Selon un article de Picus Security, les équipes de sécurité pourraient corriger davantage de vulnérabilités sans réduire de manière significative le risque de violation de données. L’article cite un rapport de Gartner indiquant que moins de 10 % des vulnérabilités sont exploitées, alors que beaucoup sont toujours considérées comme urgentes. Il ajoute que les scores CVSS, à eux seuls, ne permettent pas d’évaluer de façon fiable l’exploitation ni les conséquences pour l’activité de l’entreprise.
Gartner prévoit que, d’ici 2028, les organisations qui priorisent les expositions à l’aide des renseignements sur les menaces, du contexte des actifs, de la modélisation de l’exploitabilité et de la validation des contrôles de sécurité réduiront d’au moins 70 % la probabilité d’une violation de données, par rapport aux organisations qui s’appuient principalement sur une priorisation fondée sur les scores CVSS.
Les quatre éléments du cadre répondent à des questions différentes. Les renseignements sur les menaces repèrent les vulnérabilités que les attaquants exploitent. Le contexte des actifs indique si un système touché soutient des opérations critiques, traite des données réglementées ou permet d’accéder à des systèmes plus précieux. Les modèles d’exploitabilité, comme EPSS, estiment la probabilité d’exploitation, tandis que la validation des contrôles permet de vérifier si une attaque pourrait réussir dans l’environnement spécifique d’une organisation.
L’article souligne que les scores d’exploitabilité sont des estimations, et non des preuves. Ils peuvent aider à repérer les expositions à soumettre à des tests complémentaires, mais une validation est nécessaire pour déterminer ce qui peut être exploité dans un environnement donné. Cette évaluation doit tenir compte des défenses déjà en place, notamment la segmentation, la protection des terminaux, la couverture de détection et les contrôles d’identité.
Picus indique que sa plateforme réunit les quatre éléments dans un processus continu de découverte, de validation, de priorisation et de mobilisation des mesures correctives. Ses méthodes de validation comprennent des tests de véritables chemins d’exploitation visant des actifs de production accessibles et l’évaluation des techniques d’attaque au regard des contrôles, sans déclencher d’exploitation. L’entreprise affirme que ces méthodes peuvent fournir des évaluations fondées sur des preuves pour les actifs qui ne peuvent pas être testés en direct en toute sécurité.
Picus fait également état de résultats obtenus par ses clients : les contrôles ont bloqué ou détecté environ deux fois plus d’attaques en trois mois, le temps de réponse aux menaces émergentes a diminué de 89 %, et les retards dans les échéances de correction des vulnérabilités élevées et critiques ont baissé de 92 %. Selon l’article, un client a réduit de 98 % son arriéré de tickets critiques ; ces chiffres sont rapportés par l’entreprise.
Sources: The Hacker News.