FAQ

La classification CWE permet de standardiser la compréhension des faiblesses de sécurité dans les systèmes informatiques. Elle aide les développeurs, les testeurs et les analystes à identifier les erreurs de conception ou de codage courantes, afin de les éviter ou de les corriger plus efficacement. Grâce à cette taxonomie, les outils de sécurité peuvent produire des rapports cohérents et exploitables.

Elle est également très utile pour la formation des équipes techniques, l’évaluation des outils de détection, la priorisation des risques, et la conformité à certaines normes comme ISO/IEC 27001. En intégrant les CWE dans les processus de développement, on peut améliorer significativement la sécurité dès la phase de conception.

Le score EPSS sert à évaluer la probabilité qu’une vulnérabilité soit activement exploitée, ce qui en fait un outil précieux pour hiérarchiser les actions de remédiation. Contrairement au CVSS qui indique la gravité théorique d'une faille, l’EPSS s’intéresse à sa probabilité d’exploitation dans un avenir proche, sur la base de données statistiques.

En pratique, un score EPSS élevé (proche de 1) indique qu’il y a de fortes chances qu’une faille soit utilisée par des attaquants, et qu’il convient donc de traiter cette vulnérabilité en priorité, même si son score CVSS est modéré. Cela permet d’optimiser le patch management en se concentrant sur les menaces les plus actives.

Les modèles d’attaque CAPEC servent à documenter les tactiques et techniques utilisées par les attaquants pour exploiter des systèmes. En les étudiant, les analystes de sécurité, développeurs et architectes peuvent comprendre les objectifs d’une attaque, ses étapes typiques, et les vulnérabilités exploitées. Cela permet d’anticiper les menaces et de concevoir des contre-mesures plus efficaces.

Ils sont également utiles pour la formation, l’analyse de risques, la simulation d’attaques (red teaming), ou encore la mise en place de contrôles de sécurité défensifs. En reliant les CAPEC aux CWE et aux CVE, on peut établir une chaîne complète allant de la faiblesse à l’exploitation concrète, ce qui enrichit les démarches de threat modeling ou de sécurité by design.

La CISA (Cybersecurity and Infrastructure Security Agency) est une agence gouvernementale américaine. Elle est chargée de protéger les infrastructures critiques des États-Unis contre les menaces cyber et physiques, en apportant du soutien, des outils, et des recommandations aux administrations, aux entreprises, et au public.

Dans le domaine de la cybersécurité, la CISA agit comme un centre de coordination pour prévenir les cyberattaques, réagir aux incidents, partager des informations sur les menaces, et promouvoir les meilleures pratiques de sécurité. Bien qu'américaine, son rôle et ses ressources influencent les pratiques de cybersécurité à l’échelle mondiale, en raison de sa transparence et de son leadership.

Une CWE (Common Weakness Enumeration) est une classification standardisée des faiblesses susceptibles de conduire à des vulnérabilités dans des logiciels, firmwares ou systèmes. Contrairement aux CVE, qui désignent des vulnérabilités spécifiques et documentées dans un produit donné, les CWE décrivent des types de défauts de conception ou de programmation pouvant affecter la sécurité d’un système.

Par exemple, une CWE peut décrire une mauvaise gestion de la mémoire, une injection de commande, ou encore une validation insuffisante des entrées. Ces faiblesses peuvent ensuite être détectées dans de multiples logiciels, et associées à des CVE individuelles si elles sont exploitées dans un contexte réel.

L’exploitation d’une zero-day repose sur le développement d’un exploit spécifique, c’est-à-dire un code ou une méthode capable de tirer parti de la faille avant qu’elle ne soit corrigée. L’attaquant peut l’intégrer dans un document piégé, un site web, un malware ou un email de phishing.

Une fois l’exploit lancé, il peut permettre de prendre le contrôle du système, d’installer un cheval de Troie, d’ouvrir une porte dérobée ou d’extraire des données. La particularité d’un exploit zero-day est qu’il échappe aux mécanismes de détection classiques, car il s’appuie sur une faiblesse encore inconnue de tous.

CAPEC fournit une structure détaillée pour reproduire des scénarios d’attaque réalistes, ce qui en fait une ressource précieuse pour les simulations. Chaque modèle décrit les prérequis, les étapes d’exécution, les cibles, les vecteurs d’attaque, ainsi que les objectifs potentiels de l’attaquant. Cela permet aux équipes de sécurité de concevoir des exercices de red teaming ou de threat modeling bien cadrés.

Par exemple, un testeur peut choisir un modèle CAPEC d’attaque par bruteforce sur un service réseau et l’utiliser comme base pour évaluer la robustesse d’une application. Cette approche rend les tests plus cohérents et facilite la documentation des résultats et des recommandations.

Les CWE sont intégrées dans de nombreux outils d’analyse de code source, d’audit de sécurité ou de gestion des vulnérabilités, pour identifier automatiquement les faiblesses potentielles dans les logiciels. En comprenant quelles CWE sont présentes dans un système, les équipes peuvent estimer la surface d’attaque, anticiper les menaces futures, et prioriser les corrections avant qu’une faille ne devienne une CVE exploitable.

