Gestion des vulnérabilités : pourquoi le CVSS ne suffit pas à prioriser

Un scan produit 4 000 vulnérabilités. L’équipe peut en traiter une centaine par mois. La question n’est donc pas « lesquelles sont graves », mais « lesquelles d’abord ». Et c’est là que le réflexe de trier par score CVSS décroissant fait perdre le plus de temps.

Ce que le CVSS mesure — et ne mesure pas

Le CVSS, maintenu par le FIRST, attribue un score de 0 à 10 fondé sur les caractéristiques intrinsèques d’une faille : vecteur d’attaque, complexité, privilèges requis, impact sur la confidentialité, l’intégrité et la disponibilité.

Il répond à la question : si cette vulnérabilité est exploitée, à quel point est-ce grave ?

Il ne répond pas à deux autres questions, qui déterminent pourtant l’ordre de traitement :

• Est-elle exploitée dans la réalité ? Une majorité de CVE publiées ne font jamais l’objet d’un code d’exploitation public.
• Où se trouve-t-elle chez vous ? Un score de 9,8 sur un serveur de recette isolé, sans donnée et sans accès Internet, ne représente pas le même risque que 6,5 sur votre contrôleur de domaine.

La version 4.0 du CVSS, publiée en 2023, introduit des métriques de menace et d’environnement précisément pour corriger ce biais. Encore faut-il les renseigner — ce que presque personne ne fait, la plupart des outils affichant le score de base seul.

Les deux référentiels qui changent la donne

Le catalogue KEV de la CISA

Le Known Exploited Vulnerabilities catalog recense les vulnérabilités dont l’exploitation active a été constatée. C’est une information factuelle, pas une prédiction.

Règle simple et robuste : toute CVE présente au KEV et présente chez vous passe en tête, quel que soit son score. C’est la modification de processus qui produit le meilleur résultat pour le moindre effort.

L’EPSS

L’Exploit Prediction Scoring System, également porté par le FIRST, estime la probabilité qu’une vulnérabilité soit exploitée dans les trente jours. Il s’exprime en pourcentage et se met à jour quotidiennement.

Croisé avec le CVSS, il permet de distinguer les failles graves et probables des failles graves et théoriques. La combinaison « CVSS élevé + EPSS faible + absente du KEV » décrit une vulnérabilité qu’on corrige, mais pas cette semaine.

Le troisième facteur : votre contexte

Aucun référentiel externe ne connaît votre système. Trois éléments doivent venir de chez vous :

L’exposition. Le service est-il accessible depuis Internet, depuis le réseau interne, ou depuis un segment cloisonné ? C’est le facteur le plus discriminant, et il dépend directement de votre segmentation.

La valeur de l’actif. Ce que la machine héberge, et ce qu’elle permet d’atteindre. Un poste bureautique compromis n’a pas la portée d’un serveur d’authentification.

Les mesures compensatoires. Une vulnérabilité non corrigée mais inaccessible, ou couverte par un contrôle en amont, change de priorité.

Une matrice de priorisation qui tient

En pratique, quatre niveaux suffisent :

1. Urgence — présente au KEV, actif exposé. Traitement sous 48 à 72 heures, hors cycle normal.
2. Haute — EPSS élevé ou CVSS critique, actif exposé ou sensible. Traitement dans le cycle mensuel.
3. Moyenne — gravité réelle mais exposition limitée. Traitement au trimestre.
4. Basse — à corriger lors des mises à jour planifiées, sans effort dédié.

Ce qui compte n’est pas la finesse de la matrice, mais le fait qu’elle soit écrite, appliquée et défendable devant un auditeur.

Ce que la norme attend

La mesure 8.8 d’ISO/IEC 27002:2022 — gestion des vulnérabilités techniques — demande d’obtenir l’information sur les vulnérabilités, d’évaluer l’exposition et de prendre les mesures appropriées.

Le mot important est évaluer. Un auditeur n’attend pas que tout soit corrigé. Il attend que vous puissiez expliquer pourquoi telle vulnérabilité est encore ouverte, et depuis quand. Un risque accepté et tracé est conforme ; un risque ignoré ne l’est pas.

Le vrai goulot d’étranglement

Dans la plupart des organisations que nous auditons, le blocage n’est pas la priorisation. C’est l’inventaire.

On ne corrige pas ce qu’on ne sait pas posséder. Un parc dont 20 % des actifs sont inconnus produit une gestion des vulnérabilités qui rassure sans protéger. Avant d’affiner le scoring, comptez vos machines.

Sources

• FIRST — CVSS v3.1 et v4.0
• FIRST — EPSS
• CISA — Known Exploited Vulnerabilities Catalog
• CERT-FR — avis et alertes de l’ANSSI
• ISO/IEC 27002:2022, mesure 8.8

Aller plus loin

La priorisation est au cœur de nos restitutions de tests d’intrusion — voir aussi ce que doit contenir un rapport. Le suivi dans la durée relève de notre maintien en condition de sécurité.