FAQ

Oui, il existe un calculateur officiel du score CVSS proposé par le Forum des standards FIRST, qui maintient le standard CVSS. Il est accessible en ligne à l’adresse : https://www.first.org/cvss/calculator.

Ce calculateur permet de composer un vecteur en sélectionnant les métriques pertinentes, puis de calculer automatiquement les scores (base, temporel, environnemental).

Oui, de plus en plus d’organisations utilisent l’EPSS comme critère prioritaire pour décider quelles vulnérabilités corriger en premier, en particulier lorsqu’elles font face à un grand volume de failles à traiter. Corriger toutes les CVE ayant un score CVSS élevé peut être coûteux et inefficace, surtout si certaines ne sont jamais exploitées. L’EPSS permet donc de focaliser les ressources sur les failles réellement dangereuses.

Certaines politiques de sécurité intègrent désormais des seuils d’action basés sur l’EPSS, par exemple : “corriger toute vulnérabilité ayant un score EPSS > 0.7 dans les 48h”. Cette approche pragmatique permet d’accélérer la remédiation là où c’est le plus utile, tout en limitant les interruptions non justifiées.

Non, les CVE ne concernent pas uniquement les logiciels. Elles peuvent aussi couvrir des vulnérabilités dans le matériel, les firmwares, les composants IoT, les systèmes d’exploitation, voire certaines configurations par défaut dangereuses. Par exemple, des failles dans les routeurs, processeurs ou équipements industriels peuvent également recevoir des identifiants CVE.

Cette couverture large permet de prendre en compte les différents vecteurs d’attaque dans un système d’information moderne. L’essentiel est que la vulnérabilité soit documentée, confirmée et publiquement signalée pour entrer dans le programme CVE. Ainsi, les équipes de sécurité peuvent évaluer les risques à l’échelle de toute l’infrastructure.

La liste KEV (Known Exploited Vulnerabilities) publiée par la CISA recense les vulnérabilités activement exploitées dans la nature, c’est-à-dire déjà utilisées dans des cyberattaques réelles. Cette liste a pour objectif d’aider les organisations à prioriser leurs efforts de correction, en se concentrant sur les failles qui représentent une menace immédiate.

En publiant cette liste, la CISA fournit un outil de gestion des risques très concret : elle signale non seulement les failles connues, mais aussi les plus critiques et les plus urgentes. Pour les agences fédérales américaines, la correction de ces failles est obligatoire dans des délais stricts. Mais au-delà des États-Unis, la KEV est largement consultée par les professionnels de la cybersécurité dans le monde entier pour orienter leur stratégie de patch management.

Le score CVSS mesure la gravité intrinsèque d’une vulnérabilité, mais pas son exploitation réelle, ni sa pertinence dans un environnement donné. Par exemple, une faille peut avoir un score élevé, mais être peu exploitable dans votre infrastructure, ou au contraire, une faille moyenne peut cibler un système critique non segmenté.

Pour une évaluation plus précise du risque, il est important d’intégrer des indicateurs complémentaires, comme :

• Le score EPSS (probabilité d’exploitation réelle)
• L’appartenance à la liste KEV (exploitation confirmée)
• Le contexte métier ou technique de l’environnement touché

Ainsi, le CVSS doit être vu comme un indicateur de gravité, et non une mesure complète du risque.

Les CVE jouent un rôle central dans la gestion des vulnérabilités. Elles fournissent un langage commun à tous les acteurs de la cybersécurité pour suivre et documenter les failles, ce qui permet de prioriser les correctifs, d’automatiser les analyses et de structurer la veille sécuritaire. Sans CVE, chaque éditeur ou chercheur pourrait décrire une faille différemment, rendant la coordination complexe.

Elles sont également utilisées par les outils de scan de vulnérabilités, les SIEM, les SOC et les RSSI pour établir des politiques de réponse aux incidents. Leur adoption mondiale garantit que les failles sont identifiables et que les défenses peuvent être activées plus rapidement et de manière coordonnée.

Les failles zero-day sont particulièrement dangereuses parce qu’elles sont inconnues des éditeurs, des utilisateurs, et souvent des solutions de sécurité traditionnelles (antivirus, IDS, etc.). Cela signifie qu’il n’existe aucun correctif, aucun patch, et souvent aucun mécanisme de détection ou de protection au moment de l’attaque.

Les attaquants peuvent donc les exploiter sans être détectés, souvent dans le cadre d’attaques ciblées et sophistiquées (cyberespionnage, sabotage, accès prolongé à un système). Leur valeur est si élevée que certaines zero-day sont revendues sur le dark web ou à des acteurs gouvernementaux pour des centaines de milliers d’euros.

Le CWE Top 25 est une liste annuelle des 25 faiblesses les plus dangereuses en matière de sécurité logicielle. Elle est établie par MITRE à partir de données publiques issues de la NVD (National Vulnerability Database) et d’autres sources, en analysant la fréquence et l’impact des faiblesses associées à des CVE réelles.