Elles permettent également d’établir des profils de risque pour des projets ou produits, en fonction de la nature et du nombre de faiblesses identifiées. Cela facilite la prise de décision pour les RSSI, DSI ou responsables de conformité, notamment dans les démarches DevSecOps ou lors d’évaluations selon des cadres comme NIST ou ISO 27002.

Pour savoir si une CVE est activement exploitée, plusieurs sources d’information peuvent être consultées. La plus fiable est la base KEV (Known Exploited Vulnerabilities) maintenue par la CISA, qui recense les CVE dont l’exploitation est confirmée dans la nature. Elle est mise à jour régulièrement et souvent utilisée pour établir des priorités de correction. Ces informations sont directement accessible sur notre site Internet CVE Find.

On peut aussi s’appuyer sur le score EPSS, qui estime la probabilité d’exploitation d’une CVE dans les 30 jours suivant sa publication, basé sur des données réelles. Enfin, des outils de threat intelligence, des rapports de CERT ou des bulletins de sécurité éditeurs peuvent également signaler si une vulnérabilité est actuellement utilisée par des attaquants.

Le processus de publication d’une CVE commence généralement par la soumission d’un rapport de vulnérabilité à un CNA ou directement à MITRE. Si la faille est reconnue comme légitime, un identifiant CVE est réservé. À ce stade, la CVE peut rester "réservée" pendant un certain temps, en attendant la validation technique, l’accord des parties concernées ou la disponibilité d’un correctif.

Une fois toutes les informations vérifiées, la CVE est rendue publique via le site officiel de MITRE (cve.org) et d'autres plateformes comme NVD (National Vulnerability Database) ou CVE Find. Elle comprend une courte description technique de la vulnérabilité, la date de publication, les produits affectés et parfois des références vers des correctifs ou des avis de sécurité.

Pour les RSSI et les équipes SOC, l’EPSS offre une aide à la décision objective et dynamique. Il permet de filtrer les vulnérabilités détectées par les scanners en fonction de leur probabilité d’exploitation, ce qui allège la charge des équipes et améliore la pertinence des alertes. L’EPSS est particulièrement utile dans les environnements où le volume de CVE est important et les ressources limitées.

En intégrant l’EPSS dans les outils de gestion des vulnérabilités, de SIEM ou de tableaux de bord de sécurité, les RSSI peuvent mieux communiquer avec la direction en priorisant les actions en fonction du risque réel et mesurable, plutôt que d’une simple note théorique.

L’EPSS complète le CVSS en apportant une dimension temporelle et comportementale à l’évaluation des vulnérabilités. Le CVSS mesure la gravité d’une faille sur la base de ses propriétés intrinsèques (impact, complexité, accessibilité), mais ne dit rien sur la probabilité réelle qu’elle soit exploitée. L’EPSS comble cette lacune en analysant des données issues du terrain, comme les tendances d’exploitation observées dans les honeypots, les moteurs de recherche de vulnérabilités, ou les flux de menace.

Cette complémentarité est précieuse pour la gestion des risques : une faille peut être critique selon le CVSS, mais non exploitée (score EPSS faible), ou au contraire apparaître bénigne en théorie, mais très utilisée dans des attaques automatisées. Utiliser les deux scores ensemble permet d’établir des priorités plus pertinentes et conformes à la réalité du terrain.

Les CWE sont des modèles abstraits de faiblesses, alors que les CVE sont des incidents concrets. Une CVE représente une vulnérabilité identifiée dans un logiciel ou un système précis, tandis qu’une CWE décrit une faiblesse générique présente dans le code ou l’architecture, sans forcément être exploitée.

Prenons un exemple : une CVE pourrait concerner une injection SQL dans une application web, tandis que la CWE correspondante serait CWE-89: Improper Neutralization of Special Elements used in an SQL Command. En résumé, les CWE servent à catégoriser et analyser les failles, alors que les CVE permettent de les suivre et les corriger individuellement.

Non, l’existence d’une CVE ne garantit pas qu’un correctif soit disponible. Une CVE peut être publiée avant qu’un éditeur n’ait développé un correctif, ou même dans des cas où aucun correctif n’est prévu (par exemple, pour des logiciels obsolètes ou plus maintenus). Dans ces situations, les utilisateurs doivent mettre en place des mesures de contournement ou désactiver certaines fonctionnalités vulnérables.

Il est donc essentiel de ne pas seulement consulter les CVE, mais aussi de vérifier les recommandations des éditeurs et les bases comme la NVD ou la base KEV, qui peuvent indiquer si un patch existe et dans quels délais il est attendu. Une bonne gestion des risques prend en compte à la fois la gravité de la faille et la disponibilité de solutions.

Non, l’EPSS ne remplace pas le CVSS : les deux systèmes sont complémentaires. Le CVSS donne une mesure structurelle de la gravité, utile pour comprendre l’impact potentiel d’une vulnérabilité. L’EPSS, quant à lui, fournit une mesure comportementale et prédictive, centrée sur la probabilité d’exploitation réelle.

Ensemble, ces deux scores permettent une évaluation plus fine du risque, à la fois sur le plan théorique et opérationnel. De nombreuses entreprises adoptent une approche hybride, par exemple en ne traitant que les vulnérabilités ayant à la fois un CVSS ≥ 7 et un EPSS ≥ 0.5, ou en utilisant des matrices de risques enrichies de ces deux indicateurs.