et exposition

L’idée reçue

« Un CVE est une attaque et son score indique directement le risque pour mon entreprise. »

Un identifiant CVE permet de parler d’une vulnérabilité précise. Le score CVSS décrit sa sévérité technique ; le risque dépend aussi de l’actif, de l’exposition, de l’exploitation et des contrôles locaux.

01Sépare les niveaux de description

Faiblesse
→ type de défaut possible dans une conception ou une implémentation

Vulnérabilité
→ faiblesse exploitable dans un produit, une version ou une configuration

CVE
→ identifiant commun pour une vulnérabilité publiée

CWE
→ catégorie de faiblesse, par exemple validation insuffisante ou contrôle d'accès incorrect

Une mauvaise configuration locale peut créer une vulnérabilité sans disposer immédiatement d’un identifiant CVE.

02Comprends ce que fait le CVE

CVE-AAAA-NNNN

L’identifiant permet de relier :

- avis du fournisseur
- versions affectées
- correctif ou mitigation
- analyses NVD
- outils d'inventaire
- décisions de traitement

Il ne prouve pas que ton système utilise la version affectée.

03Ajoute la preuve d’applicabilité

Avant de déclarer un actif vulnérable, rassemble :

Produit et composant exacts
Version ou build
Configuration et fonctionnalité concernées
Exposition réseau ou locale
Avis du fournisseur
Méthode d'inventaire
Date de vérification

CVE présent dans un scanner
≠ vulnérabilité confirmée automatiquement

Le scanner peut se tromper sur la version, le backport du fournisseur ou la configuration réellement active.

04Lis le CVSS comme une sévérité

CVSS v4.0 organise ses métriques en groupes :

Base
→ caractéristiques intrinsèques

Threat
→ évolution de la menace et de l'exploitation

Environmental
→ importance et contexte propres à l'organisation

Supplemental
→ informations complémentaires qui ne modifient pas seules le score final

Un score doit être accompagné de son vecteur et de sa source.

05Ne transforme pas CVSS en risque

Cas

Sévérité

Contexte

Priorité possible

Serveur interne isolé

CVSS 9.8

fonction inactive, contrôle compensatoire

planifiée après vérification

Portail Internet exploité

CVSS 7.5

actif important, exploitation connue

urgence

La sévérité reste importante, mais ne remplace pas l’analyse de risque.

06Observe les données synthétiques

lab=/tmp/soria-cyber-vulnerability-resilience-$USER
bash module3-cyber-vulnerability-resilience.sh setup "$lab"
bash module3-cyber-vulnerability-resilience.sh run "$lab"
column -s, -t "$lab/output/vulnerability-priority.csv"

Le lab utilise :

CVE-DEMO-0001
CVE-DEMO-0002
...

Ces valeurs sont volontairement invalides et ne désignent aucune vulnérabilité réelle.

07Compare deux résultats

VULN-102
CVSS 9.8
actif interne
pas d'exploitation connue
contrôle compensatoire
→ LOW dans la matrice pédagogique

VULN-103
CVSS 7.5
portail Internet
exploitation connue et active
aucun contrôle compensatoire
→ EMERGENCY

Le lab démontre une méthode de discussion, pas une formule universelle.

08Documente l’incertitude

Confirmé
→ version et configuration vérifiées

Probable
→ inventaire incomplet mais indicateurs convergents

Non applicable
→ composant absent ou fonctionnalité désactivée avec preuve

À vérifier
→ données insuffisantes

Ne ferme pas un cas uniquement parce que le score semble faible.

Mission

Qualifie huit vulnérabilités

Pour chaque entrée du lab, distingue identifiant, sévérité, applicabilité, exposition et preuve. Explique pourquoi VULN-102 et VULN-103 ne suivent pas simplement l’ordre de leurs scores CVSS.

✓À retenir

CWE décrit une famille de faiblesse, CVE identifie une vulnérabilité, CVSS communique sa sévérité et l’organisation détermine le risque à partir de son propre contexte.