Ce classement est précieux pour les développeurs et les équipes de sécurité, car il met en lumière les erreurs les plus courantes et les plus critiques, comme les injections, les buffer overflows, ou les problèmes d’authentification. En se concentrant sur ces faiblesses prioritaires, les organisations peuvent améliorer rapidement leur posture de sécurité, même avec des ressources limitées.

Un vecteur CVSS est une chaîne de caractères normalisée qui décrit les caractéristiques précises de la vulnérabilité utilisées pour calculer le score. Il regroupe plusieurs métriques comme l’accès requis (réseau, local), les privilèges nécessaires, l’interaction avec l’utilisateur, ou encore l’impact sur la confidentialité, l’intégrité et la disponibilité.

Par exemple, un vecteur typique peut ressembler à : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, ce qui indique une vulnérabilité exploitable à distance, sans privilège, avec un impact élevé. Ce vecteur permet de reproduire et vérifier le score en toute transparence, notamment à l’aide d’outils automatisés.

Une CVE (Common Vulnerabilities and Exposures) est un identifiant unique attribué à une vulnérabilité connue dans un système informatique, un logiciel ou un matériel. Elle permet de nommer et de suivre précisément une faille, même lorsqu’elle est traitée par différents fournisseurs, outils ou bases de données. Chaque CVE suit le format CVE-année-numéro, comme par exemple CVE-2023-12345.

Le but des CVE est d’uniformiser la communication autour des failles de sécurité : au lieu d’utiliser des descriptions variables, tous les acteurs peuvent se référer au même identifiant. Cela facilite la coordination entre les chercheurs, les éditeurs de logiciels, les équipes de sécurité, et les fournisseurs de solutions de sécurité.

Une vulnérabilité zero-day est une faille de sécurité inconnue du fabricant ou de l’éditeur d’un logiciel, d’un matériel ou d’un système. Elle est dite « zero-day » car l’éditeur a eu zéro jour pour corriger la vulnérabilité au moment où elle est découverte ou exploitée. Elle n’a donc pas encore fait l’objet d’un correctif officiel ni d’un signalement public.

Ces failles peuvent exister pendant des mois, voire des années, sans être détectées. Lorsqu’elles sont trouvées par des cybercriminels ou des groupes étatiques, elles peuvent être exploitées en toute discrétion, rendant leur impact potentiellement très grave.

Le score CVSS (Common Vulnerability Scoring System) mesure la gravité d’une vulnérabilité en lui attribuant une note de 0 à 10, où 10 représente une faille extrêmement critique. Il est conçu pour fournir une évaluation standardisée et objective des vulnérabilités, afin que les organisations puissent les comparer entre elles et prioriser leurs traitements.

Ce score prend en compte plusieurs aspects : la facilité d’exploitation, les effets potentiels sur la confidentialité, l’intégrité et la disponibilité, ainsi que les conditions nécessaires à l’attaque. En résumé, le CVSS aide à quantifier le niveau de danger inhérent d’une faille de sécurité.

CAPEC signifie Common Attack Pattern Enumeration and Classification. C’est une base de connaissances structurée développée par MITRE qui répertorie et décrit les modèles d’attaques connus utilisés contre les systèmes informatiques. Contrairement à des incidents ponctuels, les CAPEC décrivent des stratégies réutilisables par les attaquants pour exploiter des failles.

Chaque modèle CAPEC est une représentation abstraite d’un comportement malveillant : il explique comment une attaque est menée, quel type de faiblesse elle vise, et dans quel objectif. L’objectif de CAPEC est d’aider les professionnels de la sécurité à mieux comprendre, détecter et anticiper les tactiques utilisées par les attaquants.

EPSS signifie Exploit Prediction Scoring System, ce qui se traduit par système de notation de prédiction d’exploitation. Il s’agit d’un modèle probabiliste qui attribue à chaque vulnérabilité (généralement identifiée par un identifiant CVE) une probabilité d’être exploitée dans les 30 jours suivant son observation.

L’objectif de l’EPSS est de compléter les autres systèmes d’évaluation (comme le CVSS) en ajoutant une couche dynamique et contextuelle basée sur des données réelles d’exploitation observées dans la nature. Il permet ainsi aux organisations de mieux prioriser leurs efforts de correction en se basant sur le risque d’exploitation réel.

La CISA joue un rôle central dans la gestion des vulnérabilités à grande échelle. Elle identifie, évalue et communique activement sur les failles de sécurité qui pourraient affecter les infrastructures critiques, notamment les services gouvernementaux, les opérateurs de services essentiels, et les grandes entreprises. Elle travaille souvent en collaboration avec le MITRE, les éditeurs, les chercheurs en sécurité, et d’autres agences internationales.

Parmi ses responsabilités, elle publie des bulletins de sécurité, coordonne les réponses à certaines vulnérabilités majeures, et impose parfois, par le biais de directives fédérales (BODs), des délais de correction obligatoires pour certaines failles dans les entités publiques. Son objectif est de réduire le délai entre la découverte d’une vulnérabilité et son traitement effectif sur le terrain.